J’ai restauré ma sauvegarde… et mon site s’est refait pirater. Pourquoi ?

Un soir d’octobre, vers 18h30, un nouveau client nous appelle à l’aide. Son site WordPress est piraté. Il a fait ce qu’on conseille partout : il a restauré sa sauvegarde. Le site est revenu… puis s’est refait pirater. Encore. Et encore.

Si tu es dans cette situation, ou si tu as peur d’y être un jour, rassure-toi : tu n’as rien fait de travers. Tu as simplement découvert ce que personne n’explique sur les sauvegardes.

Parce qu’un piratage, c’est un cambriolage. Tu rentres chez toi, quelqu’un est passé, a fouillé, a touché à tes affaires. Tu fais réparer la porte, tu respires… sans savoir que le cambrioleur a gardé un double de tes clés. 😅

C’est exactement ce qui se passait chez ce client. On a pris sa demande en urgence. Au moment où j’écris ces lignes, il est 1h du matin, et on est toujours dessus. C’est aussi ça, notre métier : être là quand ça brûle, et porter le stress pour que le client puisse enfin souffler.

Je vais être cash 👉 sa sauvegarde n’était pas le remède. Elle faisait partie du problème. Ce qu’on a trouvé dedans, je te le raconte plus bas (et c’est assez bluffant).

En 18 années d’expertise web, et après plus de 100 sites piratés remis en état, j’ai vu ce scénario se répéter encore et encore. Pas parce que les gens sont négligents. Parce que personne ne leur explique comment une sauvegarde fonctionne vraiment.

Dans cet article, tu vas comprendre :

• pourquoi un site se refait pirater après une restauration ;
• jusqu’où tes sauvegardes te permettent vraiment de remonter (spoiler : souvent moins loin que tu ne le crois) ;
• comment restaurer sans perdre tes derniers articles ;
• et quoi faire juste après, pour que ça ne recommence plus.

Prends un café ☕ : ce sont 10 minutes qui peuvent t’éviter des semaines de galère.

Pourquoi mon site WordPress se fait pirater à nouveau après une restauration ?

La réponse tient en une phrase : une sauvegarde remet ton site dans l’état où il était, avec tout ce qu’il contenait à ce moment-là. Y compris ce que tu ne voyais pas.

Il y a trois raisons pour lesquelles le pirate revient. Souvent, elles se cumulent.

1. La porte dérobée était déjà dans ta sauvegarde

Un piratage ne commence presque jamais le jour où tu le remarques. Le scénario que je vois le plus souvent :

• un petit fichier malveillant est déposé discrètement sur ton site ;
• rien ne se passe tout de suite : le pirate attend, et toi tu continues ta vie ;
• puis, des jours ou des semaines plus tard, il lance l’attaque.

Ce petit fichier, c’est une porte dérobée (une « backdoor »). Son seul rôle : permettre au pirate de revenir quand il veut. Il se déguise en fichier de thème, en extension au nom banal, parfois en simple ligne de code au milieu d’un fichier légitime.

Et ce n’est pas un cas rare : Sucuri, une référence mondiale du nettoyage de sites, a mesuré qu’un site piraté sur deux (49%) cache au moins une porte dérobée.

👉 Si ta sauvegarde date d’après le dépôt de ce fichier, tu ne restaures pas un site sain. Tu restaures le site… avec le double des clés du cambrioleur.

2. La faille qui a servi d’entrée est toujours là

Même avec une sauvegarde parfaitement propre, il reste une question : par où le pirate est-il entré ?

Si c’est par une extension pas à jour, ta sauvegarde contient la même extension, avec la même faille. Le pirate n’a qu’à repasser par le même chemin.

Et ce chemin, il le trouve vite. Patchstack, qui recense les failles de l’écosystème WordPress, en a compté 11 334 nouvelles en 2025, soit 42% de plus qu’en 2024. Pour les plus exploitées, la moitié des attaques démarre dans les 5h qui suivent la publication de la faille.

