Signes site WordPress piraté : la check-list pour réagir à temps

Un piratage se remarque rarement à cause d’une page d’accueil défigurée : les indices sont généralement discrets, parfois invisibles depuis votre propre ordinateur. Cette check-list des signes site WordPress piraté vous aide à les repérer avant que vos clients, Google ou votre hébergeur ne vous les signalent.

L’agence Référenceur accompagne les indépendants, PME et ASBL de Belgique pour poser un diagnostic fiable, mené avec eux en visioconférence, puis choisir les mesures qui correspondent réellement à ce qui a été trouvé.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Une analyse gratuite de sécurité est disponible sur cette page pour un premier contrôle. Si l’intrusion se confirme, passez au plan site WordPress piraté : que faire ; pour la prévention, lisez notre guide de la sécurité WordPress ou confiez-nous la vérification via la page intervention sur un site WordPress piraté.

Les signes site WordPress piraté visibles par vos visiteurs

Le symptôme le plus répandu reste la redirection malveillante : le visiteur arrive chez vous et atterrit sur une fausse loterie, une pharmacie douteuse ou un faux support technique. Elle ne se déclenche souvent que sur mobile, depuis un résultat Google ou une seule fois par visiteur, ce qui explique que vous ne la voyiez pas en tapant votre adresse.

Faites donc le test depuis un smartphone, en navigation privée, en cliquant sur votre site dans les résultats de recherche. L’article redirection malveillante WordPress indique où ce code se dissimule habituellement.

D’autres indices s’affichent à l’écran : liens ou textes ajoutés en pied de page, fenêtres publicitaires jamais installées, faux formulaire de paiement, ou encore une page d’avertissement rouge du navigateur. Selon Google, Chrome peut aussi qualifier le site de dangereux dans la barre d’adresse.

Un ralentissement brutal, sans aucun changement de votre part, peut trahir un script de minage de cryptomonnaie, une forme d’injection de code citée par Google, ou un envoi massif de spam qui épuise les ressources du serveur.

Ce que Google et la Search Console laissent voir

Tapez site:votredomaine.be dans Google. Des pages en japonais, des titres de médicaments, de contrefaçons ou de casinos signalent des contenus injectés sur votre domaine. Google précise que ce spam peut être caché aux visiteurs et servi seulement à son robot : c’est le cloaking, qui rend la page normale à vos yeux.

Si votre site existe en plusieurs langues, répétez la recherche pour chaque version, par exemple sur les sous-répertoires /nl/ ou /de/ : une version peu consultée peut héberger du spam des semaines durant. Ce cas fréquent est traité dans notre guide sur le spam SEO japonais.

Dans la Search Console, ouvrez le rapport « Problèmes de sécurité » : Google y distingue notamment l’injection de contenu, l’injection d’URL, l’injection de code et les logiciels malveillants, exemples d’URL à l’appui. Les rapports d’indexation et de performances peuvent aussi révéler un afflux de pages ou de requêtes sans lien avec votre activité, d’où l’intérêt d’un suivi web analytics régulier.

Pour savoir si Google juge votre domaine dangereux, l’outil de vérification de la navigation sécurisée du rapport de transparence de Google affiche un statut public. En cas d’alerte, suivez le guide site WordPress sur liste noire Google.

Les indices dans l’administration et sur le serveur

Dans l’administration, ouvrez Utilisateurs et filtrez sur le rôle « Administrateur ». Un compte que personne ne reconnaît, même au nom anodin, est un signal sérieux ; faites de même avec les extensions, en vous méfiant de tout nom générique sans auteur identifiable.

Côté serveur, l’objectif est de comparer les fichiers aux originaux et de chercher du PHP là où il n’a pas sa place. Si vous ou votre prestataire disposez d’un accès SSH avec WP-CLI, ces commandes officielles constituent un bon point de départ :

wp core verify-checksums
wp user list --role=administrator
wp cron event list
find wp-content/uploads -name "*.php"

Un avertissement de la première commande signale un fichier du cœur modifié ou ajouté. Des tâches planifiées aux noms étranges, des fichiers PHP parmi les médias ou des fichiers récents dans des dossiers jamais touchés sont autant de pistes à creuser.

Les alertes qui viennent de l’extérieur

• Messages rejetés : vos e-mails tombent en spam ou reviennent en erreur, parce que votre serveur a servi à expédier du spam et figure sur une liste de blocage.
• Hébergeur qui suspend le compte ou vous avertit d’un fichier malveillant détecté.
• Consommation anormale de ressources, de bande passante ou d’espace disque.
• Clients ou fournisseurs qui vous préviennent d’un avertissement ou d’un e-mail suspect envoyé en votre nom.
• Comptes ou commandes étranges sur une boutique WooCommerce, ou réservations fantaisistes sur le site d’un restaurant.

Isolé, aucun de ces signes site WordPress piraté ne prouve une intrusion ; deux ou trois réunis justifient en revanche une vérification approfondie.

Savoir si son site est piraté : la grille de lecture

Pour savoir si son site est piraté sans céder à la panique, associez chaque symptôme à un contrôle simple et à la bonne première réaction.

