Site WordPress piraté : repérer une redirection et les autres signes

Une redirection inattendue sur un site WordPress peut révéler un piratage, surtout si elle apparaît uniquement sur mobile ou pour les visiteurs non connectés. Vérifiez aussi les pages affichées dans Google, les comptes administrateurs, les fichiers modifiés et les journaux du serveur. Avant de supprimer quoi que ce soit, conservez une copie du site et des traces utiles à l’analyse.

Repérer les signes visibles d’un site WordPress piraté

Commencez par regarder votre site comme un visiteur. Une page peut sembler normale lorsque vous êtes connecté à WordPress et afficher un contenu différent pour les autres utilisateurs.

Les signes à examiner comprennent :

• Une redirection vers un domaine inconnu, parfois uniquement au premier chargement ou sur mobile.
• Des fenêtres publicitaires, pop-up ou contenus superposés que vous n’avez pas ajoutés.
• Des scripts ou des liens sortants qui semblent avoir changé sans intervention de votre équipe.
• Un ralentissement soudain, une indisponibilité ou un avertissement du navigateur concernant un contenu dangereux.
• Des titres en japonais, des termes liés aux médicaments ou des pages sans rapport avec votre activité dans les résultats Google.
• Des signalements de spam associés aux liens de vos newsletters ou de vos confirmations de commande.

Un seul de ces symptômes ne prouve pas une intrusion. Un ralentissement peut par exemple venir de l’hébergement ou d’une extension, et une redirection peut résulter d’un réglage erroné. En revanche, plusieurs anomalies concordantes justifient une investigation de sécurité.

Tester une redirection qui ne touche que certains visiteurs

Ouvrez les pages importantes en navigation privée, puis comparez avec le rendu obtenu lorsque vous êtes connecté. Testez également sur ordinateur et sur mobile, avec différents navigateurs et, si possible, depuis un autre réseau.

Comparez le comportement avec et sans bloqueur de publicité. Certaines injections ne se déclenchent que dans des conditions précises : selon l’appareil, la provenance du visiteur ou le moment de la visite. Si le site utilise un cache ou un CDN, comparez aussi la version servie par le cache avec celle de l’origine.

Si une seule personne voit des publicités ou une alerte, le problème peut se trouver sur son appareil, dans son navigateur ou dans sa configuration DNS. Un test depuis un profil de navigateur propre et plusieurs réseaux aide à distinguer ce cas d’une compromission du site.

Examiner les scripts chargés par les pages

Dans votre navigateur, ouvrez les outils de développement, puis inspectez une page touchée :

1. Dans l’onglet Éléments, cherchez des scripts ou des iframes inattendus, notamment à la fin de la page.
2. Repérez les domaines inconnus, les attributs comme onload ou onmouseover, et les contenus masqués qui ne correspondent pas à votre site.
3. Dans l’onglet Réseau, filtrez les requêtes de type JavaScript et document. Vérifiez les domaines appelés et les éventuelles chaînes de redirection.
4. Comparez avec une page affichée en tant qu’administrateur connecté. Un script présent uniquement pour les visiteurs anonymes mérite une vérification.

Une iframe minuscule, un domaine à l’orthographe trompeuse ou du code encodé peuvent être suspects, sans être des preuves à eux seuls. Vérifiez aussi si un service worker inattendu est enregistré : il peut modifier le comportement du navigateur même après un changement sur le serveur.

Vérifier les fichiers, les comptes et la base de données

Un piratage peut modifier les fichiers du site, créer un accès discret ou injecter du contenu dans la base de données. Avant toute suppression, relevez les éléments inhabituels et conservez une copie pour pouvoir les examiner.

Contrôler les fichiers sensibles

Depuis le gestionnaire de fichiers de votre hébergeur ou par FTP, examinez les dates de modification et le contenu des points suivants :

• wp-config.php : ajouts d’inclusions ou de code que vous ne reconnaissez pas.
• .htaccess : règles de réécriture ou redirections ajoutées sans raison connue.
• index.php à la racine : inclusions conditionnelles inhabituelles.
• wp-content/mu-plugins : extensions chargées automatiquement que vous ne connaissez pas.
• wp-content/uploads : fichiers PHP récents ou fichiers dont le nom ressemble à une image, mais dont le contenu est suspect.
• Les fichiers du thème, notamment functions.php du thème enfant et index.php d’un thème ancien.

Une modification récente n’est pas nécessairement malveillante : elle peut venir d’une mise à jour ou d’une intervention autorisée. Comparez les fichiers du cœur WordPress, des extensions et des thèmes avec leurs versions officielles lorsque c’est possible.

Des fonctions comme eval, base64_decode ou gzuncompress peuvent apparaître dans du code légitime. Leur présence, surtout dans un fichier inattendu ou associée à du code opaque, doit conduire à une analyse, pas à une suppression automatique.

