Redirection malveillante WordPress : démasquer le détournement et le neutraliser

Une redirection malveillante WordPress détourne une partie de vos visiteurs vers un casino en ligne, une fausse loterie ou une page qui réclame des coordonnées bancaires, pendant que vous, depuis votre bureau, voyez un site intact. Ce décalage coûte cher : le gérant croit à une fausse manœuvre du client, le client soupçonne l’entreprise d’avoir abandonné son domaine.

L’agence Référenceur accompagne les PME, indépendants et ASBL de toute la Belgique pour reproduire la redirection, en localiser l’origine et remettre le site en état, sans aucun déplacement. Vous trouverez ici pourquoi ce piratage échappe à l’administrateur, comment le mettre en évidence vous-même et où se cache le code.

Analysez la sécurité de votre site WordPress : lancez dès maintenant une première analyse gratuite avec notre outil ci-dessous.

Ce guide prolonge notre guide général de la sécurité WordPress et la page consacrée aux symptômes d’un site WordPress piraté. Une analyse gratuite de sécurité de votre domaine est également proposée sur cette page.

Quand un site WordPress redirige vers un autre site seulement pour certains visiteurs

Si votre site WordPress redirige vers un autre site de manière irrégulière, il ne s’agit presque jamais d’un bug. Le code injecté trie ses cibles pour que le propriétaire ne le remarque pas, parfois pendant des mois.

Les critères habituels sont l’origine de la visite (clic depuis Google ou un réseau social), le type d’appareil (smartphones uniquement) et l’absence de cookie de session WordPress, qui signale un visiteur non connecté. Certains scripts ne frappent qu’une fois par personne, ce qui complique beaucoup la reproduction.

Google range ces pratiques parmi les redirections trompeuses dans ses règles relatives au spam et précise qu’un code piraté peut rediriger selon le référent, l’agent utilisateur ou l’appareil. La Search Console prévoit d’ailleurs une action manuelle spécifique aux redirections trompeuses sur mobile.

Reproduire le détournement pas à pas

Avant de chercher le code, il faut prouver le problème de façon reproductible. Pour chaque essai, notez l’heure, l’appareil, le navigateur, la langue de la page et l’adresse d’arrivée : ces détails orientent directement la recherche.

1. Fenêtre privée sur ordinateur, sans session WordPress, d’abord en tapant l’adresse, puis en passant par une recherche Google.
2. Smartphone en 4G ou 5G, hors du Wi-Fi de l’entreprise, en cliquant sur votre site dans les résultats de recherche.
3. Chaque version linguistique d’un site en français, néerlandais, allemand ou anglais, car le script peut n’en viser qu’une.
4. Inspection de l’URL dans la Search Console : le test en direct affiche la page telle que Googlebot la reçoit.
5. Transparency Report de Google, pour vérifier si Safe Browsing signale déjà votre domaine.

curl -sI -A "Mozilla/5.0 (Linux; Android 14; Pixel 8)" -e "https://www.google.be/" https://www.votredomaine.be/

Cette commande simule un mobile qui arrive de Google et n’affiche que les en-têtes HTTP : une ligne Location pointant vers un domaine inconnu trahit une redirection côté serveur. Une redirection en JavaScript, elle, ne se voit que dans le code source complet ou dans les outils de développement du navigateur.

Où se cache une redirection malveillante WordPress

La même redirection malveillante WordPress est souvent déclenchée depuis plusieurs endroits à la fois, d’où les nettoyages qui échouent. Voici les cachettes à passer en revue systématiquement.

Emplacement	Indice révélateur	Méthode de contrôle
Fichiers .htaccess	RewriteCond sur HTTP_REFERER ou HTTP_USER_AGENT suivie d’une règle vers un domaine tiers	Rechercher ces variables dans tous les .htaccess, y compris les sous-dossiers
Scripts injectés	JavaScript obscurci dans l’en-tête, le pied de page ou un fichier .js du thème	Lire le code source servi en fenêtre privée
Table wp_options	siteurl ou home modifiés, option qui charge un script externe	Contrôler les options et les réglages des extensions d’insertion de code
Contenus et widgets	Balise script glissée dans un article, une page ou un bloc HTML	Rechercher les balises script dans wp_posts et les widgets
Extensions, mu-plugins, thème	Fichier PHP qui teste l’appareil ou la provenance du visiteur	Sommes de contrôle WP-CLI et comparaison avec le thème d’origine

grep -rn -e "HTTP_REFERER" -e "HTTP_USER_AGENT" --include=".htaccess" .
wp option get siteurl
wp option get home

Lancée à la racine du site, la première ligne liste les conditions suspectes dans chaque .htaccess. Les deux commandes WP-CLI affichent les adresses utilisées par WordPress, qui doivent correspondre exactement à votre domaine, protocole compris.

Éradiquer le code et empêcher son retour

Commencez par une copie complète des fichiers et de la base, stockée hors du serveur, pour conserver une preuve et pouvoir revenir en arrière. Évitez de restaurer une ancienne sauvegarde tant que vous ignorez la date d’apparition du problème : elle contient peut-être déjà le script.

