Site WordPress piraté : 12 signes que vous ne devez pas ignorer

Publié le 13 juin 2025 · Catégorie : Urgence · Temps de lecture : 12 min

Selon le rapport Sophos de 2024, une attaque sur un site web coûte en moyenne 4 500€ aux petites entreprises. Pourtant, 90 % des piratages sont évitables avec des mesures de sécurité basiques. Le pire ? La plupart des propriétaires de sites ne réalisent pas qu'ils ont été piratés avant qu'il ne soit trop tard. Voici les 12 signes qui ne doivent jamais être ignorés.

1. Comptes administrateurs inconnus

C'est l'un des signes les plus alarmants et pourtant l'un des plus souvent ignorés.

Comment le vérifier :

1. Connectez-vous à votre tableau de bord WordPress
2. Allez dans Utilisateurs → Tous les utilisateurs
3. Vérifiez la liste complète des comptes avec le rôle "Administrateur"
4. Cherchez des noms d'utilisateur que vous ne reconnaissez pas

Pourquoi c'est dangereux :

Un compte administrateur inconnu signifie que quelqu'un d'autre a un accès complet à votre site. Il peut modifier du contenu, installer des malwares, voler des données de vos utilisateurs, ou utiliser votre serveur pour attaquer d'autres sites.

Que faire :

• Supprimez immédiatement les comptes non autorisés
• Vérifiez l'historique des modifications apportées par ces comptes
• Changez tous les mots de passe administrateur
• Activez l'authentification à deux facteurs

Si vous découvrez des comptes suspects, contactez immédiatement WpDefender pour une analyse complète de votre site.

2. Page d'accueil modifiée ou défacée

Si votre page d'accueil affiche du contenu que vous n'avez pas publié — messages politiques, publicités pour des produits illégaux, ou simplement une page blanche — votre site a été compromis.

Variantes courantes de défacement :

• Défacement complet : La page d'accueil est remplacée entièrement
• Défacement partiel : Des blocs de texte ou des images sont ajoutés
• Injection de code : Du code invisible est ajouté (visible uniquement dans le code source)
• Défacement conditionnel : La modification n'apparaît que pour certains visiteurs ou appareils

3. Avertissement de la liste noire Google

Google détecte et signale les sites compromis à ses utilisateurs. Si votre site apparaît avec l'avertissement "Ce site peut être compromis" ou "Ce site peut endommager votre ordinateur", c'est une urgence absolue.

Impact sur votre activité :

• Chute de trafic de 95% : La plupart des visiteurs quittent immédiatement
• Sanctions SEO : Votre site perd son classement dans les résultats de recherche
• Perte de confiance : Les clients potérants voient un avertissement de sécurité
• Revenus : Pour un site e-commerce, chaque jour sur la liste noire représente des ventes perdues

Comment vérifier :

1. Google Search Console : Connectez-vous et vérifiez la section Sécurité et actions manuelles
2. Test en direct : Tapez site:votresite.com dans Google
3. VirusTotal : Soumettez votre URL sur virustotal.com pour une analyse multi-moteurs

Retrouvez des conseils détaillés dans notre article : Blacklist Google : comment sortir de la liste noire en 24h.

4. Redirections non autorisées

Vos visiteurs sont redirigés vers des sites de gambling, de pornographie, de pharmacy en ligne ou d'autres sites malveillants ? C'est un signe clair de compromission.

Types de redirections :

• Redirection côté serveur : Modifie le fichier .htaccess ou le code PHP
• Redirection côté client : Injecte du JavaScript dans vos pages
• Redirection conditionnelle : Ne redirige que les moteurs de recherche ou les utilisateurs mobiles
• Redirection à infection tardive : N'apparaît qu'après plusieurs visites

Comment identifier la source :

1. Examinez le code source de vos pages (clic droit → Afficher le code source)
2. Recherchez des balises <script> ou <iframe> inconnues
3. Vérifiez votre fichier .htaccess pour des règles RewriteRule suspectes
4. Consultez les options de la base de données pour du code injecté

Consultez notre guide complet sur le sujet : Redirections vers des sites malveillants : pourquoi et comment arrêter.

5. Performances ralenties

Si votre site WordPress est soudainement beaucoup plus lent qu'avant, cela peut être le signe d'une compromission.

Pourquoi un site piraté ralentit :

• Scripts malveillants : Le code injecté consomme des ressources serveur
• Boucles infinies : Certains malwares créent des boucles qui surchargent le processeur
• Base de données surchargée : Les requêtes injectées alourdissent les performances
• Trafic réseau : Votre serveur est utilisé pour des attaques DDoS ou de l'envoi de spam

Comment diagnostiquer :

1. Comparez les temps de chargement actuels avec vos métriques habituelles
2. Vérifiez les logs du serveur pour des erreurs ou des pics d'activité
3. Utilisez GTmetrix ou Google PageSpeed Insights pour identifier les problèmes
4. Vérifiez si votre hébergeur signale un dépassement de quota CPU/RAM

6. Fichiers inconnus ou modifiés

L'apparition de fichiers que vous n'avez pas créés est un indicateur majeur de piratage.

