Signes site WordPress piraté : les symptômes à vérifier sans attendre

Un piratage ne s’annonce pas toujours par une page défigurée. Les indices sont souvent discrets, et notre check-list « signes site WordPress piraté » vous aide à les reconnaître avant que Google, vos clients ou votre hébergeur ne le fassent à votre place.

L’agence Référenceur aide les propriétaires de sites romands à établir un diagnostic fiable, mené avec eux en visioconférence, puis à choisir les mesures adaptées à ce qui a été trouvé.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse avec notre outil ci-dessous.

Si l’intrusion est confirmée, passez au plan d’action site WordPress piraté : que faire. Pour la prévention, consultez le guide sécurité WordPress, ou confiez-nous le diagnostic via la page site WordPress piraté.

Signes site WordPress piraté : ce que voient vos visiteurs

Le symptôme le plus courant est la redirection malveillante : le visiteur arrive sur votre site et se retrouve sur une page de loterie, de pharmacie ou de faux support technique. Elle ne se déclenche souvent que sur mobile, depuis un résultat Google ou une seule fois par visiteur, ce qui explique que vous ne la voyiez pas en tapant votre adresse.

Testez donc depuis un smartphone, en navigation privée, en cliquant sur votre site dans les résultats de recherche. L’article redirection malveillante WordPress détaille les endroits où ce code se cache.

D’autres signes sont visibles à l’écran : liens ou textes ajoutés en pied de page, fenêtres publicitaires jamais installées, faux formulaire de paiement, ou encore une page d’avertissement rouge affichée par le navigateur. Selon Google, Chrome peut aussi indiquer le site comme dangereux dans la barre d’adresse.

Une lenteur soudaine, sans changement de votre part, peut également trahir un script de minage de cryptomonnaie, un type d’injection de code cité par Google, ou un envoi massif de spam qui consomme les ressources du serveur.

Ce que Google révèle sur votre domaine

Tapez site:votredomaine.ch dans Google. Si apparaissent des pages en japonais, des titres de médicaments, de contrefaçons ou de casinos, des contenus ont été injectés sur votre domaine. Google précise que ce spam peut être masqué aux visiteurs et montré seulement à son robot : c’est le cloaking, qui rend la page normale à vos yeux.

Ce cas fréquent est traité dans le guide spam SEO japonais. Dans la Search Console, ouvrez aussi le rapport « Problèmes de sécurité » : Google y distingue notamment l’injection de contenu, l’injection d’URL, l’injection de code et les logiciels malveillants, exemples d’URL à l’appui.

Les rapports d’indexation et de performances peuvent aussi montrer un afflux de pages ou de requêtes sans rapport avec votre activité. Pour savoir si Google considère votre domaine comme dangereux, l’outil de vérification de la navigation sécurisée du rapport de transparence de Google donne un statut public. En cas d’alerte, suivez le guide site WordPress sur liste noire Google.

Les indices dans l’administration et sur le serveur

Dans l’administration, ouvrez Utilisateurs et filtrez par rôle « Administrateur ». Un compte inconnu, même au nom anodin, est un signe sérieux. Passez aussi en revue les extensions : une extension que personne n’a installée, ou un nom générique sans auteur identifiable, doit vous alerter.

Côté serveur, il s’agit de comparer les fichiers aux originaux et de chercher du PHP là où il n’a rien à faire. Si vous ou votre prestataire disposez d’un accès SSH avec WP-CLI, ces commandes officielles sont un bon point de départ :

wp core verify-checksums
wp user list --role=administrator
wp cron event list
find wp-content/uploads -name "*.php"

Un avertissement de la première commande signale un fichier du cœur modifié ou ajouté. Des tâches planifiées aux noms étranges, des fichiers PHP parmi les médias ou des fichiers récents dans des dossiers que vous ne touchez jamais sont autant d’indices à examiner.

Les signaux indirects : messagerie, hébergeur, ressources

• E-mails rejetés : vos messages arrivent en spam ou reviennent en erreur, parce que votre serveur a servi à envoyer du spam et figure sur une liste de blocage.
• Hébergeur qui suspend le compte ou vous envoie une alerte de fichier malveillant.
• Consommation anormale de ressources, de bande passante ou d’espace disque.
• Clients qui vous préviennent d’un avertissement ou d’un e-mail suspect envoyé à votre nom.
• Nouveaux comptes ou commandes étranges sur une boutique WooCommerce.

Pris isolément, aucun de ces signes site WordPress piraté ne prouve une intrusion, mais deux ou trois réunis justifient une vérification approfondie.

Savoir si son site est piraté : le tableau de diagnostic

Pour savoir si son site est piraté sans céder à la panique, rapprochez chaque symptôme d’une vérification simple et de la bonne première réaction.

