Comment savoir si votre site WordPress est piraté, même quand tout paraît normal

Votre extension de sécurité a lancé une alerte, ou quelqu’un vous a signalé quelque chose d’étrange sur votre site. Pourtant, quand vous l’ouvrez, vos pages s’affichent comme d’habitude.

C’est voulu. Les pirates montrent souvent à Google une autre page que celle que voient les visiteurs, pour que le propriétaire ait plus de mal à s’apercevoir du piratage (règles de Google sur le spam). D’autres ne détournent que les visiteurs qui arrivent de Google ou qui naviguent sur téléphone (voir notre article sur les sites qui redirigent vers un autre site). Ce qui compte, c’est donc ce que voient Google et les autres visiteurs.

Exposé, attaqué ou piraté : trois situations à ne pas confondre

• Exposé. Une extension n’est pas à jour, la licence d’une extension payante a expiré, ou la version de PHP, le langage qui fait fonctionner WordPress chez votre hébergeur, n’est plus maintenue. Le site n’est pas forcément piraté, mais une porte est ouverte.
• Attaqué. Des robots essaient de se connecter ou testent des failles connues. C’est permanent : sur l’ensemble des sites que nous surveillons, nous comptons des centaines de tentatives par jour. Une alerte « tentative de connexion » ne veut pas dire que quelqu’un est entré.
• Piraté. Vous trouvez du contenu, des comptes, des fichiers ou un plan du site dont vous ignorez l’origine. C’est cela qu’il faut chercher.

Les extensions de sécurité se trompent aussi. Sur les forums d’entraide, plusieurs propriétaires racontent qu’elles ont signalé comme suspects des fichiers parfaitement légitimes, parfois ceux de l’extension elle-même.

Ce que montre Google à tout le monde

Le plus rapide ne demande aucun compte. Tapez dans Google site:votresite.fr, puis la même recherche suivie de mots qui n’ont rien à faire sur votre site : casino, viagra, prêt, une marque de luxe, ou quelques caractères japonais copiés depuis un résultat suspect. Si Google ne montre rien, refaites ces recherches dans un autre moteur, comme Bing, car Google retire parfois de ses résultats les pages piratées qu’il a repérées. Si vous trouvez des pages que vous n’avez jamais créées, vous avez votre réponse : le site est piraté. Ne supprimez rien tout de suite, et suivez notre guide du site piraté, qui dit par quoi commencer.

Ne vous laissez pas rassurer si un clic sur ces résultats affiche une page introuvable. C’est une ruse connue, que nous expliquons dans notre article sur les pages parasites.

Enfin, la navigation sécurisée de Google est le service qui déclenche les écrans rouges « Site dangereux ». Son outil « État d’un site » dit si votre site est signalé (transparencyreport.google.com). Un résultat sans alerte ne règle pas la question pour autant : Google précise qu’un site jugé sain par la navigation sécurisée peut avoir été piraté pour publier du spam (blog Google Search Central).

Ce que sait Google : la Search Console

La Search Console est l’outil gratuit de Google pour les propriétaires de sites. Si votre site y est déjà déclaré, regardez, dans cet ordre :

1. Sécurité et actions manuelles, puis Problèmes de sécurité. Une coche verte s’affiche quand il n’y a rien à signaler. Sinon, Google indique le type de problème, par exemple « Piratage : injection d’URL », avec des exemples d’adresses touchées. La coche verte veut seulement dire que Google ne vous signale rien : un problème repéré par ses algorithmes peut ne donner lieu à aucun message dans la Search Console (aide de la Search Console).
2. Paramètres, puis Utilisateurs et autorisations. Un propriétaire que vous n’avez jamais invité est un signe fort : les pirates s’y ajoutent pour agir à votre place dans la Search Console. Vérifiez aussi que les messages de la Search Console vous parviennent et ne finissent pas dans vos courriers indésirables. Certains pirates en coupent l’envoi pour que vous ne soyez pas prévenu.
3. Indexation, puis Pages. Une courbe qui monte d’un coup alors que vous n’avez rien publié trahit des pages parasites. Sur une boutique qui nous a été confiée, Google était passé de 19 pages connues à plus de 31 000 en six semaines ; notre article sur les pages parasites montre cette courbe.
4. Indexation, puis Sitemaps. Un plan du site que vous n’avez pas envoyé est suspect. Les pirates en ajoutent pour faire connaître leurs pages plus vite.
5. Inspection de l’URL, sur votre page d’accueil et sur une page suspecte. Commencez par « Afficher la page explorée ». Vous y verrez le code de la page tel que le robot de Google l’a reçu lors de son dernier passage : cherchez-y des termes étrangers à votre activité. Le test en direct (« Tester l’URL active ») ne se présente pas comme le robot de Google et suit les redirections sans le signaler, si bien qu’une page qui y paraît normale peut quand même être piratée.

