Tous les piratages ne se voient pas. Une page d’accueil défigurée, c’est l’exception ; la
règle, c’est l’infection discrète qui exploite votre site pendant des semaines — spam SEO invisible,
redirections sélectives, vol de données — sans que vous remarquiez rien. Et le contexte ne joue pas
en votre faveur : en 2025, 11 334 nouvelles vulnérabilités ont été
recensées dans l’écosystème WordPress (un record, +42 % sur un an), dont 43 %
exploitables sans même être connecté au site. Voici les 12 signes à vérifier, du plus
évident au plus sournois, et les outils pour trancher.
Les signes visibles depuis Google
1. L’avertissement rouge « Ce site peut avoir été piraté »
Le signe le plus brutal : Google Safe Browsing a détecté du contenu malveillant et affiche un
écran d’avertissement dans Chrome, Firefox et Safari. Le trafic chute en quelques heures. La levée de
l’alerte passe par un nettoyage complet puis une demande de réexamen en Search Console.
2. Des pages inconnues dans les résultats de recherche
Tapez site:votredomaine.fr dans Google. Des pages en japonais, des contrefaçons de
luxe, des médicaments ? C’est le spam SEO, l’infection la plus répandue :
Sucuri la détecte sur 42 % des sites compromis. Le pirate utilise l’autorité de
votre domaine pour référencer ses pages — invisibles depuis votre menu, bien réelles pour Google.
3. Vos propres pages ont des titres ou descriptions modifiés
Dans les résultats Google, vos pages s’affichent avec des titres étranges (souvent en caractères
asiatiques) alors qu’elles semblent normales quand vous les visitez : le malware sert un contenu
différent à Googlebot et aux visiteurs (cloaking).
Les signes visibles sur le site
4. Des redirections vers des sites douteux
Vous (ou vos visiteurs) arrivez sur le site et êtes renvoyés vers des pages de paris, de rencontre
ou de faux antivirus. Subtilité classique : la redirection ne touche parfois que les
visiteurs venant de Google, ou que les mobiles — testez depuis plusieurs appareils et en
navigation privée.
5. Des pop-ups et publicités qui ne sont pas les vôtres
6. Un site soudainement très lent ou qui plante
Les malwares consomment : envoi de spam, minage, attaques vers d’autres sites depuis votre
serveur. Une lenteur brutale sans changement de votre part mérite un scan.
Les signes dans l’administration
7. Un compte administrateur que vous n’avez pas créé
Réglages → Utilisateurs : tout compte admin inconnu est un drapeau rouge majeur. C’est la
méthode de persistance préférée des attaquants avec les backdoors — présentes sur environ
70 % des sites compromis selon Sucuri.
8. Des extensions ou fichiers apparus tout seuls
Une extension que personne n’a installée, des fichiers PHP récents dans
wp-content/uploads/ (ce dossier ne devrait contenir que des médias), des fichiers du
cœur modifiés : autant de portes dérobées potentielles.
9. Impossible de vous connecter, ou votre mot de passe a changé
Les signes extérieurs
10. Vos e-mails partent en spam
Si votre domaine envoie du spam à votre insu, il finit sur des listes noires (Spamhaus…) et vos
e-mails légitimes sont bloqués. Un test sur mxtoolbox.com vous dit si votre domaine est listé.
11. Votre hébergeur vous alerte ou suspend le site
Les hébergeurs scannent leurs serveurs ; une suspension pour malware est un diagnostic quasi
certain — et une procédure de réouverture s’ouvre, qui exige un nettoyage vérifiable.
12. Des clients vous signalent des choses étranges
Prenez toujours ces signalements au sérieux : à cause du cloaking et du cache, le
propriétaire est souvent le dernier à voir l’infection.
Comment vérifier : les 4 contrôles qui tranchent
| Outil | Ce qu’il vérifie | Où |
|---|---|---|
| Google Search Console | Détections officielles de Google (malware, contenu piraté) | Rubrique « Sécurité et actions manuelles » |
| Scan distant | Malwares visibles de l’extérieur, statut blacklist | sitecheck.sucuri.net (gratuit) |
| Scan interne | Fichiers du cœur modifiés, backdoors connues, comptes suspects | Extension Wordfence ou équivalent |
| Contrôle manuel | Utilisateurs, extensions, fichiers récents, tâches cron | Admin WordPress + FTP |
Aucun signe ne veut pas dire aucun risque : selon Patchstack, 46 % des vulnérabilités n’ont pas de correctif au moment de leur divulgation, et les failles les plus ciblées sont exploitées en quelques heures. Un site à jour et surveillé reste la seule vraie protection.
Le test est positif : les bons réflexes
Si un ou plusieurs signes se confirment, chaque heure compte : suivez notre
checklist d’urgence de la première
heure (accès, preuves, mode maintenance, CNIL). Et gardez en tête la statistique qui fâche :
supprimer le fichier visible ne suffit presque jamais, puisque 7 sites compromis sur 10 cachent au
moins une backdoor supplémentaire.
🛡 Un doute sur l’un de ces 12 signes ? EVICO désinfecte les sites WordPress piratés, referme la faille et les protège durablement : découvrez notre service sécurité WordPress — diagnostic gratuit. Ou contactez-nous directement.
Sources : Patchstack, State of WordPress Security in 2026 (11 334 vulnérabilités en
2025, +42 % ; 43 % exploitables sans authentification ; 46 % sans correctif
à la divulgation) ; Sucuri Hacked Website Threat Report (spam SEO : 42 % des sites
infectés ; backdoors : ~70 % des sites compromis) ; documentation Google Search
Console.
