Votre site a l'air normal. Les pages se chargent, le design est correct, rien d'étrange dans wp-admin. Puis un client vous signale que vos résultats Google affichent des publicités pour une pharmacie, ou votre trafic chute sans raison, ou Chrome se met à avertir les visiteurs de ne pas entrer.
C'est ainsi que fonctionne un type d'infection WordPress de plus en plus répandu : il est conçu pour se cacher du propriétaire du site. Des chercheurs en sécurité ont suivi des campagnes qui installent de fausses extensions, injectent du spam uniquement lors du passage d'un moteur de recherche et ne redirigent qu'une partie des visiteurs vers des sites frauduleux. Ce guide vous explique comment vérifier votre site, le nettoyer correctement et le maintenir propre.
À retenir
- Le spam SEO caché n'affiche du contenu de pharmacie ou de casino qu'aux moteurs de recherche : pour vous, le site semble normal.
- Une technique courante consiste à créer une fausse extension portant le nom de votre propre domaine, par exemple example-com/example-com.php.
- Vérifiez Google avec site:votredomaine.com suivi de mots de spam, et cherchez dans la Search Console des pages que vous n'avez pas créées.
- Nettoyer, ce n'est pas seulement supprimer un fichier : il faut remplacer les fichiers, réinitialiser tous les mots de passe et supprimer les administrateurs cachés.
- Une fois le site nettoyé, demandez un réexamen à Google pour que les avertissements et les résultats de spam disparaissent.
Comment fonctionne le spam SEO caché
Le malware examine chaque requête avant de décider quoi afficher :
- Pour les robots des moteurs de recherche, il ajoute du spam : liens, pages ou textes sur la pharmacie, les casinos, les prêts ou les contrefaçons. Google l'indexe sous votre domaine, ce qui fait profiter le spam de la réputation de votre site.
- Pour vous et votre équipe connectée, il affiche le vrai site, si bien que rien ne semble anormal.
- Pour certains visiteurs, souvent uniquement ceux qui arrivent depuis Google sur mobile, il redirige vers un site frauduleux, puis s'arrête pendant un moment pour que le problème soit difficile à reproduire.
Une cachette de prédilection est une extension portant le nom de votre propre site. Sur example.com, le dossier et le fichier peuvent s'appeler example-com/example-com.php, ce qui ressemble à un développement de votre prestataire. D'autres campagnes se font passer pour des extensions de sécurité ou de SEO, utilisent du code fortement obscurci et difficile à lire, ou se masquent complètement de l'écran Extensions.
Signes que votre site est peut-être touché Des mots de spam ou des pages en langue étrangère dans les résultats Google pour votre domaine ; un avertissement « Site trompeur » ou « Ce site a peut-être été piraté » ; des clients qui signalent des redirections que vous ne parvenez pas à reproduire ; une chute soudaine du trafic issu des moteurs de recherche ; ou de nouveaux administrateurs que personne n'a créés.
Étape 1 : vérifiez ce que voit Google
Recherchez sur Google votre domaine accompagné de mots typiques du spam. Si des résultats apparaissent pour des pages que vous n'avez jamais rédigées, Google a indexé du spam sur votre site.
site:yourdomain.com viagra
site:yourdomain.com casino
site:yourdomain.com replica
site:yourdomain.com "buy" "online" "cheap"Ouvrez ensuite Google Search Console pour votre site. Consultez Sécurité et actions manuelles › Problèmes de sécurité pour d'éventuels avertissements, ainsi que le rapport Pages pour repérer des URL que vous ne reconnaissez pas. L'outil Inspection de l'URL affiche une page telle que Googlebot la voit : c'est le moyen le plus rapide de détecter un contenu présenté uniquement aux robots.
Étape 2 : cherchez l'intrus
Dans wp-admin, vérifiez les Extensions et les Utilisateurs. Mais comme certains malwares se cachent de wp-admin, examinez aussi directement les fichiers, dans le Gestionnaire de fichiers de cPanel ou via SSH :
# Plugin folders on disk (compare with the Plugins screen)
ls -la wp-content/plugins/
# Must-use plugins load automatically and don't need activating
ls -la wp-content/mu-plugins/
# PHP files don't belong in uploads
find wp-content/uploads -name "*.php"
# Core files that differ from the official release
wp core verify-checksums
# Plugins whose files differ from the wordpress.org versions
wp plugin verify-checksums --all
# Every administrator account
wp user list --role=administratorRecherchez un dossier d'extension portant le nom de votre domaine, tout ce que vous n'avez pas ajouté dans mu-plugins, des fichiers PHP dans uploads et des administrateurs que vous ne reconnaissez pas. Sur l'hébergement cPanel de WebGee, lancez également une analyse avec le scanner de malwares de cPanel et consultez le rapport CMS Threats de cPGuard, qui signale aussi les fichiers infectés et le contenu compromis de la base de données pour chaque installation WordPress.
