Signes site WordPress piraté : les vérifications à faire soi-même

Rares sont les piratages qui s’annoncent par une page d’accueil défigurée. La plupart passent inaperçus pendant des semaines, parce que le code malveillant se cache des administrateurs connectés ou ne s’active que pour certains visiteurs. Cette liste de signes site WordPress piraté vous aide à les détecter vous-même, avant qu’un client, Google ou votre hébergeur ne le fasse.

L’agence Référenceur aide les TPE, PME, commerçants, professions libérales et associations à établir un diagnostic solide, en visioconférence et écran partagé, puis à choisir les mesures proportionnées à ce qui a réellement été trouvé.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Pour un premier contrôle, une analyse gratuite de sécurité est disponible sur cette page. Si l’intrusion se confirme, suivez notre plan site WordPress piraté : que faire ; pour la prévention, parcourez le guide complet de la sécurité WordPress, ou confiez-nous la vérification depuis notre page dépannage d’un site WordPress piraté.

Côté visiteurs : les signes site WordPress piraté les plus courants

En tête de liste, la redirection frauduleuse : l’internaute pense consulter votre site et se retrouve sur une fausse loterie, un faux antivirus ou une boutique de contrefaçons. Le script ne se déclenche souvent que sur smartphone, après un clic dans Google ou lors de la première visite, si bien qu’en tapant votre adresse depuis votre bureau, tout semble normal.

Testez donc votre site depuis un mobile, en navigation privée, en passant par un résultat de recherche. Notre article redirection malveillante WordPress recense les endroits où ce code se dissimule.

D’autres anomalies sautent aux yeux : liens inconnus ajoutés en pied de page, fenêtres publicitaires, formulaire de paiement modifié, ou écran d’avertissement du navigateur avant l’accès au site. Google précise que Chrome peut aussi signaler un site comme dangereux dans la barre d’adresse.

Un site devenu subitement lent, sans modification de votre part, mérite aussi l’attention : un script de minage de cryptomonnaie ou un envoi massif de courriels peut accaparer les ressources du serveur.

Google, premier témoin d’une infection

Saisissez site:votredomaine.fr dans Google. Des titres en japonais, des pages de médicaments, de paris en ligne ou de grandes marques à prix cassés trahissent des contenus injectés sur votre domaine. Google rappelle que ce spam peut être servi uniquement à son robot, une technique de dissimulation qui laisse vos pages intactes à vos yeux.

Si votre site comporte un blog, une boutique ou une version anglaise dans des sous-répertoires, refaites la recherche pour chacun, par exemple sur /blog/ ou /en/ : une rubrique peu visitée peut héberger du spam longtemps. Ce scénario est détaillé dans notre guide sur le spam SEO japonais.

Ouvrez ensuite la Search Console et son rapport « Problèmes de sécurité », qui distingue entre autres l’injection de contenu, l’injection d’URL, l’injection de code et les logiciels malveillants, avec des exemples d’adresses. Les rapports d’indexation et de performances peuvent aussi révéler une flambée de pages ou de requêtes étrangères à votre activité, d’où l’intérêt d’un suivi analytics régulier.

Enfin, l’outil d’état de la navigation sécurisée du rapport de transparence de Google indique publiquement si votre domaine est jugé dangereux. En cas d’alerte, reportez-vous à site WordPress sur liste noire Google.

Dans le tableau de bord et sur le serveur

Dans l’administration, affichez la page Utilisateurs filtrée sur le rôle « Administrateur ». Un compte que personne n’identifie, même avec un nom banal, doit alerter. Passez ensuite en revue les extensions, en particulier celles au nom générique et sans auteur clairement identifiable.

Sur le serveur, il s’agit de comparer les fichiers aux versions d’origine et de traquer le PHP là où il n’a rien à faire. Si vous ou votre prestataire disposez d’un accès SSH avec WP-CLI, ces commandes donnent une base de travail :

wp core verify-checksums
wp user list --role=administrator
wp cron event list
find wp-content/uploads -name "*.php"

Un message d’alerte de la première commande signale un fichier du cœur altéré ou ajouté. Des tâches planifiées aux intitulés incompréhensibles, des scripts PHP parmi les images ou des fichiers récents dans des dossiers jamais modifiés sont autant de pistes sérieuses.

Messagerie, hébergeur, clients : les signaux extérieurs

• Courriels refusés : vos messages arrivent en indésirables ou reviennent avec une erreur, parce que le serveur a envoyé du spam et se retrouve sur une liste de blocage.
• Avertissement de l’hébergeur signalant un fichier malveillant, voire suspension du compte.
• Pics de consommation de processeur, de bande passante ou d’espace disque sans explication.
• Clients ou partenaires qui s’inquiètent d’un avertissement à l’écran ou d’un courriel suspect envoyé en votre nom.
• Inscriptions ou commandes incohérentes sur une boutique WooCommerce, demandes de devis absurdes sur un site vitrine.

Pris un par un, aucun de ces signes site WordPress piraté ne prouve une intrusion ; deux ou trois qui se cumulent justifient en revanche un contrôle approfondi.