Symptôme	Vérification	Première réaction
Redirection vers un autre site	Test sur mobile, en navigation privée, depuis Google	Captures d’écran, puis mode maintenance
Pages de spam dans Google	Recherche site: et Search Console	Copier l’état actuel avant toute suppression
Administrateur inconnu	Utilisateurs, rôle Administrateur	Noter ses informations, puis changer tous les accès
Avertissement du navigateur	Rapport « Problèmes de sécurité »	Nettoyer entièrement, puis demander un réexamen
E-mails rejetés	Message d’erreur reçu, alerte de l’hébergeur	Prévenir l’hébergeur, changer les mots de passe de messagerie
Lenteur soudaine	Statistiques de ressources de l’hébergeur	Chercher des fichiers récents et des tâches planifiées

Un signe repéré : les bons réflexes

Le diagnostic n’est que la première étape. Dès qu’un signe est confirmé, les quatre piliers entrent en jeu : nettoyage, sécurisation, mises à jour et sauvegardes.

• Ne supprimez rien avant d’avoir copié les fichiers et la base de données dans leur état actuel.
• Prévenez votre hébergeur et demandez-lui les journaux d’accès.
• Changez vos mots de passe depuis un appareil sain, en commençant par l’hébergement et la messagerie.
• Ne restaurez pas une sauvegarde sans vérifier qu’elle précède l’intrusion.
• Ne réinstallez jamais une extension premium depuis un site de téléchargement non officiel.

Une fois le site nettoyé, des mises à jour régulières, une version de PHP supportée et des sauvegardes testées réduisent nettement le risque de récidive. Refaits chaque mois, les mêmes contrôles permettent de savoir si son site est piraté bien avant qu’un client ne le remarque.

Un diagnostic partagé en visioconférence

Repérer ces signes demande d’avoir les bons écrans sous les yeux. En visioconférence avec partage d’écran, nous passons ensemble en revue votre administration, la Search Console et l’espace de l’hébergeur : vous voyez ce que nous vérifions, et pourquoi.

La séance peut être enregistrée, ce qui vous laisse un support pour refaire les contrôles vous-même lors de la maintenance mensuelle. Nous accompagnons ainsi des sites à Fribourg, Montreux, La Chaux-de-Fonds et dans tout le Valais.

Signes site WordPress piraté : vos questions

Mon site s’affiche normalement chez moi : peut-il quand même être piraté ?

Oui. Beaucoup d’infections sont conditionnelles : elles épargnent les administrateurs connectés, les visiteurs déjà passés ou les ordinateurs de bureau, et le spam peut n’être montré qu’au robot de Google. Pour savoir si son site est piraté, testez depuis un mobile en navigation privée et consultez la Search Console.

Une recherche site: suffit-elle pour détecter un piratage ?

Elle révèle surtout les pages de spam indexées, mais ni les portes dérobées, ni les comptes cachés, ni les scripts qui visent uniquement les visiteurs. Combinez-la avec le rapport « Problèmes de sécurité », la liste des administrateurs et une vérification des fichiers du cœur et des extensions.

Google ne m’a envoyé aucune alerte : suis-je tranquille ?

Pas forcément. La Search Console n’avertit que les propriétaires et utilisateurs validés du site, et toute infection n’est pas détectée immédiatement. Si votre domaine n’est pas encore validé dans la Search Console, faites-le maintenant : c’est l’un des canaux par lesquels Google signale un problème de sécurité.

Un administrateur inconnu, est-ce forcément un piratage ?

Pas toujours : il peut s’agir d’un compte créé par un ancien prestataire ou par une extension. Vérifiez sa date de création et l’adresse e-mail associée. Si personne ne le reconnaît, traitez-le comme un signe de compromission sérieux : changez tous les accès et cherchez comment il a été créé.

Mon antivirus ne signale rien : est-ce rassurant ?

Non. L’antivirus de votre ordinateur protège votre poste, pas le serveur où fonctionne WordPress. Les codes malveillants injectés dans un site sont souvent masqués et ne s’activent que dans certaines conditions. Seule une analyse côté serveur, des fichiers comme de la base de données, permet de conclure.

Quels signes site WordPress piraté imposent d’agir immédiatement ?

Une redirection vers un site frauduleux, un avertissement du navigateur, une page de paiement modifiée ou des données clients exposées. Dans ces cas, protégez d’abord vos visiteurs avec le mode maintenance, copiez l’état actuel du site, puis appliquez le plan d’urgence sans attendre.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité de votre site WordPress :

Un symptôme vous inquiète ? Réservez un appel visio : nous vérifions avec vous, écran partagé, si votre site WordPress est compromis et ce qu’il faut faire ensuite.