Site piraté : les 9 signes qui doivent vous alerter
- Un site piraté ne s’annonce pas forcément par une page blanche ou un message de rançon : la plupart des compromissions restent invisibles pour le propriétaire pendant des semaines, voire des mois.
- Les signaux les plus fiables sont un trafic anormal sur des pages que vous n’avez jamais créées, une alerte de sécurité dans Google Search Console, ou des redirections inattendues vers des sites tiers.
- 13 000 sites WordPress sont compromis chaque jour dans le monde, principalement via des extensions obsolètes plutôt que via le cœur du CMS.
- Un site marqué « dangereux » par Google ou les navigateurs perd en moyenne 60 % de son trafic organique en quelques jours, le temps que le signalement soit levé.
- La détection précoce change tout : plus l’intrusion est repérée tôt, plus la remise en état est rapide et le coût — en référencement comme en réputation — reste limité.
Un commerçant qui tape « site pirate » dans un moteur de recherche pense en général à autre chose : un site de streaming illégal, une copie pirate d’un film ou d’un match. Mais si vous gérez un site professionnel et que vous vous posez la question, c’est probablement l’inverse qui vous préoccupe — vous craignez que votre propre site ait été compromis par un tiers malveillant. C’est cette situation que cet article traite : comment reconnaître les signes d’un piratage, où regarder en priorité, et quoi faire dans les premières heures.
La réponse tient en une phrase : un site piraté se détecte en croisant trois sources — le comportement observable du site (contenu, redirections, performances), les outils de surveillance externes (Google Search Console, navigateurs), et les journaux techniques (logs serveur, activité admin). Aucune de ces sources prise seule n’est fiable à 100 %, mais leur combinaison permet de repérer une intrusion avant qu’elle ne fasse de dégâts visibles pour vos visiteurs.
Pourquoi les sites de commerçants sont des cibles
Contrairement à une idée reçue, les attaquants ne visent pas prioritairement les gros sites ou les cibles à forte valeur symbolique. La majorité des piratages de sites vitrine et e-commerce sont automatisés : des robots scannent en continu des millions de sites à la recherche de failles connues — une extension WordPress non mise à jour, un mot de passe faible, un plugin abandonné par son éditeur. Le site n’est pas piraté parce qu’il est intéressant, mais parce qu’il est vulnérable et accessible.
Cette automatisation explique l’ampleur du phénomène. Selon les données consolidées par Patchstack sur l’écosystème WordPress, 11 334 nouvelles vulnérabilités ont été recensées en 2025, en hausse de 42 % sur un an, et 91 % d’entre elles concernent des extensions, contre une poignée seulement pour le cœur du CMS. Autrement dit : le risque ne vient presque jamais de WordPress lui-même, mais des plugins tiers installés par-dessus — un thème premium jamais mis à jour, un module de formulaire de contact abandonné, une extension de cache dont la dernière version date de plusieurs années.
Le rythme d’exploitation est également un facteur déterminant. D’après les mêmes travaux, le délai médian entre la divulgation d’une faille et sa première exploitation active est de 5 heures, et 46 % des vulnérabilités n’ont même pas de correctif disponible au moment où elles sont rendues publiques. Concrètement, un commerçant qui décale la mise à jour d’une extension de quelques jours prend un risque réel, pas théorique.
À l’échelle globale, l’estimation la plus citée du secteur évalue à 13 000 le nombre de sites WordPress compromis chaque jour, soit près de 4,7 millions par an. Un chiffre à mettre en perspective avec la part de marché de ce CMS, mais qui illustre bien que le piratage de site n’est pas un événement rare réservé aux grandes entreprises : c’est une activité industrielle, menée par des scripts, à l’échelle de tout le web.