Vérifiez également qu’aucune sauvegarde .zip ou .sql n’est accessible publiquement et que les répertoires ne dévoilent pas leur contenu sans nécessité. Si un fichier sensible a été modifié sans explication, conservez une copie horodatée et envisagez de limiter temporairement l’accès au site pendant l’enquête.

Examiner les utilisateurs et les extensions

Dans l’administration WordPress, ouvrez Utilisateurs > Tous les utilisateurs. Relevez les comptes administrateurs, leurs adresses e-mail et les rôles attribués. Un compte inconnu ou une adresse de récupération modifiée peut signaler une prise de contrôle.

Dans Extensions > Extensions installées et Apparence > Thèmes, faites l’inventaire des composants actifs et de leurs versions. Recherchez les extensions abandonnées, les mises à jour de sécurité non appliquées, les thèmes provenant de sources douteuses et les fichiers placés hors du répertoire attendu.

Comparez la date d’apparition du problème avec les installations et mises à jour récentes. Si un composant semble être le point d’entrée, sa désactivation ou son remplacement peut aider à limiter l’exposition, mais ne garantit pas que les fichiers déposés ou les accès créés ont disparu.

Inspecter la base de données et les tâches planifiées

La base peut contenir des pages de spam, des scripts injectés dans des articles, des widgets modifiés ou des options ajoutées à l’insu du propriétaire. Vérifiez notamment :

• Les adresses du site dans les options home et siteurl si toutes les pages redirigent.
• Les pages et articles inconnus, ainsi que les balises script, iframes ou codes courts inhabituels dans les contenus.
• Les menus, widgets et options chargées automatiquement qui ne correspondent pas à votre configuration.
• Les tâches planifiées inconnues ou exécutées à une fréquence anormale.
• Les comptes, rôles et adresses de récupération associés aux utilisateurs.

Certaines vérifications nécessitent un accès à la base ou à des outils de l’hébergeur. Travaillez de préférence sur une copie et évitez de modifier directement une option dont vous ne connaissez pas le rôle. Pour élargir votre contrôle, consultez les points d’un audit de sécurité WordPress.

Analyser les journaux et les ressources du serveur

Les journaux et les métriques ne confirment pas toujours un piratage à eux seuls, mais ils peuvent aider à reconstituer ce qui s’est passé. Dans le panneau de votre hébergeur, cherchez les journaux d’accès et d’erreurs ainsi que les courbes de ressources disponibles.

Soyez attentif aux changements que vous ne pouvez pas expliquer :

• Hausse inhabituelle de l’utilisation du processeur, de la mémoire, du disque ou de la bande passante sortante.
• Augmentation soudaine des e-mails envoyés, hors de vos campagnes habituelles.
• Nombreuses tentatives sur wp-login.php, ou requêtes répétées vers admin-ajax.php, l’API REST ou XML-RPC.
• Requêtes vers des fichiers PHP inconnus, y compris dans uploads, et erreurs 404 associées.
• Requêtes POST inhabituelles vers des formulaires peu utilisés, ou erreurs 500 et 502 qui leur sont associées.
• Redirections 302 ou 307 non prévues et différences selon l’appareil ou le navigateur.
• Tâches planifiées inconnues, par exemple une exécution chaque minute, ou nouvelles adresses bloquées par le pare-feu.

Filtrez les événements par date, adresse IP, provenance et agent utilisateur pour identifier des séquences. Des outils comme curl ou des requêtes automatisées peuvent toutefois être légitimes : leur nom ne suffit pas à conclure à une attaque.

Un fichier PHP récent dans uploads, associé à des requêtes répétées sur son chemin, mérite par exemple une analyse approfondie. De même, un script ajouté au thème enfant peut ne s’exécuter que pour les visiteurs non administrateurs.

Détecter le spam SEO et les pages de phishing

Un site piraté peut servir des pages que vous ne voyez pas dans son menu. Les attaquants peuvent aussi créer des pages de phishing ou afficher du contenu différent selon le visiteur.

Rechercher les pages inconnues dans Google

Effectuez une recherche avec site:votredomaine.tld et comparez les résultats avec les pages que vous avez publiées. Des titres étrangers, des contenus pharmaceutiques ou des URL sans rapport avec votre activité sont des indices à examiner.

Dans Google Search Console, consultez les alertes de sécurité et les rapports d’indexation. Une hausse de pages introuvables ou d’URL inconnues peut accompagner une injection, même si elle peut aussi avoir une autre cause. Recherchez également un sitemap que votre outil habituel n’a pas généré.

Contrôlez les règles de réécriture et la structure des permaliens si des URL suspectes semblent apparaître sans page correspondante dans WordPress. Ne changez pas les réglages au hasard pendant l’enquête : une réécriture peut masquer l’origine du problème.

