Site WordPress piraté : sept signes à reconnaître, dont quatre que le propriétaire ne voit jamais
Sommaire
Introduction
Votre référencement s'est effondré en quelques jours sans que rien n'ait changé sur le site, ou un client vous a dit que votre adresse l'avait envoyé ailleurs. La question qui vient ensuite est facile à poser et désagréable à garder sans réponse : mon site est-il compromis ?
La réponse tient dans sept signes, et quatre d'entre eux ne sont visibles nulle part sur votre écran : ils ne se lisent que dans les outils de Google. C'est la raison pour laquelle une intrusion peut durer des semaines sans que celui qui paie le site s'aperçoive de quoi que ce soit.
Cet article donne ces sept signes, l'endroit exact où chacun se lit, et l'ordre dans lequel les regarder pour trancher en une vingtaine de minutes. Il ne décrit aucune technique d'intrusion : le lecteur visé ici est le propriétaire du site, jamais celui qui l'attaque.
Il ne décrit pas davantage la remise en état, qui est un autre sujet et un autre travail. Vous hésitez entre appeler quelqu'un et attendre de voir si cela passe tout seul : c'est exactement la décision que les pages qui suivent doivent rendre possible.
Un site piraté ne ressemble presque jamais à un site piraté
L'image que tout le monde a en tête est celle d'une page d'accueil remplacée par un fond uni et un pseudonyme, ce que l'on nomme un défacement. C'est spectaculaire, c'est rare, et c'est le cas le plus simple à traiter, puisqu'il se voit en une seconde.
Une intrusion qui rapporte quelque chose à quelqu'un ne s'annonce pas. Elle se cache, parce que sa durée fait son rendement : plus elle reste en place sans être repérée, plus elle sert.
Votre site intéresse un tiers non pour vos données, qui sont souvent minces, mais pour ce que votre adresse possède déjà : une ancienneté, une réputation auprès des moteurs, une audience qui lui fait confiance et une capacité à envoyer des courriels. Ce sont ces quatre choses qui se revendent, et elles se revendent mieux si personne ne s'aperçoit de rien.
Pourquoi la discrétion fait partie du dispositif
Beaucoup de compromissions ne se déclenchent pas pour tout le monde. Elles choisissent leur public : un visiteur arrivé depuis un moteur de recherche plutôt qu'en tapant l'adresse, un téléphone plutôt qu'un ordinateur, une première visite plutôt qu'une deuxième.
C'est pour cette raison que le test « je tape mon adresse et tout va bien » ne prouve rien du tout. Vous êtes le visiteur le moins représentatif de votre propre site, parce que vous arrivez en direct, souvent connecté à l'administration, et toujours depuis le même appareil.
Ce décalage explique un constat que les dirigeants trouvent toujours exagéré au premier abord : dans les cas que nous voyons, le délai entre le début d'une compromission et le moment où quelqu'un la remarque ne se compte presque jamais en jours. Et quand elle est enfin remarquée, c'est rarement grâce au propriétaire.
Les trois signes que vos visiteurs voient avant vous
Ces trois signes arrivent par un appel ou par un message, rarement par vos propres yeux. Ils ont un point commun : ils viennent de l'extérieur, et ce sont les plus fiables des sept.
Le premier est la redirection vers une autre adresse. Un visiteur clique sur votre nom dans Google et se retrouve sur une page qui n'est pas la vôtre, parfois après un bref passage par votre site, parfois avant même qu'il ne s'affiche.
Le deuxième est l'apparition de pages que personne chez vous n'a écrites. Elles portent un vocabulaire étranger à votre métier, elles sont parfois rédigées dans une autre langue, et elles vivent dans des adresses que votre menu n'affiche nulle part.
Le troisième est l'avertissement du navigateur, ou la mention que Google ajoute sous votre résultat. C'est le signe le plus brutal commercialement, parce qu'il arrête le visiteur avant qu'il n'ait vu quoi que ce soit de vous.
Pourquoi ces trois signes vous arrivent par un tiers
Un client qui tombe sur une redirection ne pense pas d'abord à une intrusion, il pense que vous avez changé de site ou que vous vendez autre chose. Il vous en parle tard, parfois après plusieurs semaines, et son message ressemble à une remarque plutôt qu'à une alerte.
D'où une habitude simple à prendre : traiter toute phrase du genre « ton site m'a envoyé ailleurs » comme un signalement technique, et non comme un malentendu. Noter l'heure, l'appareil et le chemin suivi vaut mieux que rassurer le client sur-le-champ.