Signe n°1 — Une alerte de Google Search Console ou d’un moteur de recherche
C’est souvent le premier signal qu’un propriétaire de site reçoit, et le plus fiable. Google surveille en continu les pages qu’il indexe et dispose d’un rapport dédié, appelé rapport sur les problèmes de sécurité, accessible dans Search Console. Ce rapport recense les signes de piratage détectés sur un site : code malveillant injecté via une faille, contenu piraté (liens cachés, pages en langue étrangère non voulues), scripts de phishing visant à voler des identifiants, ou redirections vers des domaines tiers.
Si vous êtes propriétaire confirmé du site dans Search Console, Google envoie normalement un e-mail d’alerte dès qu’un problème de sécurité est détecté. C’est pour cette raison qu’un site professionnel devrait toujours avoir sa propriété vérifiée dans Search Console, même si personne ne le consulte au quotidien — c’est le système d’alerte le plus simple et le plus gratuit qui existe.
Un site marqué comme dangereux apparaît avec un avertissement rouge dans les résultats de recherche et dans certains navigateurs (« Ce site est susceptible de nuire à votre ordinateur » ou équivalent). L’effet sur le trafic est immédiat et brutal : la quasi-totalité des visiteurs potentiels renoncent à cliquer face à un tel message, et le référencement naturel s’effondre le temps que le signalement soit levé — ce qui peut prendre de quelques jours à plusieurs semaines selon la réactivité du webmaster et la rapidité de l’examen de sécurité demandé.
Signe n°2 — Des pages ou contenus que vous n’avez jamais créés
C’est le cas le plus fréquent de piratage SEO, souvent appelé « spam SEO » ou « Japanese keyword hack » quand il touche des sites e-commerce. Un attaquant injecte discrètement des centaines, voire des milliers de pages sur des thématiques n’ayant aucun rapport avec votre activité — produits contrefaits, médicaments, jeux d’argent, ou justement des pages ciblant des requêtes comme « site pirate » suivi du nom d’un film, d’une série ou d’un événement sportif, pour capter du trafic de recherche sur des contenus illégaux ou du streaming pirate. Ces pages sont souvent invisibles pour vous car elles ne sont liées depuis aucune page normale de votre site, mais restent parfaitement indexées par Google.
Pour vérifier si vous êtes concerné, une recherche simple dans Google avec l’opérateur site:votredomaine.com permet de lister toutes les pages indexées de votre site. Si vous voyez apparaître des résultats sans rapport avec votre activité — vocabulaire étranger, thématiques de streaming, contrefaçon, jeux d’argent — c’est un signe quasi certain d’intrusion.
Signe n°3 — Un trafic ou un comportement anormal dans les statistiques
Un pic de trafic soudain sur des pages inconnues, un taux de rebond proche de 100 % sur des URLs que vous n’avez jamais publiées, ou au contraire une chute brutale du trafic organique habituel : ces variations dans Google Analytics ou tout autre outil de mesure méritent une vérification systématique. Un piratage réussi génère presque toujours un trafic « fantôme » — des visiteurs qui arrivent sur des pages injectées, souvent depuis des liens externes provenant d’autres sites compromis ou de forums de spam.
À l’inverse, une chute soudaine peut signaler que Google a commencé à filtrer votre site des résultats de recherche suite à une détection automatique, avant même que vous ne receviez l’alerte officielle.
Signe n°4 — Des redirections inattendues
Vos visiteurs se retrouvent redirigés vers un autre site — boutique douteuse, fausse page de sécurité, site d’arnaque — sans avoir cliqué sur quoi que ce soit. Ce type de redirection est souvent conditionnel : il ne se déclenche que pour certains visiteurs (venant de Google, sur mobile, ou une seule fois par adresse IP), ce qui le rend difficile à détecter en navigant simplement sur votre propre site depuis votre ordinateur habituel. Le meilleur réflexe consiste à tester le site depuis un navigateur en mode privé, sur un autre appareil, ou en simulant une provenance depuis les résultats de recherche.