Si vous ne l’utilisez pas encore, ajoutez-y votre site en choisissant le type « Propriété de domaine », qui couvre aussi les adresses secondaires du site, comme un vieux site de test oublié. Il faudra ajouter une ligne dans les réglages de votre nom de domaine, chez la société où vous l’avez acheté, ou la faire ajouter par votre prestataire. Les données mettent ensuite quelques jours à apparaître : d’ici là, un rapport vide ne prouve rien.

Ce qu’il faut regarder dans WordPress

• Comptes, puis Tous les comptes (le menu s’appelait autrefois Utilisateurs). Un administrateur que vous ne connaissez pas est un signe de piratage. Ne vous fiez pas à sa date d’inscription : un pirate peut la falsifier.
• Le profil de chaque administrateur, section « Mots de passe d’application ». Un mot de passe d’application dont personne chez vous ne connaît l’origine permet d’agir sur le site à distance, par un programme, sans passer par la page de connexion.
• Réglages, puis Général. Si la case « Tout le monde peut s’inscrire » est cochée sans que vous en ayez besoin, n’importe qui peut se créer un compte sur votre site : décochez-la. Et si le « Rôle par défaut de tout nouveau compte » est « Administrateur/administratrice » sans que vous l’ayez choisi, considérez-le comme la trace d’un pirate. Les dernières versions de WordPress ne proposent même plus ce rôle dans la liste, sauf s’il était déjà choisi (code de WordPress, en anglais).
• Extensions. Si les onglets « Indispensables » ou « Avancées » apparaissent en haut de la liste, c’est qu’ils contiennent quelque chose : ouvrez-les, car une extension qui s’y trouve s’exécute sans pouvoir être désactivée depuis la liste. Pour chaque extension que vous ne connaissez pas, vérifiez qu’elle existe sur wordpress.org ou chez un éditeur reconnu, car une fausse extension peut porter le nom d’un vrai service.
• Articles, puis Corbeille (le lien n’apparaît que si elle contient quelque chose). C’est l’endroit que personne ne regarde, et WordPress y garde 30 jours les contenus supprimés. Des articles que vous n’avez jamais écrits, même supprimés depuis, prouvent que quelqu’un a publié à votre place. Sur un site, nous y avons trouvé 1 679 articles de paris et de casino.
• Des boutons qui ont disparu, comme « Ajouter une extension » ou les mises à jour. Un réglage ajouté dans wp-config.php, le fichier de configuration de WordPress, suffit à les masquer. Si ni votre hébergeur ni votre prestataire ne l’ont ajouté volontairement, c’est suspect.

L’outil Santé du site, dans le menu Outils, vérifie la configuration sans chercher de code malveillant. Un bon résultat ne dit donc rien d’un piratage.

La comparaison des fichiers, et ses limites

Si vous ou votre prestataire avez accès à la ligne de commande du serveur, l’outil WP-CLI compare les fichiers du site à ceux publiés sur wordpress.org : wp core verify-checksums pour WordPress, wp plugin verify-checksums --all pour les extensions. Un fichier différent ou en trop est à examiner.

Ces commandes ne vérifient ni les thèmes, ni les extensions payantes, qui n’ont pas d’original public, ni le dossier des médias, ni la base de données. C’est là que le code malveillant a le plus de chances de passer inaperçu. Sur un site, nous l’avons trouvé dans un réglage du thème enregistré en base de données, sous une forme illisible.

Quand ce que vous supprimez revient

Si un article de spam ou un administrateur que vous avez supprimé réapparaît, le pirate est toujours là : du code laissé ailleurs dans le site le recrée. Tant que ce code et la porte d’entrée du pirate n’ont pas été trouvés, nettoyer ce qui se voit ne suffit pas. Notre guide du site piraté explique comment les trouver.

Ce que les analyses ne voient pas

Une analyse à distance ne voit que ce que le site montre à l’extérieur. C’est vrai aussi de notre analyse gratuite, et sa page le dit : elle ne voit ni vos fichiers, ni votre base de données, ni les contenus non publiés, ni les comptes qui n’ont rien publié.

Questions fréquentes

Le cadenas de mon navigateur prouve-t-il que mon site n’est pas piraté ?

Non. Il indique seulement que la connexion entre le visiteur et le site est chiffrée. Notre article sur l’avertissement de Google explique ce qui le distingue des écrans « Site dangereux ».

Faut-il refaire ces vérifications régulièrement ?

Oui. Un site sain aujourd’hui peut être piraté la semaine prochaine, par une faille publiée entre-temps. Regardez au moins chaque mois la Search Console et la liste des comptes. Les fichiers, les comptes et les extensions peuvent, eux, être surveillés en continu par un outil installé dans le site.

Mon site affiche une erreur : est-ce un piratage ?

Pas forcément : une erreur peut aussi venir d’une extension ou d’une mise à jour. Notre article sur l’erreur 500 explique comment savoir d’où elle vient. Mais si des comptes inconnus ou des pages de spam apparaissent en même temps, faites les vérifications ci-dessus.