Comment savoir si mon site WordPress est hacké ?

Découvrir que son site WordPress a été piraté est toujours un choc… mais le plus inquiétant, c’est qu’on ne le voit pas toujours tout de suite. La plupart des pirates ne s’attaquent pas à votre entreprise personnellement : ils utilisent des scripts automatisés qui scannent des milliers de sites à la recherche de failles connues.

Un site compromis peut être utilisé pour héberger des fichiers illégaux, afficher des publicités frauduleuses, rediriger vos visiteurs ou booster artificiellement le SEO d’autres sites. Et pendant ce temps-là, Google peut pénaliser votre référencement sans même que vous ne compreniez pourquoi.

Voici les trois niveaux d’alerte pour savoir si votre site WordPress est hacké, ainsi que quelques conseils simples pour vérifier son intégrité.

---

1. Les signes évidents : quand le piratage saute aux yeux

Certains symptômes ne trompent pas :

• Votre site est complètement inaccessible (page blanche, erreur 500, ou redirection vers une autre URL).
• Son contenu est massivement modifié : messages étranges, images choquantes, nouvelles pages non demandées.
• Vous recevez des e-mails inhabituels : demandes de réinitialisation de mot de passe, notifications de connexions suspectes, ou alertes de Google concernant du contenu malveillant.

Conseils pour vérifier

• Essayez d’accéder à l’administration WordPress (/wp-admin). Si vous ne pouvez plus vous connecter, c’est mauvais signe.
• Faites un test rapide avec Google Safe Browsing pour voir si votre domaine est signalé comme dangereux.
• Vérifiez vos mails : Google Search Console, votre hébergeur ou même des clients peuvent vous avoir alerté.

---

2. Les signes subtils : quand le piratage se cache à peine

Dans de nombreux cas, les pirates préfèrent rester discrets pour exploiter votre site le plus longtemps possible :

• Le site devient anormalement lent ou affiche des erreurs aléatoires.
• Certaines pages indexées par Google ne correspondent pas à votre contenu (ex : des pages de casino ou de faux produits pharmaceutiques).
• Des liens suspects apparaissent dans vos textes, parfois très discrets.
• Votre espace disque explose sans raison, car des fichiers inconnus s’accumulent.

Conseils pour vérifier

• Tapez dans Google : site:votresite.fr et vérifiez les pages indexées. Si vous voyez des URLs inconnues, il y a un souci.
• Utilisez un outil gratuit comme Sucuri SiteCheck pour détecter des fichiers suspects.
• Contrôlez la date de modification des fichiers via votre FTP : des fichiers récemment modifiés peuvent être un indice.

---

3. Les signes invisibles : le piratage silencieux

Le scénario le plus dangereux, c’est celui où tout semble normal… mais où votre site sert d’outil à des tiers :

• Ajout de liens invisibles (masqués en CSS) pour améliorer le SEO de sites douteux.
• Scripts cachés pour miner de la cryptomonnaie via les ordinateurs de vos visiteurs.
• Redirections furtives : les pirates redirigent uniquement certains visiteurs, par exemple ceux venant de Google, vers des sites frauduleux.
• Exploitation de votre serveur comme plateforme d’attaque contre d’autres sites.

Conseils pour vérifier

• Inspectez le code source d’une page au hasard (clic droit → “Afficher le code source”) et cherchez des liens ou scripts étranges.
• Vérifiez votre Google Search Console pour repérer d’éventuelles pénalités SEO.
• Surveillez vos statistiques : un pic de trafic soudain depuis des pays improbables peut indiquer une utilisation détournée.

---

Pourquoi votre site WordPress a-t-il été piraté ?

Dans 90 % des cas, ce n’est pas vous la cible. Les pirates cherchent à :

• Améliorer le SEO de sites frauduleux via des liens cachés.
• Héberger des fichiers illégaux ou des pages de phishing.
• Exploiter vos ressources pour envoyer du spam ou miner des cryptos.
• Voler des données (emails, identifiants, informations bancaires).

Si votre site n’est pas mis à jour régulièrement, qu’il utilise des plugins vulnérables ou des mots de passe faibles, il devient une cible facile.

---

Que faire si vous suspectez un piratage ?

Si vous avez le moindre doute, ne tardez pas : plus l’intrusion dure, plus les conséquences sont lourdes.

• Déconnectez tout le monde : changez immédiatement vos mots de passe.
• Sauvegardez votre site avant toute manipulation.
• Faites un audit complet pour identifier l’origine du problème.
• Nettoyez le site et corrigez les failles pour éviter une rechute.

➡️ Je détaille tout dans cette page dédiée : Mon site WordPress est hacké, que faire ?

---

Un site piraté, c’est plus qu’un problème technique : c’est un risque pour votre réputation, votre SEO et vos visiteurs.
La meilleure stratégie reste la prévention : mettez à jour vos extensions, utilisez des mots de passe solides et configurez un vrai système de sauvegarde.

Si vous voulez un diagnostic rapide, je peux vous aider à auditer votre site et identifier les failles avant qu’il ne soit trop tard.