Beaucoup de piratages passent inaperçus pendant des semaines. Le propriétaire ouvre son site, tout s'affiche normalement, et pourtant Google indexe des pages de spam ou une partie des visiteurs est redirigée. Les pirates ont intérêt à rester discrets : un site infecté qui fonctionne leur rapporte plus longtemps. Voici dix vérifications, de la plus simple à la plus technique. Si l'une d'elles est positive, notre rubrique dépannage vous oriente vers la page qui correspond à votre situation.
Les vérifications que tout le monde peut faire
1. Chercher votre site dans Google
Tapez dans Google site:votredomaine.fr (sans espace après les deux-points). Parcourez les résultats : des titres en japonais, des pages de pharmacie, de casino ou de contrefaçon que vous n'avez jamais créées signalent une injection de pages de spam. Notre page pages de spam dans Google explique ce cas.
2. Cliquer sur votre site depuis Google, sur téléphone
Certaines infections ne redirigent que les visiteurs qui arrivent depuis un moteur de recherche, ou seulement ceux qui utilisent un téléphone. Vous, qui tapez l'adresse directement sur votre ordinateur, ne voyez rien. Faites le test depuis un téléphone en données mobiles, en cliquant sur le résultat Google. Si vous atterrissez ailleurs, voyez notre page site qui redirige vers un autre site.
3. Vérifier l'état de votre site chez Google Safe Browsing
Le rapport de transparence de Google permet de saisir une adresse et de savoir si Google la considère comme dangereuse. C'est le même système qui déclenche l'écran rouge dans Chrome et Firefox.
4. Ouvrir la Search Console
Si votre site est déclaré dans la Google Search Console, regardez la rubrique Sécurité et actions manuelles. Google y signale les problèmes de sécurité détectés. Regardez aussi le rapport de performances : une hausse soudaine d'impressions sur des requêtes sans rapport avec votre activité est suspecte.
5. Relire les e-mails de votre hébergeur
Les hébergeurs analysent souvent les fichiers de leurs clients. Un message sur un « fichier malveillant », un « abus » ou un « envoi massif d'e-mails » est à prendre au sérieux, même s'il est rédigé en termes techniques. Vérifiez aussi les courriers indésirables : ces messages y finissent parfois.
Les vérifications dans l'administration du site
6. Lister les utilisateurs
Dans WordPress, menu Utilisateurs, filtre Administrateur. Chaque compte doit correspondre à une personne que vous connaissez. Un compte inconnu, même avec un nom banal comme « support » ou « wpadmin », est un signe fort. Certains logiciels malveillants cachent même leur compte dans cette liste : un nombre d'administrateurs affiché qui ne correspond pas aux lignes visibles doit alerter.
7. Regarder les extensions et les thèmes
Une extension que vous n'avez pas installée, un nom générique sans auteur ni description, ou une extension qui n'apparaît pas dans la liste mais dont le dossier existe sur le serveur : autant d'indices.
8. Contrôler les envois d'e-mails
Si vos messages arrivent soudain en spam chez vos clients, votre serveur a peut-être servi à envoyer du courrier indésirable. Ce n'est pas toujours un piratage, mais c'est une vérification à faire. Nous détaillons ce point dans notre article sur les e-mails qui arrivent en spam.
Les vérifications plus techniques
9. Chercher des fichiers PHP là où ils n'ont rien à faire
Par FTP ou dans le gestionnaire de fichiers de l'hébergeur, ouvrez le dossier des médias (wp-content/uploads sur WordPress, img sur PrestaShop). Il ne devrait contenir que des images et des documents. Un fichier se terminant par .php dans ces dossiers est presque toujours malveillant. Regardez aussi les dates de modification : des fichiers du cœur du site modifiés récemment, sans mise à jour de votre part, sont suspects.
10. Lire le fichier .htaccess
À la racine du site, ce fichier contient des règles de réécriture d'adresses. Des lignes qui mentionnent des moteurs de recherche, des navigateurs mobiles ou des adresses externes que vous ne connaissez pas sont souvent le mécanisme d'une redirection malveillante.
Ce que ces vérifications ne garantissent pas
Si tout est négatif, c'est rassurant, mais ce n'est pas une preuve d'absence d'infection. Une porte dérobée bien cachée, insérée dans un fichier légitime ou dans la base de données, ne se voit pas à l'œil nu. Les extensions de sécurité gratuites détectent les infections courantes, pas toutes. À l'inverse, si une seule vérification est positive, considérez le site comme compromis tant que le contraire n'est pas démontré.
Que faire si une vérification est positive
- Ne supprimez rien dans l'immédiat : faites d'abord une copie complète du site.
- Changez les mots de passe de l'hébergeur, du FTP et des administrateurs.
- Suivez notre guide de la première heure après un piratage.
Vous préférez qu'on regarde ? Le diagnostic est gratuit et le prix est annoncé avant toute intervention : nettoyage express à 190 € pour un WordPress standard, nettoyage complet à 350 € pour une infection profonde ou une boutique, TVA non applicable. Contact : 04 82 53 39 32, lois.armand@hinsight.org, ou le formulaire de diagnostic gratuit.
Sources
- Google, rapport de transparence Safe Browsing
- Cybermalveillance.gouv.fr, fiche pratique sur la sécurité des sites internet