Vérifier les formulaires et les pages ciblées

Une page de phishing peut imiter un service connu sans modifier votre page d’accueil. Testez les parcours de formulaire et les liens depuis plusieurs appareils et réseaux, sans saisir de données sensibles dans une page suspecte.

Pendant l’analyse, vous pouvez limiter temporairement les e-mails sortants et suspendre les webhooks vers les services tiers si vous soupçonnez un détournement. Conservez les demandes reçues, mais évitez leur transfert automatique vers votre CRM tant que l’intégrité du site n’est pas vérifiée. Une protection des formulaires, comme reCAPTCHA ou Turnstile, peut aussi limiter certains abus, sans remplacer le nettoyage.

Préserver les preuves et isoler le site compromis

Si les indices sont sérieux, traitez la situation comme un incident de sécurité, même si toutes les causes ne sont pas encore identifiées. L’objectif immédiat est de protéger les visiteurs et de conserver les éléments nécessaires à la recherche du point d’entrée.

1. Sauvegardez l’état actuel : copiez les fichiers, la base de données et les journaux d’accès et d’erreurs. Conservez aussi la liste des comptes, des rôles et, si elle est disponible, celle des processus actifs.
2. Travaillez sur une copie pour examiner les fichiers et la base. Gardez les éléments d’origine avec leur date afin de pouvoir les comparer.
3. Limitez l’exposition : selon la gravité, activez un mode maintenance, bloquez les accès inutiles et suspendez les intégrations suspectes.
4. Protégez les accès : changez les mots de passe depuis un appareil fiable et préparez la rotation des accès SFTP ou SSH, de la base de données, des clés et des jetons.
5. Documentez la chronologie : notez les symptômes, les dates, les comptes concernés et les mesures prises.

Une sauvegarde réalisée après l’intrusion peut contenir du code malveillant. Elle reste utile comme preuve, mais ne doit pas être considérée comme une version saine à restaurer.

Si des données ont pu être exposées, évaluez la situation et informez les personnes concernées avec des indications adaptées, par exemple sur la réinitialisation de leurs mots de passe ou la vérification de leurs transactions. Les copies et journaux peuvent aussi être utiles à votre hébergeur ou à une investigation ultérieure.

Nettoyer, restaurer et surveiller après un piratage

Une fois la compromission confirmée, il faut traiter la cause et les mécanismes de persistance, pas seulement la redirection visible. Le nettoyage porte sur les fichiers, la base, les comptes et les tâches planifiées, puis sur les composants vulnérables.

Remettre le site en état

Supprimez ou remplacez les éléments malveillants après analyse, mettez à jour WordPress et ses composants, puis restaurez si nécessaire une sauvegarde dont l’intégrité a été vérifiée. Changez tous les secrets concernés avant la remise en ligne, y compris les mots de passe, clés et jetons des services liés.

Vérifiez ensuite que le site fonctionne en visiteur non connecté, sur mobile et sur ordinateur. Le guide de nettoyage et de sécurisation WordPress détaille les étapes de cette remise en état. Lorsque l’analyse ou la restauration dépasse vos moyens techniques, le nettoyage d’un site WordPress piraté peut être confié à une équipe spécialisée.

Contrôler le référencement après le nettoyage

Après suppression des contenus malveillants, vérifiez les règles de redirection, les permaliens et les liens internes. Reconstruisez les sitemaps si nécessaire et purgez les caches, y compris celui du CDN.

Pour les URL parasites, utilisez une réponse adaptée : une page supprimée peut par exemple renvoyer une erreur 410, tandis qu’une redirection 301 doit mener vers une page pertinente. Dans Google Search Console, surveillez les URL restantes et demandez un réexamen si un avertissement de sécurité avait été émis.

Réduire le risque de récidive

Mettez en place une surveillance proportionnée à votre site :

• Appliquez les mises à jour de sécurité et revoyez régulièrement les extensions et thèmes utilisés.
• Conservez des sauvegardes hors serveur et testez leur restauration.
• Limitez les droits de chaque utilisateur et activez l’authentification à deux facteurs pour les comptes sensibles.
• Surveillez les modifications de fichiers, la création de comptes administrateurs et les tâches planifiées.
• Configurez un pare-feu et vérifiez les en-têtes de sécurité adaptés à votre site, notamment CSP, HSTS et X-Frame-Options.
• Documentez les accès, l’emplacement des journaux et la procédure de restauration.

Un pare-feu WordPress peut contribuer à filtrer des requêtes indésirables. Il ne remplace toutefois ni les mises à jour, ni le contrôle des accès, ni des sauvegardes vérifiées.

Questions fréquentes

Article rédigé avec l’aide d’une IA à partir des sources citées et de notre pratique de la maintenance WordPress. Notre méthode éditoriale.