Redirection malveillante · Urgence
Depuis un téléphone, ou en arrivant depuis Google, votre site bascule vers une page de paris, de pharmacie, ou une fausse « mise à jour » de navigateur. Depuis votre ordinateur, tout semble normal. C'est une redirection malveillante, conditionnelle et cachée à plusieurs endroits à la fois. On trouve chaque point d'injection, on le supprime, on referme la faille et on surveille le site pendant 30 jours.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic. Re-nettoyage inclus pendant 30 jours.
Activateur France NumInitiative gouvernementaleIntervention le jour même
06 38 42 04 85Du lundi au vendredi, 9 h à 18 h. En dehors de ces horaires, laissez un message : on rappelle en priorité le matin suivant.
Réponse sous 1 h ouvrée. On vous dit en quelques questions ce qu'on voit et comment on procède.
Ils nous font confiance
Ce problème vous concerne-t-il ?
La redirection est presque toujours conditionnelle : elle ne se déclenche que pour certains visiteurs, ce qui explique que vous ne la voyiez pas. Ces huit signes permettent de la confirmer.
Le script vérifie le navigateur et le type d'appareil : les visiteurs mobiles partent vers une page de paris, de pharmacie ou de fausse mise à jour, les autres voient le site normal.
Le script lit l'adresse d'origine du visiteur (le « referrer »). En tapant l'adresse directement, rien ; en cliquant sur un résultat Google, redirection. Vos clients sont touchés, pas vous.
Un cookie est posé après la première redirection pour ne pas éveiller les soupçons. Le test fiable se fait en navigation privée, sur mobile, depuis un résultat de recherche.
Campagnes de type SocGholish : la fausse mise à jour installe un logiciel malveillant. Google peut alors classer votre site en « site dangereux ».
Lignes RewriteCond/RewriteRule pointant vers un domaine inconnu, script obscurci dans header.php ou footer.php, fichier .php dans le dossier des médias.
Dans wp_options, les champs siteurl et home pointent vers un autre domaine, ou un script est injecté dans chaque article de la base (wp_posts).
Les campagnes d'injection récentes déposent une fausse extension pour se réinstaller après chaque nettoyage partiel. Elle porte souvent un nom banal (cache, seo, security).
Dans Analytics, les sessions mobiles durent une seconde et repartent. Vos demandes de contact chutent alors que le trafic semble stable.
Pourquoi ça arrive
Les redirections malveillantes sont installées par des campagnes automatisées qui exploitent des failles connues. Six causes expliquent la quasi-totalité des cas.
Campagnes
Balada Injector, découverte par Sucuri, a compromis plus d'un million de sites WordPress depuis 2017 en exploitant des failles d'extensions et de thèmes pour injecter des redirections. Votre site n'est pas visé personnellement : il était vulnérable.
Extensions
Plus de neuf failles WordPress sur dix publiées chaque année concernent les extensions (Patchstack, State of WordPress Security 2025). Une faille d'injection dans un slider, un formulaire ou un constructeur de pages suffit.
Thèmes
Les thèmes « nulled » embarquent une porte dérobée ; les thèmes abandonnés gardent leurs failles à vie. Dans les deux cas, le script de redirection est déposé dans les fichiers du thème.
Accès
Avec un accès administrateur, le pirate installe une fausse extension qui réécrit la redirection après chaque nettoyage. C'est la cause des réinfections à répétition.
Base
Le script est ajouté dans chaque article ou dans les réglages du site. Nettoyer les fichiers sans nettoyer la base laisse la redirection active.
Multi-sites
Quand plusieurs WordPress partagent un compte, l'infection passe de l'un à l'autre. Nettoyer un seul site ne sert à rien : il est recontaminé par son voisin.
Dans l'immédiat
L'objectif immédiat : protéger vos visiteurs mobiles, conserver les traces et éviter les demi-mesures qui font revenir la redirection.
Comment on intervient
Une redirection est cachée à trois ou quatre endroits en même temps : fichiers, base, thème, extension. On les traite tous, sinon elle revient. Comptez 24 à 48 h ouvrées, puis 30 jours de surveillance.
Nous demandons un accès administrateur WordPress, un accès à l'hébergement (panneau + FTP ou SSH) et, si elle existe, une sauvegarde WordPress ou FTP, sans obligation. On reproduit la redirection, on identifie la campagne et la faille d'entrée.
Vous validez : le périmètre et le devis
Fichiers du thème, .htaccess, extensions déposées, dossier des médias, réglages siteurl/home, scripts injectés dans les articles : chaque point est nettoyé et comparé aux versions officielles.
Extension fautive mise à jour ou remplacée, comptes intrus supprimés, mots de passe et clés renouvelés, pare-feu applicatif, .htaccess et wp-config protégés en écriture, surveillance des modifications de fichiers.