Ces trois signes partagent un dernier trait, qui est leur limite : ils ne disent rien de l'ampleur. Un seul visiteur redirigé et mille visiteurs redirigés produisent exactement le même signalement, et seuls les outils permettent de faire la différence.
Les quatre signes qui ne se lisent que dans les outils
Les quatre signes suivants sont les plus utiles de tous, et ce sont ceux que presque personne ne regarde. Ils vivent dans le même outil gratuit de Google, celui qui rend compte de la façon dont le moteur voit votre site.
L'alerte de sécurité, le signe le plus net
La Search Console publie un onglet consacré aux problèmes de sécurité, et il dit en une ligne si Google a repéré quelque chose chez vous : encore faut-il que le site y soit déclaré, ce que notre guide de la Search Console pour un site Wix détaille pas à pas. Si cet onglet reste vide, cela ne prouve pas que tout va bien, mais s'il annonce quelque chose, le doute est levé.
Cette alerte a une conséquence qu'il faut connaître avant de la découvrir : elle peut déboucher sur un message affiché aux visiteurs, et donc sur une perte de trafic immédiate. C'est le seul des sept signes qui agit sur votre activité en même temps qu'il vous informe.
Les pages indexées que personne n'a écrites
Le rapport d'indexation liste les adresses que Google connaît sur votre site, et nous avons détaillé ailleurs comment lire ses états page par page. Si ce nombre a doublé sans que vous ayez rien publié, ou si la liste contient des adresses dont le libellé vous est étranger, vous tenez votre deuxième signe.
Ce signe est précieux parce qu'il ne dépend pas de votre vigilance : Google a parcouru le site pour vous, il a écrit ce qu'il a trouvé, et il garde la trace de ce qui est apparu. Un propriétaire ne peut pas surveiller mille adresses à la main, un rapport le fait sans y penser.
Une précaution de lecture, qui évite une fausse alerte : un site qui publie beaucoup, ou dont le moteur de recherche interne crée des adresses, gonfle ce compteur sans aucune intrusion. Ce qui compte n'est pas le nombre brut, c'est la nature des adresses listées.
Le pic d'adresses introuvables, et ce qu'il raconte
Le troisième signe d'outil est un graphique qui monte : celui des adresses que Google a essayé d'ouvrir et qui répondent qu'elles n'existent pas. Une montée soudaine et massive n'est jamais le fruit du hasard.
Quand des pages ont été ajoutées à un site puis retirées, par vous ou par quelqu'un d'autre, elles laissent cette trace derrière elles. Nous avons consacré un article entier à la lecture des erreurs 404 d'un site, parce que ces courbes racontent beaucoup de ce qui s'est passé pendant que personne ne regardait.
La courbe se lit sur une fenêtre de trois mois, pas sur la semaine écoulée. Une intrusion ancienne dont les pages ont déjà été retirées ne se voit que dans la forme de la courbe, et ce détail décide souvent de la date que l'on retiendra ensuite.
Quand le titre affiché dans Google n'est pas le vôtre
Le quatrième signe d'outil se lit directement dans les résultats de recherche. Tapez votre nom suivi de votre ville, regardez le titre et le résumé affichés : s'ils ne correspondent pas à ce que vous avez écrit, quelque chose a été ajouté à vos pages.
Ce que Google montre vient normalement de vos balises de titre et de description, et nous avons détaillé la façon de les écrire sur Wix. Un titre qui parle d'un autre secteur, d'un autre pays ou d'une autre langue est le signe d'une injection, pas une fantaisie du moteur.
Ce signe a un avantage que les trois autres n'ont pas : il se vérifie sans aucun outil, depuis n'importe quel téléphone, en trente secondes. C'est aussi celui que vos clients voient, puisqu'il s'affiche dans la page de résultats avant même le premier clic.
L'ordre dans lequel regarder, en vingt minutes
Les sept signes ne se valent pas, et les regarder dans le désordre fait perdre du temps. L'ordre qui suit va du plus décisif au plus ambigu, et il s'arrête dès qu'un signe a tranché.
Trois onglets, et rien d'autre
Premier passage, l'onglet des problèmes de sécurité de la Search Console. S'il annonce quelque chose, le diagnostic est fait et la suite ne vous apprendra rien de plus utile.
Deuxième passage, le rapport d'indexation et la courbe des adresses introuvables, sur trois mois. Troisième passage, une recherche de votre nom dans Google depuis un téléphone, en navigation privée, et sans être connecté à l'administration.