Signe n°5 — Des fichiers modifiés ou inconnus sur le serveur
Si vous avez accès à l’hébergement (FTP, SFTP ou gestionnaire de fichiers), comparez la date de dernière modification des fichiers du site avec vos propres actions récentes. Un fichier wp-config.php, un thème ou un plugin modifié à une date où vous n’avez rien touché est un signal fort. De la même façon, la présence de fichiers au nom générique ou aléatoire (wp-tmp.php, x7f2.php, etc.) dans des dossiers qui ne devraient contenir que des images ou des uploads est une signature classique de webshell — un script qui donne à l’attaquant un accès distant persistant au serveur, même après un changement de mot de passe.
Signe n°6 — Des comptes administrateurs que vous n’avez pas créés
Un piratage réussi se traduit très souvent par la création d’un nouveau compte avec des droits d’administrateur, destiné à garantir un accès de secours à l’attaquant même si la faille d’origine est corrigée. Vérifier régulièrement la liste des utilisateurs et leur date de création — en particulier ceux avec un rôle élevé — est un contrôle simple à intégrer dans une routine mensuelle. Un nom d’utilisateur générique, une adresse e-mail suspecte ou une date de création que vous ne reconnaissez pas doivent déclencher une vérification immédiate.
Signe n°7 — Des performances dégradées sans raison apparente
Un site anormalement lent, des pics de charge sur le serveur en dehors de vos heures habituelles de trafic, ou des alertes de votre hébergeur sur une consommation de ressources inhabituelle peuvent indiquer qu’un script malveillant tourne en arrière-plan — envoi de spam massif, minage de cryptomonnaie, ou participation du serveur à une attaque contre d’autres sites (le site devient alors un relais, à l’insu total du propriétaire). Ce signe est souvent le premier repéré par les hébergeurs eux-mêmes, qui peuvent suspendre un compte en cas d’activité jugée dangereuse pour leur infrastructure.
Signe n°8 — Des mots de passe ou paramètres qui ne fonctionnent plus comme avant
Une déconnexion forcée inexpliquée, un mot de passe qui ne fonctionne plus sans que vous l’ayez changé, ou des paramètres de configuration modifiés (adresse e-mail de récupération, méthode de paiement, informations de contact) sont des signes qu’un tiers a déjà un accès actif à votre back-office. Ce type de signal est particulièrement urgent car il indique une intrusion en cours, pas seulement une faille théorique.
Signe n°9 — Des signalements de vos propres clients ou visiteurs
Enfin, ne sous-estimez jamais un e-mail de client vous signalant un comportement bizarre : un antivirus qui bloque l’accès à votre site, une popup suspecte, une redirection vers une page inconnue. Ces retours, souvent traités comme des anomalies isolées, sont en réalité l’un des canaux de détection les plus rapides — bien avant que Google ne signale officiellement le problème.
Ce qu’il faut faire dès qu’un signe est confirmé
Détecter n’est que la première étape. Dès qu’un des signes ci-dessus est confirmé, la priorité absolue est de limiter les dégâts avant de chercher à comprendre l’origine exacte de l’intrusion : mettre le site en mode maintenance ou le déconnecter temporairement, changer tous les mots de passe (hébergement, back-office, base de données, FTP), et informer votre hébergeur si vous suspectez une compromission au niveau du serveur plutôt que du seul site.
Ce guide se concentre volontairement sur la phase de détection. La remise en état complète — nettoyage des fichiers infectés, suppression des comptes frauduleux, demande d’examen auprès de Google, et sécurisation pour éviter une récidive — est une démarche à part entière, détaillée dans notre guide pour récupérer un site compromis. Ne traitez jamais un piratage confirmé en repoussant cette étape : plus la remise en état intervient tôt, plus le coût en référencement et en image reste limité.
