Diag,nettoyage et sécurisation de 2 sites WP

Une migration de nos sites vers un nouveau serveur doit être effectué.
Le soucis est que l'hébergeur nous fait part d'un site infecté et qu'avant de faire la migration il faut s'assurer que celui ci soit "propre".

Voici le constat de l'hébergeur:

"Par contre, votre site a subi de nouvelles attaques. Nous avons constaté de nombreux mails de spam en provenance du serveur. Il semblerait également que de nombreuses requêtes sur la page xmlrpc.php (qui permet des actions sur wp à distance en étant connecté). Les attaques sur les pages xmlrpc sont monnaies courantes car elles peuvent conduire à la prise en main à distance du site wordpress et sont souvent sujettes aux failles.

Pouvez-vous vérifier avec votre développeur que le code présent sur le serveur est correcte, il semblerait que des fichiers aient été modifié récemment. Au besoin, il faudrait repousser une version propre du site.
Il faut vérifier que la version de wordpress est à jour ainsi que les modules, et qu'aucun module non supporté n'est activé.
En effet, certains modules ne sont pas suffisamment contrôlés et présentent souvent des failles non corrigées qui permettent à des personnes mal intentionnées d'injecter du code.

Pour le moment, nous avons poussé un verrouillage des fichiers xmlrpc et wp-trackback."

Notre besoin:
1. S'assurer de façon générale que le code du site soit propre et non infecté.
2. Trouver la faille sur l'un des plugins et y remédier.
3. Sécuriser au mieux pour éviter que cela se reproduise.

Actuellement:
- Version WP à jour
- Back up du site quotidien
- Le site est sur Cloudfare

Merci de me faire votre proposition tarifaire selon ces informations.
Nous ne communiquerons l'adresse du site uniquement après validation d'un devis.