Comment savoir si votre WordPress est piraté : 10 signes

Vous avez un doute, mais rien de flagrant. Le site s’affiche, vous vous connectez sans problème, et pourtant quelque chose cloche. Bonne nouvelle : savoir si votre WordPress est piraté ne repose pas sur l’intuition. Il y a des signes précis, que vous vérifiez vous-même en quelques minutes, et qui font la différence entre une vraie infection et une fausse alerte. Voici les 10 plus fiables. Pour chacun, je vous donne la méthode exacte pour trancher.

1. Google affiche un avertissement sur votre site

« Ce site risque d’endommager votre ordinateur », « Site trompeur » dans les résultats Google, ou carrément un écran rouge plein écran à l’ouverture de votre page : c’est le signal le plus net qui soit. Google a détecté du code malveillant.

Comment vérifier : rendez-vous sur le test de navigation sécurisée de Google et entrez votre URL. Si votre site y est listé comme dangereux, l’infection est confirmée côté Google.

2. site:votre-domaine.fr renvoie des pages que vous n’avez jamais créées

C’est le test le plus rapide, et souvent le plus parlant. Tapez site:votre-domaine.fr dans Google (avec votre vrai nom de domaine). Normalement, vous retombez sur vos pages à vous.

Comment vérifier : parcourez les résultats. Des titres qui parlent de casino, de paris en ligne, de médicaments (viagra, cialis), du contenu en russe, en chinois ou en japonais, des produits que vous n’avez jamais vendus ? Votre site héberge des pages spam injectées. Cliquez sur deux ou trois pour confirmer qu’elles s’affichent vraiment.

3. Votre site redirige vers un autre site

Vous tapez votre adresse et vous atterrissez sur un site de paris, une boutique douteuse ou une page d’arnaque. La redirection ne se déclenche souvent que dans certaines conditions : depuis un résultat Google, sur mobile, ou pour les visiteurs qui ne sont pas connectés à l’admin. On appelle ça le cloaking. C’est précisément ce qui rend le problème si difficile à reproduire (et donc à croire).

Comment vérifier : ouvrez votre site en navigation privée, depuis votre téléphone, et en cliquant sur un résultat Google plutôt qu’en tapant l’URL. Si la redirection apparaît dans l’un de ces cas, lisez le cas de la redirection vers un casino pour comprendre le mécanisme exact.

4. Un compte administrateur que vous ne connaissez pas

Les attaquants se créent presque toujours un compte admin. C’est leur assurance de garder un accès, même après que vous ayez changé votre mot de passe.

Comment vérifier : connectez-vous à /wp-admin, allez dans Utilisateurs, filtrez sur le rôle « Administrateur ». Cherchez le compte que vous n’avez pas créé : nom aléatoire, e-mail inconnu, date d’inscription récente. Un seul admin suspect suffit à confirmer la compromission.

5. Des fichiers modifiés alors que vous n’avez touché à rien

WordPress et ses extensions ne se réécrivent pas tout seuls entre deux mises à jour. Des fichiers .php modifiés récemment, sans raison, c’est un vrai drapeau rouge.

Comment vérifier : connectez-vous en FTP (avec FileZilla, par exemple) ou via le gestionnaire de fichiers de votre hébergeur. Triez les fichiers par date de modification et regardez surtout wp-config.php, index.php, .htaccess et les fichiers à la racine. Une date qui ne correspond à aucune action de votre part mérite qu’on y regarde de plus près. C’est souvent là que se cache une porte dérobée : voir trouver et supprimer une backdoor.

6. Des fichiers .php dans wp-content/uploads

Le dossier wp-content/uploads contient vos images et vos documents. Il n’a aucune raison d’héberger du code exécutable.

Comment vérifier : en FTP, ouvrez wp-content/uploads et ses sous-dossiers (rangés par année et par mois). Cherchez des fichiers en .php, .phtml, ou aux noms bizarres comme wp-cache-helper.php ou une suite de caractères aléatoires. Un seul fichier .php ici est anormal. Dans la quasi-totalité des cas, c’est une backdoor.

7. La Search Console signale une chute de trafic ou des mots-clés étrangers

Search Console est un excellent détecteur. Une infection laisse des traces dans les statistiques bien avant que vous ne remarquiez quoi que ce soit d’autre.