Chacun de ces trois passages prend moins de dix minutes, et les trois ensemble couvrent six des sept signes. Le septième, celui des messages de clients, ne se provoque pas : il arrive quand il arrive, et il se note.
Si ces trois passages ne donnent rien et que les signes visibles persistent, le problème est ailleurs : hébergement, configuration, ou une panne que l'on prend pour une intrusion. Ce n'est pas un échec de la méthode, c'est un résultat.
Ce que ce passage ne vous dira pas
Cette revue dit s'il y a quelque chose, elle ne dit ni depuis quand, ni par où, ni ce qui reste en place. Ces trois questions demandent l'accès aux journaux du serveur et aux sauvegardes, et elles se traitent dans un deuxième temps.
Garder cette frontière en tête évite deux erreurs symétriques : conclure trop vite que tout est propre, et commencer à supprimer des fichiers avant d'avoir daté le début de l'affaire. La première fait perdre du temps, la seconde fait perdre la possibilité de comprendre.
Les faux signes, et les vrais ennuis qu'ils cachent
Trois observations très répandues ne sont presque jamais le signe d'une intrusion, et elles envoient beaucoup de dirigeants dans la mauvaise direction. Les nommer évite une inquiétude inutile autant qu'un diagnostic manqué.
Une baisse de position isolée, d'abord. Les classements bougent pour une quantité de raisons ordinaires, et un recul qui s'étale sur plusieurs semaines ressemble davantage à une évolution de la concurrence qu'à une compromission.
Un site devenu lent, ensuite. La lenteur est le symptôme le plus ambigu de tous, parce qu'elle accompagne aussi bien un hébergement saturé qu'une extension mal écrite ou une connexion médiocre chez le visiteur.
Un avertissement de certificat, enfin. Il signale presque toujours un certificat expiré ou mal posé, ce qui relève d'une négligence de maintenance et non d'une effraction.
Distinguer une panne d'une intrusion
La différence tient à un critère simple : une panne casse quelque chose pour tout le monde, une intrusion ajoute quelque chose pour certains. Un site blanc ou en erreur est une panne, un site qui fonctionne et contient des pages inconnues est tout autre chose.
Ce critère n'est pas infaillible, et il suffit la plupart du temps. Il a surtout l'avantage de désigner le bon interlocuteur du premier coup, ce qui fait gagner la journée.
Par où cela entre, presque toujours
Une entreprise n'est pas visée pour elle-même dans la très grande majorité des cas. Les sites concernés sont trouvés de façon automatique et indifférenciée, sur un critère unique : une brique logicielle restée en arrière.
C'est le point commun de presque tous les sites compromis que nous voyons passer : un composant que plus personne ne met à jour, souvent installé des années plus tôt pour une fonction qui ne sert plus. Nous avons décrit cette mécanique dans un article sur les extensions que plus personne ne maintient, et elle explique pourquoi la taille ne protège pas.
Cette remarque a une conséquence rassurante et une conséquence désagréable, et il faut les prendre ensemble. La rassurante est qu'il n'y a rien de personnel là-dedans ; la désagréable est qu'être petit, discret ou local ne met à l'abri de rien.
Les méthodes, les outils et les défauts précis n'ont aucun intérêt pour vous, et cet article ne les détaille pas. Ce qui vous concerne est la seule question utile : quelqu'un a-t-il la charge de tenir ces briques à jour, et l'a-t-il acceptée par écrit ?
Qui regarde votre site quand vous ne le regardez pas
Les quatre signes d'outil ont une caractéristique commune que l'on oublie toujours : ils existent depuis le premier jour, et personne ne les lit. Une surveillance ne demande pas une compétence rare, elle demande une habitude et un responsable.
Trois organisations sont possibles, et chacune se défend. Le dirigeant s'en charge lui-même une fois par mois, un prestataire le fait dans le cadre d'un engagement écrit, ou la plateforme porte cette charge à la place de tout le monde.
La première tient quand elle est inscrite dans un agenda, et nous voyons des dirigeants la tenir correctement pendant des années. Elle tombe au premier déménagement, recrutement ou gros chantier, parce qu'elle est toujours la première chose que l'on repousse.
La deuxième suppose que la surveillance figure noir sur blanc dans ce qui vous lie à votre prestataire, et non dans une intention partagée. La troisième change la nature même du problème : sur un socle où l'éditeur tient la plateforme, il n'y a pas de composant tiers à suivre, donc pas de brique oubliée à retrouver.
Il serait malhonnête de présenter la troisième comme sans contrepartie, et nous ne le faisons pas. Elle suppose de dépendre d'un éditeur unique, elle n'accueille pas n'importe quel développement, et elle ne convient pas à une application métier sur mesure.