Ce que vous observez	Où vérifier	Premier geste
Visiteurs envoyés vers un autre site	Smartphone, navigation privée, clic depuis Google	Captures d’écran, puis page de maintenance
Pages inconnues dans Google	Recherche site: par langue et Search Console	Copier le site en l’état avant toute suppression
Administrateur que personne ne connaît	Menu Utilisateurs, rôle Administrateur	Noter ses informations, puis renouveler tous les accès
Écran d’alerte du navigateur	Rapport « Problèmes de sécurité »	Assainir complètement, puis demander un réexamen
E-mails qui reviennent en erreur	Message de retour, alerte de l’hébergeur	Prévenir l’hébergeur, changer les mots de passe de messagerie
Site soudain très lent	Statistiques de ressources de l’hébergeur	Chercher des fichiers récents et des tâches planifiées

Un signe confirmé : la suite des opérations

Le diagnostic n’est qu’un point de départ. Dès qu’un symptôme se confirme, ne supprimez rien avant d’avoir copié les fichiers et la base, prévenez votre hébergeur et changez vos mots de passe depuis un appareil sain, en commençant par l’hébergement et la messagerie.

Ne restaurez pas une sauvegarde sans vérifier qu’elle précède l’intrusion, et ne réinstallez jamais une extension premium téléchargée hors du site de son éditeur. Si des données personnelles ont pu être consultées, le RGPD peut imposer une notification à l’Autorité de protection des données (APD), si possible dans les 72 heures.

Une fois le site assaini, des mises à jour régulières, une version de PHP encore supportée et des sauvegardes testées limitent fortement le risque de récidive. Refaits chaque mois, ces contrôles permettent de savoir si son site est piraté bien avant qu’un client ne s’en aperçoive.

Une vérification à distance, écran partagé

Repérer ces signes suppose d’avoir les bons écrans sous les yeux. En visioconférence avec partage d’écran, nous parcourons ensemble votre administration, la Search Console et l’espace de l’hébergeur : vous voyez ce que nous contrôlons, et pourquoi.

La séance peut être enregistrée, ce qui vous laisse un support pour refaire les contrôles lors de la maintenance mensuelle. Ce format convient aussi bien à un indépendant de Wavre qu’à une ASBL d’Eupen ou à un commerce de Charleroi : aucune distance à parcourir, seulement un lien de connexion.

Signes site WordPress piraté : vos questions

Mon site s’affiche normalement chez moi : peut-il être piraté quand même ?

Oui. Beaucoup d’infections sont conditionnelles : elles épargnent les administrateurs connectés, les visiteurs déjà passés ou les ordinateurs de bureau, et le spam peut n’être montré qu’au robot de Google. Pour savoir si son site est piraté, testez depuis un mobile en navigation privée et consultez la Search Console.

La recherche site: suffit-elle à détecter un piratage ?

Elle révèle surtout les pages de spam indexées, mais ni les portes dérobées, ni les comptes cachés, ni les scripts réservés à certains visiteurs. Combinez-la avec le rapport « Problèmes de sécurité », la liste des administrateurs et une vérification des fichiers du cœur et des extensions, pour chaque version linguistique du site.

Google ne m’a envoyé aucune alerte : puis-je être rassuré ?

Pas forcément. La Search Console n’avertit que les propriétaires et utilisateurs validés du site, et une infection n’est pas toujours détectée immédiatement. Si votre domaine n’est pas encore validé dans la Search Console, faites-le dès maintenant : c’est l’un des canaux par lesquels Google signale un problème de sécurité.

Un administrateur inconnu signifie-t-il forcément un piratage ?

Pas toujours : il peut s’agir d’un compte créé par un ancien prestataire ou par une extension. Vérifiez sa date de création et l’adresse e-mail associée. Si personne ne le reconnaît, traitez-le comme un signe de compromission sérieux : renouvelez tous les accès et cherchez comment il a été créé.

Mon antivirus ne détecte rien : est-ce bon signe ?

Non. L’antivirus de votre ordinateur protège votre poste, pas le serveur sur lequel tourne WordPress. Le code malveillant injecté dans un site est souvent masqué et ne s’active que dans certaines conditions. Seule une analyse côté serveur, des fichiers comme de la base de données, permet de trancher.

Où signaler un piratage en Belgique ?

Vous pouvez signaler l’incident au Centre pour la Cybersécurité Belgique (CCB), qui accepte les signalements de toute organisation tout en donnant la priorité aux entités soumises à NIS2, et porter plainte auprès de la police locale. Safeonweb, l’initiative de sensibilisation du CCB, publie par ailleurs des conseils utiles aux entreprises.

Quels signes site WordPress piraté imposent d’agir tout de suite ?

Une redirection vers un site frauduleux, un avertissement du navigateur, une page de paiement modifiée ou des données de clients exposées. Dans ces cas, protégez d’abord vos visiteurs avec une page de maintenance, copiez l’état actuel du site, puis appliquez le plan d’urgence sans attendre.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Un symptôme vous inquiète ? Planifiez un appel visio : nous vérifions avec vous, écran partagé, si votre site WordPress est compromis et quelles mesures prendre ensuite.