Savoir si son site est piraté en quelques vérifications

Pour savoir si son site est piraté sans paniquer, reliez chaque symptôme à un endroit où vérifier et à une première action raisonnable.

Symptôme constaté	Endroit où vérifier	Première action
Redirection vers un site inconnu	Mobile en navigation privée, accès depuis Google	Captures d’écran, puis mise en maintenance
Pages étrangères indexées	Recherche site: par rubrique, rapports de la Search Console	Sauvegarder l’état actuel avant de supprimer quoi que ce soit
Administrateur inconnu	Page Utilisateurs, filtre Administrateur	Relever ses informations, puis changer tous les accès
Alerte rouge du navigateur	Rapport « Problèmes de sécurité »	Assainir entièrement avant de demander un réexamen
Courriels rejetés	Message d’erreur reçu, alerte de l’hébergeur	Prévenir l’hébergeur, renouveler les mots de passe de messagerie

Le doute est levé : les gestes qui suivent

Repérer le problème ne règle rien. Dès qu’un symptôme est confirmé, ne supprimez aucun fichier avant d’avoir copié le site et sa base, prévenez l’hébergeur et changez vos mots de passe depuis un appareil sain, en commençant par l’hébergement et la messagerie.

Ne restaurez une sauvegarde qu’après avoir vérifié qu’elle précède l’intrusion. Si des données personnelles ont pu être consultées et que la violation présente un risque pour les personnes, le RGPD impose de la notifier à la CNIL, si possible dans les 72 heures. Le service 17Cyber de Cybermalveillance.gouv.fr propose par ailleurs un diagnostic en ligne et une orientation vers un prestataire.

Une fois le site assaini, des mises à jour suivies, une version de PHP toujours maintenue et des sauvegardes testées réduisent nettement le risque de récidive. Refaire ces contrôles chaque mois reste la meilleure façon de savoir si son site est piraté avant vos clients.

Un contrôle guidé en visioconférence

Ces vérifications demandent d’avoir les bons écrans sous les yeux. En visio avec partage d’écran, nous parcourons avec vous l’administration WordPress, la Search Console et l’espace de l’hébergeur : vous voyez chaque contrôle et comprenez à quoi il sert.

La séance peut être enregistrée pour vous servir de mode opératoire lors des contrôles mensuels. Une association de Grenoble, un artisan près de Reims ou une boutique en ligne de Lille y accèdent de la même manière : un simple lien de connexion.

Signes site WordPress piraté : questions fréquentes

Tout paraît normal sur mon ordinateur : le site peut-il être infecté ?

Oui. De nombreuses infections sont conditionnelles : elles ignorent les administrateurs connectés, les visiteurs déjà venus ou les ordinateurs de bureau, et le spam peut n’être visible que pour le robot de Google. Pour savoir si son site est piraté, testez depuis un smartphone en navigation privée et consultez la Search Console.

La commande site: dans Google suffit-elle ?

Non. Elle révèle surtout les pages de spam déjà indexées, pas les portes dérobées, les comptes cachés ni les scripts réservés à certains visiteurs. Associez-la au rapport « Problèmes de sécurité », à la liste des administrateurs et à une vérification de l’intégrité des fichiers du cœur et des extensions.

Aucune alerte de Google : suis-je tranquille ?

Pas nécessairement. La Search Console ne prévient que les propriétaires et utilisateurs validés du site, et toutes les infections ne sont pas détectées immédiatement. Si votre domaine n’est pas encore validé dans la Search Console, faites-le sans attendre : c’est l’un des canaux par lesquels Google signale un problème de sécurité.

Un compte administrateur inconnu prouve-t-il une intrusion ?

Pas forcément : il peut avoir été créé par un ancien prestataire ou par une extension. Vérifiez sa date de création et l’adresse e-mail rattachée. Si personne ne le reconnaît, considérez-le comme un indice de compromission sérieux : renouvelez tous les accès et cherchez comment il a pu être ajouté.

Mon antivirus ne signale rien : est-ce rassurant ?

Non. L’antivirus protège votre ordinateur, pas le serveur où tourne WordPress. Le code injecté dans un site est souvent obscurci et ne s’exécute que dans certaines conditions. Seule une analyse côté serveur, portant sur les fichiers comme sur la base de données, permet de conclure de façon fiable.

À qui signaler un piratage en France ?

Le service 17Cyber, porté par Cybermalveillance.gouv.fr, la Police nationale et la Gendarmerie nationale, établit un diagnostic et oriente vers un prestataire. Une plainte peut être déposée auprès de la police ou de la gendarmerie. Si des données personnelles sont touchées, la notification à la CNIL obéit aux règles du RGPD.

Quels signes site WordPress piraté exigent une réaction immédiate ?

Une redirection vers un site frauduleux, un avertissement du navigateur, une page de paiement modifiée ou des données clients exposées. Dans ces situations, protégez d’abord vos visiteurs par une page de maintenance, copiez l’état actuel du site, puis déroulez le plan d’urgence sans attendre la fin de la journée.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Un symptôme vous inquiète ? Réservez un appel visio : écran partagé, nous vérifions avec vous si votre site WordPress est compromis et quelles mesures prendre en priorité.