Tests depuis mobile, depuis Google, en navigation privée ; inspection d'URL dans Search Console ; demande de réexamen si une alerte de sécurité a été posée.
Vous validez : la remise en ligne
Scan quotidien des fichiers et de la base, test de redirection automatisé, suivi Search Console. Si la redirection revient dans les 30 jours, on re-nettoie sans facturer.
Diagnostic gratuit sous 24 h ouvrées. Le devis est établi après le diagnostic, sur un périmètre écrit : ce qui est inclus, ce qui ne l'est pas, et le délai.
Ce que ça comprend
Inclus
Non inclus
Scénario type
Un site de commerce ou de service local, une redirection découverte par un client sur son téléphone, et une injection présente à quatre endroits : .htaccess, header du thème, réglages de la base et une fausse extension « cache ».
Ce scénario est une synthèse de ce qu'on rencontre le plus souvent sur ce type d'incident : aucun site client n'est décrit ici.
Et après
Un site nettoyé sans suivi se refait pirater. Trois façons de ne pas y revenir.
Maintenance
Le nettoyage referme la porte utilisée. La maintenance empêche qu'une autre s'ouvre : mises à jour hebdomadaires, sauvegardes testées, scan quotidien.
Hébergement
Beaucoup d'infections viennent d'un mutualisé mal isolé ou d'un serveur obsolète. On migre le site nettoyé vers un hébergement sain, sans coupure.
Refonte
Thème abandonné, extensions mortes, PHP obsolète : on nettoie une fois, puis on refond sur une base propre plutôt que de nettoyer tous les six mois.
FAQ
Le nettoyage complet prend 24 à 48 h ouvrées. La redirection elle-même disparaît dès le premier jour ; le deuxième jour sert à refermer la faille, durcir le site et vérifier depuis mobile et depuis Google.
Le diagnostic est gratuit et livré sous 24 h ouvrées. Le devis dépend du nombre de sites touchés et de la profondeur de l'injection. Il est écrit, sur un périmètre précis, sans surprise.
Parce qu'elle est présente à plusieurs endroits et qu'un script caché la réécrit. Supprimer la ligne dans .htaccess ne sert à rien si la porte dérobée dans le dossier des médias ou la fausse extension restent en place.
Après le nettoyage : dans Search Console, rubrique « Sécurité et actions manuelles », demandez un examen en décrivant ce qui a été corrigé. Nous rédigeons et suivons la demande. Voir aussi notre page sur le blacklistage Google.
Seulement une sauvegarde datée d'avant l'infection, une fois la faille refermée. Une sauvegarde récente contient l'injection, et un site restauré sans correction est réinfecté en quelques heures.
Souvent, oui : les campagnes d'injection parcourent tous les dossiers accessibles depuis le compte compromis. Le diagnostic vérifie chaque site du compte, et le devis les traite ensemble.
Les hébergeurs restaurent ou suspendent, rarement plus. Nous travaillons avec le vôtre et, si le serveur est en cause (mutualisé mal isolé, versions obsolètes), nous migrons le site nettoyé vers un hébergement sain.
Une redirection ne vole généralement pas de données sur votre site. Mais si le diagnostic montre un accès à des données personnelles (comptes, commandes), le RGPD impose une notification à la CNIL sous 72 h. Le rapport le précise.
Problèmes voisins
Problème voisin
Des titres en japonais ou en chinois dans Google
Problème voisin
« Ce site peut avoir été piraté » ou écran rouge
Problème voisin
Mot de passe refusé, administrateur inconnu
Problème voisin
Annonces refusées, compte suspendu
Page principale
Symptômes, méthode, garanties et les 13 problèmes courants.
Chaque heure passée avec un site compromis coûte des visiteurs, des mails perdus et de la confiance. Appelez, ou décrivez ce que vous voyez : on vous répond sous 1 h ouvrée.
Diagnostic gratuit sous 24 h ouvrées, devis après diagnostic, re-nettoyage inclus 30 jours.
Ils nous font confiance
Le blog EVICO
70 % des sites compromis contiennent une porte dérobée. Webshell, compte fantôme, mot de passe d’application, cron de…
Avertissement « Ce site peut avoir été piraté » ou page rouge Safe Browsing : la procédure exacte de réexamen Google, les délais…
Redirections vers des sites de paris ou de faux antivirus : le redirect hack expliqué de l’intérieur. Les 6 cachettes exactes du…
La méthode de nettoyage que nous appliquons sur chaque site piraté : logs, checksums, base de données, cron, réexamen Google. 7…
Remplissez le formulaire pour télécharger immédiatement votre rapport d’audit SEO personnalisé (17 pages, PDF).
Téléchargement immédiat · Sans engagement · Données RGPD
Entrez l’adresse de votre site : en 1 minute, vous obtenez sa note, ses points faibles et ce qu’on ferait en priorité. Gratuit, sans inscription, puis un expert EVICO peut reprendre l’analyse en détail.