Aucune de ces trois organisations n'est la bonne dans l'absolu. La seule qui ne tient jamais est l'organisation implicite, celle que personne n'a choisie : le choix se fait une fois, et il se vérifie le jour où un signe apparaît.
Où regarder, dans quel ordre, et ce que cela conclut
Le tableau qui suit range les sept signes dans l'ordre de la revue, avec l'endroit exact où chacun se lit. La dernière ligne sort volontairement du cadre de cet article.
Passage | Où l'on regarde | Ce que l'on cherche | Ce que cela conclut |
1 | Sécurité, dans la Search Console | Une alerte ouverte | Compromission confirmée |
2 | Indexation, dans la Search Console | Adresses jamais publiées | Pages ajoutées au site |
3 | Courbe des adresses introuvables | Montée soudaine sur trois mois | Pages ajoutées puis retirées |
4 | Résultats Google, sur téléphone | Titre ou résumé étrangers | Injection dans vos pages |
5 | Votre site, en navigation privée | Redirection au clic | Détournement des visiteurs |
6 | Messages reçus de clients | Un parcours anormal signalé | Signalement à instruire |
7 | Journaux du serveur et sauvegardes | Date du premier écart | Hors de cette revue |
Avis d'un client, anonymisé
Une société de services installée dans l'ouest de la France nous a appelés après qu'un client lui avait signalé un parcours bizarre depuis Google. Son site WordPress fonctionnait, sa page d'accueil était intacte, et rien dans son administration ne signalait quoi que ce soit.
Le premier passage dans la Search Console a répondu en deux minutes : une alerte de sécurité ouverte depuis plusieurs semaines, et un rapport d'indexation qui comptait beaucoup plus d'adresses que le site n'avait de pages. Personne, de son côté, n'avait jamais ouvert cet outil.
Ce qui l'a marqué n'est pas l'incident lui-même, c'est le délai. Depuis, la surveillance ne repose plus sur sa vigilance personnelle, et la question a quitté ses réunions.
Questions fréquentes
Comment savoir si mon site WordPress est piraté ?
En regardant trois choses dans cet ordre : l'onglet de sécurité de la Search Console, le rapport d'indexation, puis une recherche de votre nom dans Google depuis un téléphone. Le premier des trois suffit à trancher dans la plupart des cas.
Mon site s'affiche normalement, suis-je tranquille ?
Non, et c'est le point le plus contre-intuitif du sujet. Une compromission qui rapporte quelque chose se cache, et elle se cache d'abord du propriétaire du site.
J'ai perdu des positions dans Google, est-ce un piratage ?
Pas nécessairement, et c'est même rarement la première explication. Un recul étalé sur plusieurs semaines ressemble à une évolution de la concurrence, alors qu'une chute brutale accompagnée d'une alerte de sécurité est un autre sujet.
Faut-il un logiciel spécialisé pour détecter une intrusion ?
Non pour le diagnostic, qui se fait avec les outils gratuits de Google et un navigateur en navigation privée. Les logiciels spécialisés servent au nettoyage et à la surveillance, c'est-à-dire après.
Dois-je avertir mes clients si mon site a été compromis ?
Cela dépend de ce qui a été touché, et la question se pose dès que des données personnelles ont pu être atteintes. Le réflexe utile est de faire qualifier l'incident avant de communiquer, puis de se faire conseiller sur l'obligation d'information.
Changer de plateforme règle-t-il le problème ?
Cela le déplace, ce qui n'est déjà pas rien : sur un socle tenu par son éditeur, il n'y a pas de composant tiers à mettre à jour. La question du choix du socle se pose après le diagnostic, jamais pendant.
Faire examiner votre site, sans engagement
Un doute sur l'état d'un site ne se dissipe pas tout seul, et il se tranche en une vingtaine de minutes par quelqu'un qui sait où regarder. Le plus difficile est souvent de savoir si ce que l'on voit est grave.
Réservez un premier rendez-vous téléphonique de 30 minutes avec un expert Lacky pour discuter de votre projet web et SEO : nous passons votre site en revue avec vous, signe par signe. Prenez rendez-vous et nous vous disons ce que nous voyons, sans engagement.
Lacky est une agence web spécialisée sur Wix depuis 2014, partenaire au niveau Légende, et travaille à distance partout en France et en Belgique. Sa fiche publique recense plus de 500 projets livrés sur le Wix Marketplace et les avis des clients qui les ont commandés.