Étape 3 : nettoyez correctement
L'erreur la plus fréquente consiste à supprimer le fichier malveillant et à s'arrêter là. Les attaquants laissent presque toujours une deuxième porte d'entrée. Traitez l'ensemble des points :
Nettoyage, dans cet ordre
- Faites d'abord une sauvegarde instantanée du site infecté, pour pouvoir comparer et ne rien perdre
- Réinstallez les fichiers du cœur de WordPress (wp core download --force --skip-content), en conservant wp-content et wp-config.php
- Supprimez toutes les extensions et tous les thèmes, puis réinstallez des copies neuves depuis la source officielle ; supprimez tout ce que vous ne reconnaissez pas
- Supprimez les fichiers PHP de wp-content/uploads et tout élément inattendu dans mu-plugins
- Supprimez les administrateurs inconnus et vérifiez que wp-config.php et .htaccess ne contiennent pas de code ou de redirections ajoutés
- Vérifiez les tâches cron dans cPanel ainsi que les redirections d'e-mails pour repérer tout ce que vous n'avez pas créé
- Réinitialisez tous les mots de passe : administrateurs WordPress, cPanel, base de données, FTP/SSH et e-mail ; puis changez les clés de sécurité de WordPress dans wp-config.php
- Mettez à jour tout ce qui était obsolète, PHP compris, pour fermer la faille utilisée par l'attaquant
Si vous disposez d'une sauvegarde saine antérieure au début de l'infection, la restaurer peut être plus rapide. Restaurez les fichiers et la base de données, puis effectuez quand même les réinitialisations de mots de passe et les mises à jour, sinon l'attaquant reviendra tout simplement par le même chemin. Notre guide de suppression des malwares détaille chaque étape.
Étape 4 : informez Google que le problème est résolu
Une fois le site nettoyé, retournez dans la Search Console. Sous Problèmes de sécurité, sélectionnez Demander un examen et décrivez brièvement ce que vous avez supprimé et comment vous avez fermé le point d'entrée. Utilisez l'outil Suppressions pour masquer les URL de spam dans les résultats pendant que Google les explore à nouveau, et refaites les recherches site: au cours des semaines suivantes.
Empêchez l'infection de revenir Maintenez vos extensions et thèmes à jour, supprimez ceux que vous n'utilisez pas, n'accordez les droits d'administrateur qu'aux personnes qui en ont besoin, utilisez des mots de passe robustes et uniques, et faites des sauvegardes régulières. La plupart des réinfections passent par la même extension obsolète que la première fois.
Une sécurité qui n'attend pas que vous remarquiez le problème
Le spam caché est conçu pour que vous ne le trouviez pas en consultant votre site. Sur l'hébergement cPanel de WebGee, cPGuard analyse chaque installation WordPress de votre compte à la recherche d'extensions vulnérables, de fichiers malveillants et de contenu infecté dans la base de données, et vous envoie un rapport hebdomadaire par e-mail. L'analyse antimalware, un pare-feu applicatif web et les restaurations JetBackup sont inclus, et nos ingénieurs disponibles 24h/24 et 7j/7 par chat examineront la situation avec vous si quelque chose est détecté.
Questions fréquentes
Comment mon site peut-il afficher du spam à Google mais pas à moi ?
Le malware vérifie qui fait la demande. Lorsque le visiteur ressemble à un robot d'exploration de moteur de recherche, il ajoute du contenu ou des liens de spam. S'il s'agit d'un administrateur connecté ou d'un navigateur ordinaire, il affiche la vraie page : l'infection passe ainsi inaperçue pendant des semaines.
Comment vérifier si Google voit du spam sur mon site ?
Recherchez sur Google site:votredomaine.com accompagné de mots comme viagra, casino ou replica. Dans Google Search Console, consultez le rapport Pages pour repérer des URL que vous n'avez jamais créées, ainsi que le rapport Problèmes de sécurité pour d'éventuels avertissements.
Suffit-il de supprimer la fausse extension ?
Généralement non. Les attaquants laissent des portes dérobées : administrateurs supplémentaires, fichiers du cœur modifiés, tâches cron ou code dans la base de données. Suivez l'ensemble de la procédure de nettoyage, y compris le remplacement des fichiers du cœur et la réinitialisation de tous les mots de passe, sinon le site est souvent réinfecté en quelques jours.
Comment l'attaquant est-il entré ?
Le plus souvent via une extension ou un thème obsolète présentant une vulnérabilité connue, ou via un mot de passe administrateur volé ou trop faible. Identifiez et fermez ce point d'entrée, sinon le nettoyage ne tiendra pas.
Combien de temps avant que Google cesse d'afficher le spam ?
Après avoir nettoyé le site et demandé un réexamen dans la Search Console, les avertissements sont souvent levés en quelques jours. Les pages de spam disparaissent des résultats au fur et à mesure que Google les explore à nouveau, ce qui peut prendre plus de temps ; vous pouvez accélérer le processus avec l'outil de suppressions de la Search Console.