Réduire le risque avant qu’il ne se produise
La détection reste toujours une réaction. La meilleure protection consiste à limiter les portes d’entrée en amont : mettre à jour systématiquement le CMS, les thèmes et les extensions dès qu’un correctif de sécurité est publié — sachant que le délai médian d’exploitation d’une faille n’est que de quelques heures après sa divulgation publique —, désinstaller les plugins inutilisés plutôt que de les laisser inactifs, activer une authentification à deux facteurs sur tous les comptes administrateurs, et limiter le nombre de personnes ayant un accès complet au back-office.
Un audit de sécurité régulier, même sommaire — vérification des utilisateurs, des extensions actives, des derniers fichiers modifiés — permet de repérer une anomalie avant qu’elle ne devienne visible pour les visiteurs ou pour Google. Pour un commerçant sans compétence technique interne, faire réaliser cette surveillance par un prestataire externe reste souvent la solution la plus réaliste : le coût d’un contrôle mensuel est sans commune mesure avec celui d’un site black-listé pendant plusieurs semaines.
Comment savoir si mon site WordPress a été piraté ?
Vérifiez en priorité le rapport « Problèmes de sécurité » de Google Search Console, effectuez une recherche site:votredomaine.com pour repérer des pages inconnues, et contrôlez la liste des utilisateurs administrateurs pour détecter un compte que vous n’avez pas créé. La combinaison de ces trois vérifications couvre la majorité des cas de piratage courants.
Pourquoi mon site apparaît comme dangereux dans Google alors que je n’ai rien remarqué ?
C’est le scénario le plus fréquent : un piratage SEO ou une injection de code malveillant peut rester invisible pour un visiteur normal tout en étant détecté par les robots de Google, qui scannent le code source et le comportement du site de façon plus systématique qu’un œil humain.
Un piratage peut-il toucher un site même s’il n’utilise pas WordPress ?
Oui. Les statistiques sur les intrusions concernent surtout WordPress car ce CMS domine le marché, mais tout site utilisant des composants tiers non maintenus — plugin, thème, module de paiement, script personnalisé oublié — est exposé, quelle que soit la technologie utilisée.
Combien de temps faut-il pour qu’un site piraté retrouve sa position dans Google ?
Une fois le nettoyage effectué et l’examen de sécurité validé par Google, le délai de levée de l’avertissement varie de quelques jours à plusieurs semaines. Le classement met généralement plus longtemps à se rétablir complètement si le piratage a duré plusieurs semaines avant d’être détecté.
Est-ce qu’un changement de mot de passe suffit après un piratage détecté ?
Non. Un attaquant qui a eu accès au serveur laisse fréquemment des accès de secours (comptes administrateurs cachés, fichiers webshell) qui survivent à un simple changement de mot de passe. Un nettoyage complet des fichiers et une vérification des comptes sont indispensables.
Comment se protéger des faux positifs de sécurité chez mon hébergeur ?
Un hébergeur peut suspendre un compte par excès de précaution sur la base d’une simple alerte automatisée. Demandez toujours le détail technique du signalement (fichier concerné, type d’activité détectée) avant d’agir, pour distinguer un vrai piratage d’une fausse alerte liée à un pic de trafic légitime.
Faut-il prévenir mes clients si mon site a été piraté ?
Cela dépend de la nature de l’intrusion. Si des données personnelles ou des informations de paiement ont pu être exposées, une notification est non seulement recommandée mais peut être une obligation légale selon le RGPD. Pour un simple spam SEO sans accès aux données, une communication n’est pas obligatoire mais reste une bonne pratique de transparence.
Existe-t-il des outils gratuits pour scanner un site à la recherche de signes de piratage ?
Oui, plusieurs scanners en ligne gratuits (dont ceux proposés par certains éditeurs de sécurité WordPress) permettent une vérification de surface du code source et des fichiers accessibles publiquement. Ils complètent utilement les vérifications manuelles mais ne remplacent pas un contrôle approfondi des fichiers serveur et des comptes utilisateurs.
