Un client vous signale qu’en cliquant sur votre site depuis Google, il arrive sur une page de pharmacie ou de paris en ligne. Vous testez, tout fonctionne. Ce décalage n’est pas un hasard : le code injecté est conçu pour vous épargner, vous, l’administrateur.
Je regarde votre situation et je vous dis en vingt minutes ce qui mérite d’être corrigé en priorité.
Reproduire la redirection
Le code malveillant vérifie généralement trois choses avant de rediriger : le visiteur est-il connecté, d’où vient-il, et avec quel appareil. Un administrateur connecté qui tape l’adresse directement ne déclenche rien. Un visiteur arrivant de Google sur un téléphone, si.
Pour reproduire : ouvrez une fenêtre de navigation privée, cherchez votre site sur Google, cliquez sur le résultat. Testez aussi depuis un téléphone en données mobiles. Si la redirection se produit, vous tenez la confirmation.
Les quatre cachettes habituelles
L’injection se loge presque toujours au même endroit. Par ordre de fréquence : dans la table wp_options, dans les fichiers du thème, dans le .htaccess, ou dans un faux fichier d’extension.
- wp_options : une entrée contenant du JavaScript, souvent avec autoload activé
- header.php ou footer.php du thème : script injecté en fin de fichier
- .htaccess : règle de réécriture conditionnelle sur le référent
- wp-content/uploads : fichier PHP déguisé en image dans un dossier de médias
- Fausse extension au nom crédible, absente du répertoire officiel
Chercher méthodiquement
Dans phpMyAdmin, lancez une recherche sur la table wp_options en cherchant les chaînes « <script », « eval( » ou « base64_decode ». Les entrées légitimes contenant ces motifs sont rares, les injections beaucoup moins.
Côté fichiers, comparez avec une installation propre. Téléchargez la même version de WordPress depuis wordpress.org et comparez les dossiers wp-admin et wp-includes : tout fichier supplémentaire ou modifié est suspect. Le cœur de WordPress ne doit jamais différer de la version officielle.
| Comportement | Emplacement probable | Méthode de recherche |
|---|---|---|
| Redirection sur toutes les pages | wp_options avec autoload | Recherche de « script » ou « eval » en base |
| Redirection depuis Google seulement | .htaccess ou thème | Contrôle des règles conditionnelles sur HTTP_REFERER |
| Redirection sur mobile uniquement | Script testant le user-agent | Lecture du JavaScript chargé en pied de page |
| Redirection sur une seule page | Contenu de l’article ou de la page | Édition en mode code de la page concernée |
Je peux appliquer directement ces corrections sur votre site plutôt que vous laisser une liste de recommandations.
Nettoyer ne suffit pas
C’est l’erreur la plus coûteuse. On retire le code, le site revient à la normale, et trois jours plus tard la redirection réapparaît. Parce que la porte d’entrée est toujours ouverte, et souvent parce qu’une porte dérobée a été déposée ailleurs.
Après nettoyage, il faut systématiquement : changer tous les mots de passe, y compris FTP et base de données, renouveler les clés de sécurité de wp-config.php pour déconnecter toutes les sessions, et mettre à jour l’intégralité des extensions et du thème.
Retirer le code malveillant sans fermer la faille, c’est éponger sans fermer le robinet. La réinfection survient en général sous une semaine.
Prévenir Google
Si Google a détecté la redirection, votre site est peut-être signalé comme trompeur. Une fois le nettoyage terminé et vérifié, demandez un examen depuis la Search Console, rubrique Sécurité et actions manuelles. Le délai est généralement de quelques jours.
Ce qu’il faut retenir
Reproduisez d’abord la redirection en navigation privée depuis Google : sans cela vous cherchez à l’aveugle. Fouillez ensuite wp_options avant les fichiers, c’est la cachette la plus courante. Et considérez le nettoyage comme la moitié du travail seulement : l’autre moitié consiste à refermer la porte.
Nettoyer soi-même plutôt que restaurer une sauvegarde
Avantages
- Conserve les contenus publiés depuis l’infection
- Oblige à comprendre par où l’intrusion est passée
- Évite de restaurer une sauvegarde déjà compromise
- Aucun coût si l’on dispose du temps nécessaire
Inconvénients
- Une porte dérobée oubliée annule tout le travail
- Demande de savoir distinguer code légitime et injecté
- Le site reste exposé pendant la recherche
- Sans certitude sur la date d’infection, on ignore ce qui a été altéré
Traiter une redirection malveillante
0 sur 5 points validés
Cochez au fur et à mesure : votre avancement reste sur cet appareil, rien n’est envoyé et aucun compte n’est nécessaire.
La redirection épargne l’administrateur connecté : testez en navigation privée depuis Google. Cherchez d’abord dans wp_options, puis dans les fichiers. Et n’arrêtez pas au nettoyage — sans changement de mots de passe ni renouvellement des clés, la réinfection est quasi certaine.
Questions fréquentes
Pourquoi je ne vois pas la redirection ?
Le code vérifie si vous êtes connecté et d’où vous venez. Un administrateur tapant l’adresse directement est délibérément épargné, pour que l’infection dure le plus longtemps possible.
Restaurer une sauvegarde suffit-il ?
Seulement si elle est antérieure à l’intrusion, ce que vous ignorez généralement. Et si la faille vient d’une extension vulnérable, elle sera restaurée elle aussi. La restauration doit toujours être suivie des mises à jour et du changement des mots de passe.
Combien de temps pour que Google retire l’avertissement ?
Quelques jours après une demande d’examen, à condition que le nettoyage soit complet. Une demande déposée alors qu’il reste du code malveillant est refusée et allonge le délai.
Sources et vérifications
Emplacements classés par fréquence sur les nettoyages que j’ai réalisés. Les motifs de recherche sont ceux qui remontent le plus d’injections réelles.
Décrivez votre situation en quelques lignes. Réponse sous 24 heures, sans engagement ni relance commerciale.