Où chercher :

• wp-content/uploads/ : Les dossiers d'upload ne doivent jamais contenir de fichiers PHP
• Racine du site : Fichiers comme config.bak.php, wp-settings.bak.php sont suspects
• /tmp/ ou /var/tmp/ : Fichiers temporaires suspects sur le serveur
• .htaccess : Modifications non autorisées aux règles de réécriture

Outils de détection :

• Comparez les fichiers avec une copie propre de WordPress via diff
• Utilisez le plugin Wordfence pour scanner les modifications
• Vérifiez les timestamps des fichiers pour repérer les ajouts récents

Pour une analyse approfondie, découvrez comment détecter un malware sur WordPress avec les mêmes méthodes que les experts.

7. Mots de passe modifiés sans votre accord

Si vous ne parvenez plus à vous connecter avec vos identifiants habituels, ou si un autre administrateur vous signale que son mot de passe a changé, c'est un signe alarmant.

Situations typiques :

• Vous êtes déconnecté de wp-admin sans action de votre part
• Un collègue vous informe que ses identifiants ne fonctionnent plus
• Vous recevez des emails de réinitialisation de mot de passe que vous n'avez pas demandés
• L'hébergeur vous signale des changements de mot de passe FTP

Actions immédiates :

1. Contactez votre hébergeur pour vérifier les logs d'authentification
2. Réinitialisez le mot de passe de la base de données depuis le panneau d'hébergement
3. Modifiez le mot de passe dans wp-config.php si nécessaire
4. Vérifiez tous les comptes administrateur pour des modifications non autorisées

8. Requêtes de base de données suspectes

Des requêtes SQL inattendues ou des erreurs de base de données inhabituelles peuvent indiquer une injection SQL.

Signes à surveiller :

• Erreurs MySQL inexpliquées : Messages d'erreur contenant du code SQL
• Contenu modifié dans la base : Articles ou pages contenant du texte non autorisé
• Nouvelles options dans wp_options : Des entrées que vous n'avez pas créées
• Tables inconnues : De nouvelles tables dans votre base de données

Comment vérifier :

1. Examinez les tables de la base de données via phpMyAdmin
2. Recherchez des contenus suspects dans les champs de texte
3. Vérifiez les options WordPress dans la table wp_options
4. Comparez le schéma de la base avec une installation WordPress standard

9. Pop-ups et publicités indésirables

L'apparition de pop-ups publicitaires sur votre site est non seulement gênante pour vos visiteurs, mais aussi un signe de compromission sérieux.

Types d'injections publicitaires :

• Pop-ups classiques : Fenêtres superposées avec des publicités
• Bannières injection : Publicités ajoutées au contenu de vos pages
• Crypto-mining : Votre serveur est utilisé pour miner des cryptomonnaies
• Keyloggers : Scripts volant les données de connexion de vos visiteurs

10. Email de votre domaine blacklisté

Vos emails atterrissent en spam ? Vous recevez des plaintes de destinataires ? Votre domaine peut avoir été ajouté à une liste noire d'email.

Comment vérifier :

• Envoyez un test depuis votre serveur vers mail-tester.com
• Vérifiez votre domaine sur MXToolbox Blacklist Check
• Consultez Google Postmaster Tools pour votre domaine

Impact :

• Emails de transactionnel (commandes, confirmations) bloqués
• Communication avec vos clients interrompue
• Campagnes d'emailing complètement inefficaces
• Envoi de spam depuis votre serveur à votre insu

11. Tâches cron inconnues

WordPress utilise le cron system pour planifier des tâches. Les attaquants en profitent pour exécuter du code malveillant régulièrement.

Comment les détecter :

1. Utilisez un plugin comme WP Crontrol pour lister toutes les tâches cron
2. Recherchez des tâches avec des noms suspects ou des URL inconnues
3. Vérifiez les tâches système via le panneau de votre hébergeur (cron jobs système)
4. Examinez les fichiers wp-cron.php pour des modifications

Signes d'alerte :

• Des tâches cron qui exécutent du code PHP externe
• Des tâches planifiées à des heures inhabituelles
• Des tâches qui téléchargent ou envoient des données
• Des crons système que vous n'avez pas configurés

12. Fichier .htaccess modifié

Le fichier .htaccess est l'un des premiers fichiers ciblés par les attaquants car il contrôle le comportement de votre serveur Apache.

Modifications suspectes courantes :

• Redirections : Des règles RewriteRule redirigeant vers des sites malveillants
• Cachage : Des règles cachant le contenu malveillant des moteurs de recherche
• Sécurité désactivée : La protection des fichiers ou l'accès aux répertoires désactivés
• ErrorDocument : Les pages d'erreur redirigées vers du contenu malveillant

Comment vérifier :

1. Téléchargez votre .htaccess via FTP
2. Comparez-le avec un .htaccess WordPress standard
3. Recherchez des mots-clés suspects : redirect, RewriteRule, eval, base64
4. Vérifiez la date de dernière modification du fichier

Agissez maintenant, pas demain

Si vous avez identifié un ou plusieurs de ces signes sur votre site, n'attendez pas. Chaque minute d'inaction permet aux attaquants de causer davantage de dégâts. Consultez notre guide d'urgence site piraté : que faire en 15 minutes pour agir immédiatement.

Un seul de ces signes suffit pour justifier une intervention d'urgence. Plusieurs signes ensemble indiquent une compromission grave qui nécessite une expertise professionnelle.

Articles connexes

• Mon site WordPress a été piraté : que faire en 15 minutes
• Comment savoir si votre site WordPress est infecté par un malware
• Blacklist Google : comment sortir de la liste noire en 24h
• Écran blanc WordPress : les 7 causes et solutions
• Redirections vers des sites malveillants : pourquoi et comment arrêter