Remplacez chaque .htaccess compromis par le bloc « Basic WP » publié dans la documentation WordPress, en ne réintégrant que les règles que vous comprenez. Supprimez les scripts glissés dans les contenus, les widgets et les options, puis réinstallez le cœur, les extensions et le thème depuis leurs sources officielles.

Identifiez ensuite la porte d’entrée : fichiers PHP dans wp-content/uploads, administrateurs inconnus, tâches cron suspectes. Notre protocole pour nettoyer un malware WordPress détaille ces vérifications, et la régénération des clés de sécurité ferme les sessions encore ouvertes.

Refaites enfin les mêmes tests qu’au départ, sur les mêmes appareils. Une redirection qui revient au bout de quelques heures signale presque toujours une tâche planifiée ou un fichier oublié qui réécrit le code.

Mises à jour, sauvegardes et suivi des visites

La plupart de ces piratages exploitent une extension, un thème ou une version de PHP dépassés. Appliquez les mises à jour de tous les composants et vérifiez votre version de PHP grâce à notre article sur la sécurité et la version PHP de WordPress.

Resserrez les accès avec la double authentification, des mots de passe uniques et la suppression des comptes d’anciens prestataires. Programmez des sauvegardes WordPress hors serveur, testées par une restauration réelle. Si Google ou les navigateurs affichent un avertissement, notre page sur un site WordPress en liste noire Google décrit la demande d’examen.

Surveillez enfin vos statistiques : une chute soudaine des sessions mobiles ou du temps passé sur les pages d’atterrissage depuis Google peut trahir une redirection avant même qu’un client ne la signale. Un dispositif de web analytics bien configuré sert aussi d’alarme.

Diagnostic et nettoyage en visioconférence

Une redirection se diagnostique idéalement à distance, puisqu’il faut se placer dans la peau d’un visiteur extérieur. L’appel de cadrage en visio permet de reproduire le problème ensemble, en partage d’écran, et de rassembler les accès nécessaires.

La recherche et la suppression du code se font ensuite avec des accès temporaires, révoqués à la fin de l’intervention. Vous recevez un compte rendu des emplacements nettoyés et de la faille probable, accompagné d’une courte formation enregistrée pour refaire les tests vous-même.

Un point mensuel peut ensuite suivre mises à jour et sauvegardes, pour un commerce bruxellois comme pour un cabinet liégeois ou une ASBL du Luxembourg belge. Notre page réparation d’un site WordPress piraté présente l’ensemble de l’intervention.

Redirection malveillante WordPress : vos questions

Pourquoi la redirection ne touche-t-elle que les smartphones ?

Beaucoup de scripts lisent l’agent utilisateur et ne ciblent que les mobiles, plus nombreux et moins souvent contrôlés par les administrateurs. Testez en données mobiles, hors du Wi-Fi de l’entreprise, en passant par une recherche Google. Ce comportement est typique d’une redirection malveillante WordPress logée dans le .htaccess ou dans un script injecté.

Mon site WordPress redirige vers un autre site uniquement depuis Google : est-ce un piratage ?

Presque certainement. Quand un site WordPress redirige vers un autre site seulement pour les visiteurs issus de Google, un code vérifie le référent pour se cacher du propriétaire. Vos clients risquent de tomber sur une arnaque, et Google peut afficher un avertissement ou appliquer une action manuelle. Traitez-le comme une intrusion, pas comme un réglage défaillant.

Une extension de gestion des redirections peut-elle être en cause ?

Oui, de deux manières. Un administrateur piraté a pu ajouter des règles dans une extension légitime : relisez toutes les redirections qu’elle contient. Une extension vulnérable a aussi pu servir de porte d’entrée. Dans les deux cas, vérifiez les règles, mettez à jour ou remplacez l’extension, puis contrôlez la liste des comptes administrateurs.

Changer de thème fait-il disparaître le problème ?

Rarement : le code se trouve souvent dans le .htaccess, la base de données, une extension ou un fichier must-use, actifs quel que soit le thème. Changer de thème peut même masquer temporairement le symptôme et donner l’illusion d’une réparation. Mieux vaut localiser la source exacte, puis réinstaller le thème d’origine fourni par l’éditeur.

L’hébergeur affirme que le serveur est sain : à qui m’adresser ?

Le serveur peut être sain alors que l’installation WordPress ne l’est pas, car l’hébergeur surveille l’infrastructure, pas vos fichiers. Envoyez-lui vos tests documentés et demandez les journaux d’accès. Le Centre pour la Cybersécurité Belgique reçoit aussi les signalements d’incidents, et ces éléments facilitent la traque d’une redirection malveillante WordPress intermittente.

Faut-il avertir les clients qui ont été redirigés ?

Si la page d’arrivée demandait des identifiants, un paiement ou un téléchargement, prévenez vos clients sobrement et conseillez-leur de changer les mots de passe saisis. Les conseils de Safeonweb, l’initiative du CCB, peuvent les aider. Si des données personnelles traitées par votre site ont été exposées, le RGPD peut imposer une notification à l’Autorité de protection des données ; faites-vous conseiller.

Un doute sur l’état de votre site ? Lancez une analyse de sécurité gratuite de votre site WordPress :

Certains visiteurs atterrissent sur un site inconnu ? Réservez un appel visio de 20 minutes : nous reproduisons le détournement avec vous en partage d’écran et établissons le plan pour le supprimer durablement.