Ce ne sont pas des humains qui font ce travail, ce sont des robots. Ils testent des milliers de sites à la chaîne, nuit et jour. Ton site n’a pas besoin d’être connu pour être visé : il suffit qu’il utilise l’extension concernée.

3. Le pirate s’est laissé une deuxième porte

C’est le cas le plus sournois, et c’était celui de notre client.

Tu trouves la première porte dérobée, tu la supprimes, tu respires. Mais pendant qu’elle était ouverte, elle a servi à en installer une deuxième, ailleurs, sous un autre nom.

Je t’avais promis de te raconter ce qu’on a trouvé. Accroche-toi.

Le pirate avait installé un faux plugin, avec un nom tout ce qu’il y a de plus rassurant : « Site Cache ». Le genre d’extension que tu ne regardes même pas deux fois. Une fois découvert et supprimé… un deuxième prenait le relais : « Site Health ».

Chacun cachait une adresse secrète. Il suffisait de la visiter pour être connecté comme le propriétaire du site. Sans mot de passe. Sans rien.

Et pendant ce temps, les robots frappaient à la porte : plus de 2000 requêtes en une soirée, une toutes les 2 secondes, en passant par les serveurs d’un service de traduction pour masquer leur origine.

👉 Tu comprends pourquoi revenir en arrière ne servait à rien ? À chaque restauration, le pirate retrouvait son chemin. Et s’installait une nouvelle porte.

J’ai vu le même mécanisme sur un autre site, piraté avant notre arrivée. Le nettoyage avait été fait. Des mois plus tard, la cliente découvre des comptes administrateurs qu’elle n’avait jamais créés, cachés de la liste des utilisateurs. Très probablement des restes du premier piratage, restés en sommeil.

C’est pour ça qu’un nettoyage sérieux ne consiste pas à supprimer ce qu’on voit. Il consiste à comprendre comment le pirate est entré, et à vérifier tout ce qu’il a pu toucher pendant qu’il était là.

Combien de temps durent les sauvegardes de mon hébergeur ?

Quand je demande « est-ce que tu as des sauvegardes ? », presque tout le monde répond oui. Et c’est souvent vrai : la plupart des hébergeurs en font automatiquement.

Mais ce n’est pas la bonne question. La vraie question, c’est 👉 jusqu’où peux-tu remonter dans le temps ?

Si la porte dérobée a été déposée il y a 3 semaines, et que ton hébergeur ne garde que les 7 derniers jours, toutes tes sauvegardes contiennent déjà le problème. Sans exception.

Voici ce que proposent deux hébergeurs très utilisés par les blogueurs que nous accompagnons :

Ça ne veut pas dire que l’un est bon et l’autre mauvais. Ça veut dire que tu dois connaître ta fenêtre avant d’en avoir besoin. Le jour où ton site est piraté, il est trop tard pour la découvrir.

Personnellement, je considère 8 semaines comme une base saine : ça te laisse une vraie chance de revenir à une version d’avant l’infection, même quand le pirate a pris son temps.

Il y a un autre détail que presque personne ne vérifie : où sont stockées tes sauvegardes.

Sur le site de notre client, on a trouvé 22 Go d’archives de sauvegarde… rangées à l’intérieur même du site, sur le serveur qui venait d’être piraté. Si le serveur tombe, si quelqu’un efface le dossier, ou si le pirate y a accès, tes sauvegardes partent avec. C’est comme cacher le double de tes clés… sous le paillasson.

Une bonne sauvegarde vit ailleurs : sur un stockage externe, séparé, et idéalement chiffré.

Si je restaure une sauvegarde d’il y a 2 mois, je perds tous mes articles ?

C’est LA question que tout le monde se pose à ce stade. Et la réponse est rassurante : non, pas forcément.

Un site WordPress est fait de deux choses bien distinctes. Reprenons la maison :

• Les fichiers, c’est la maison. Les murs, les portes, les serrures : WordPress lui-même, ton thème, tes extensions, tes images. C’est là que se cachent la plupart des fichiers malveillants.
• La base de données, c’est ce qu’il y a dedans. Tes articles, tes pages, tes commentaires, tes réglages. Tout ce qui fait la valeur de ton blog.