Comment vérifier : ouvrez le rapport Performances. Deux signaux d’alerte. Soit une chute brutale du trafic sur les dernières semaines. Soit, à l’inverse, un pic d’impressions sur des requêtes que vous n’avez jamais ciblées (marques de paris, termes pharmaceutiques, mots en langue étrangère). Passez aussi par l’onglet Sécurité et actions manuelles : un problème de sécurité y est signalé noir sur blanc.

8. Le navigateur ou l’antivirus bloque l’accès

Chrome, Firefox ou l’antivirus d’un visiteur qui bloque l’ouverture de votre site ? Un client qui vous écrit qu’il « n’arrive plus à accéder au site à cause d’une alerte de sécurité » ? Ne balayez pas ça d’un revers de main comme un faux positif.

Comment vérifier : testez votre site depuis plusieurs navigateurs et, si vous le pouvez, depuis une machine équipée d’un antivirus différent du vôtre. Croisez avec le test de navigation sécurisée du point 1. Un blocage cohérent sur plusieurs outils, c’est du code malveillant détecté, pas un hasard.

9. Votre hébergeur suspend le site ou signale du spam sortant

Les hébergeurs surveillent l’activité de leurs serveurs. Un e-mail du type « activité suspecte », « envoi de spam détecté » ou « site suspendu pour des raisons de sécurité », c’est un signe direct.

Comment vérifier : fouillez votre boîte mail, spams compris, à la recherche de tout message de votre hébergeur. Il arrive aussi que votre domaine finisse sur une liste noire d’envoi d’e-mails. Testez-le avec un outil comme MXToolbox Blacklist Check. Si votre IP ou votre domaine y figure, votre serveur envoie sans doute du spam à votre insu.

10. Des e-mails partent de votre domaine sans votre action

Vos contacts reçoivent des e-mails bizarres « de votre part ». Ou vos propres envois atterrissent systématiquement en spam. Un site piraté sert fréquemment de relais d’envoi massif.

Comment vérifier : demandez à quelques contacts s’ils ont reçu des messages inhabituels signés de votre domaine. Croisez avec le test de liste noire du point 9. Si votre domaine envoie des messages que vous n’avez pas écrits, le serveur est compromis.

Bonus : un site anormalement lent

Une lenteur soudaine, sans que vous ayez rien changé, peut trahir des scripts malveillants qui tournent en arrière-plan : minage, envoi de spam, attaques vers d’autres sites. Pris isolément, ça ne prouve rien. Mais combiné aux autres signes, ça pèse. Regardez dans le tableau de bord de votre hébergeur si la charge serveur ou la consommation CPU a grimpé sans raison.

FAQ

Un seul de ces signes suffit-il pour conclure que je suis piraté ? Certains oui. Un compte admin inconnu, des pages casino dans site:votre-domaine.fr, un fichier .php dans wp-content/uploads ou un avertissement Google sont chacun une preuve suffisante. D’autres, comme la lenteur seule, demandent confirmation par un second signe.

Mon site fonctionne normalement pour moi, est-ce que ça veut dire qu’il est sain ? Pas forcément. Le cloaking masque l’infection à l’administrateur et aux visiteurs directs, tout en l’affichant à Google et aux visiteurs mobiles. C’est pour ça qu’il faut tester en navigation privée et depuis un mobile.

Combien de temps une infection peut-elle passer inaperçue ? Des semaines, parfois des mois. Plus elle dure, plus Google déréférence vos pages et plus la réputation de votre domaine se dégrade. C’est pourquoi un doute mérite une vérification immédiate, pas une attente.

J’ai un ou plusieurs de ces signes, et maintenant ?

Vous avez coché une case ou plusieurs ? Ne vous jetez pas sur la suppression de fichiers au hasard. Vous risquez de casser le site sans fermer la porte d’entrée, et l’infection revient quelques jours plus tard. Suivez plutôt une méthode complète, du diagnostic au durcissement. Le guide que faire quand votre WordPress est piraté détaille chaque étape dans l’ordre.

Et si vous préférez ne pas y toucher, WP-Detox s’en charge. Un scan gratuit vérifie en quelques secondes la présence des signes décrits ci-dessus. Infection confirmée ? Le nettoyage prend environ 30 minutes : suppression du spam et des backdoors, fermeture des accès, vérification que le site est bien sorti des listes noires. Tarif unique de 149 € HT, remboursé si le nettoyage échoue.