Dans la grande majorité des piratages que nous nettoyons, le problème est dans les fichiers, pas dans la base de données. On peut donc :

1. mettre de côté le dossier des images récentes (« uploads »), après l’avoir vérifié ;
2. restaurer des fichiers propres, d’avant l’infection ;
3. garder la base de données actuelle, avec tous tes articles récents ;
4. remettre les images récentes en place.

Tu changes les serrures et les murs abîmés, mais tu gardes tes meubles.

⚠️ Une nuance importante : la base de données n’est pas toujours épargnée. Les faux comptes administrateurs, par exemple, vivent dedans. C’était le cas sur le site aux comptes cachés dont je te parlais plus haut. Avant de garder une base de données telle quelle, il faut au minimum contrôler la liste des utilisateurs et les réglages sensibles.

C’est aussi pour ça qu’une bonne sauvegarde sépare les fichiers et la base de données : tu peux restaurer l’un sans toucher à l’autre.

Comment savoir si ma sauvegarde WordPress fonctionne vraiment ?

Il y a pire qu’une sauvegarde infectée : une sauvegarde qui n’existe pas. Alors que tu étais persuadé du contraire.

Je pense à une élève d’une formation que j’accompagne. En installant une extension, son site plante : erreur critique, plus rien ne s’affiche, même l’administration est inaccessible. Elle n’est pas inquiète : elle a installé UpdraftPlus, comme on le lui avait conseillé.

Sauf que le jour où elle en a besoin, les sauvegardes sont vides. Son hébergeur refuse de l’aider. Son site reste inaccessible pendant 4 jours.

Elle n’avait rien fait de mal. Elle avait installé l’outil. Personne ne lui avait dit qu’il fallait aussi vérifier qu’il faisait son travail.

Et c’est loin d’être un cas isolé. Quand nous reprenons un site en maintenance, nous trouvons très souvent une extension de sauvegarde installée un jour, configurée vite fait, et plus jamais regardée depuis. Elle tourne peut-être. Ou peut-être pas. Personne ne le sait.

👉 Une sauvegarde que tu n’as jamais testée, c’est une promesse, pas une protection.

🛠 La vérification à faire aujourd’hui (10 minutes)

Ouvre ton administration WordPress et l’espace client de ton hébergeur, et réponds à ces 5 questions :

• Quand date ma dernière sauvegarde ? Si tu ne trouves pas de date, ou si elle date de plusieurs semaines, c’est un signal d’alarme.
• Jusqu’où puis-je remonter ? Compte les sauvegardes disponibles et regarde la date de la plus ancienne. Moins de 30 jours, c’est court.
• Qu’est-ce qui est sauvegardé ? Les fichiers ET la base de données, séparément ? Une sauvegarde qui ne contient que l’un des deux ne te sauvera qu’à moitié.
• Où sont-elles stockées ? Sur le même serveur que ton site, ou sur un stockage externe ? Si elles sont dans un dossier de ton site, elles ne te protègent pas d’un vrai problème.
• Ai-je déjà testé une restauration ? Même une fois, sur une copie du site. C’est la seule façon de savoir si ça fonctionne vraiment.

Si tu as coché les 5 cases, bravo : tu fais partie d’une petite minorité. Sinon, ce n’est pas grave. Le tout est de le savoir maintenant, et pas le jour où ton site est à terre.

Que faire après avoir restauré un site WordPress piraté ?

Retiens bien cette phrase : 👉 restaurer une sauvegarde propre n’est jamais la dernière étape. C’est la première.

Si un pirate a pu entrer, c’est qu’il a trouvé une porte. Tant que tu ne l’as pas refermée, il reviendra. L’objectif n’est pas d’être parfait : c’est de fermer la porte qui a été forcée.

Les réflexes de base, dans l’ordre :

1. Tout mettre à jour : WordPress, le thème, toutes les extensions. Une faille corrigée ne sert à rien si la mise à jour n’est pas faite.
2. Faire le ménage dans les extensions. Supprime (pas seulement désactiver) tout ce que tu n’utilises plus, et tout ce qui n’a plus été mis à jour depuis longtemps. Sur le site de notre client, on a compté 46 extensions, dont beaucoup héritées d’anciens essais. Chacune est une porte de plus.
3. Se méfier des gestionnaires de fichiers. Les extensions qui permettent de modifier les fichiers du site depuis l’administration sont pratiques… pour toi comme pour un pirate. Sans besoin réel, supprime-les.
4. Vérifier tous les accès : les comptes administrateurs WordPress, les accès FTP, l’accès à l’hébergement. Un compte que tu ne reconnais pas, c’est un compte à supprimer.
5. Changer tous les mots de passe sensibles, et forcer la déconnexion de toutes les sessions ouvertes.
6. Activer une vraie double authentification. Je dis « vraie » parce que chez notre client, elle existait… mais le code arrivait par email. Si ta boîte mail est compromise, cette protection ne protège plus rien. Une application d’authentification sur ton téléphone est bien plus solide.
7. Mettre en place une surveillance : un scan régulier, des alertes quand une extension apparaît ou qu’un fichier change. Le but : le savoir dans l’heure, pas dans trois semaines.

Ça peut sembler beaucoup. Mais c’est exactement ce qui fait la différence entre un incident réglé une fois pour toutes et un site qui se refait pirater tous les quinze jours.

Et si tu veux voir ton site du point de vue d’un pirate, avant même qu’il se passe quoi que ce soit, je t’explique comment le vérifier toi-même ici : Ce que ton site WordPress raconte aux pirates.

Pour conclure

Ton site, c’est ton fonds de commerce. Les sauvegardes ne servent pas à se rassurer : elles servent à pouvoir revenir à un état sain, même longtemps après.

Si tu ne retiens que trois choses :

• une sauvegarde contient tout ce qu’il y avait sur ton site, y compris ce que tu ne voyais pas ;
• ce qui compte, ce n’est pas d’avoir des sauvegardes, c’est jusqu’où elles te permettent de remonter ;
• restaurer, c’est la première étape : tant que la porte d’entrée reste ouverte, le pirate revient.

Le tout est de le savoir. Ou de faire confiance à quelqu’un qui le sait pour toi.

C’est ce qu’on fait chaque jour avec Sérénité : on sauvegarde ton site hors du serveur, avec 2 mois d’historique, on le surveille, on le met à jour. Et si malgré tout il se fait pirater, on le remet en état sans frais supplémentaires. Parce qu’on n’achète pas une réparation : on achète de ne plus jamais revivre ça. Et de dormir tranquille.

Et si ton site a tellement souffert qu’il vaut mieux repartir sur de bonnes bases, on peut aussi t’aider à le reconstruire proprement : c’est notre volet Pour construire.

Et toi, tu en es où ?

Honnêtement… si ton site se faisait pirater ce soir :

• AJe sais exactement jusqu’où mes sauvegardes remontent, et je les ai déjà testées.
• BJ’ai des sauvegardes… mais je n’ai jamais vérifié ce qu’elles contiennent.
• CJe compte sur mon hébergeur, sans trop savoir ce qu’il garde.
• DJe ne suis même pas sûr d’avoir des sauvegardes.

Pas de jugement : c’est hyper courant. Clique sur ta réponse et dis-moi en commentaire où tu en es 👇 Si tu es en A, bravo. Si tu es en B, C ou D, tu as déjà fait le plus important aujourd’hui : t’en rendre compte. Et la suite logique, c’est le check offert, juste en dessous.

À très vite,

Benjamin

Benjamin Jansen
Fondateur d'AGENZ. 18 années d'expertise web, plus de 100 sites piratés réparés. Avec notre équipe, on maintient et on sécurise les sites de blogueurs, coachs et formateurs. Découvrir Sérénité