Une partie des visiteurs n’arrive jamais sur votre site : ils sont envoyés vers une page de casino, de pharmacie, de faux gain ou d’arnaque. Ce comportement est le signe d’un piratage. La redirection est souvent sélective : elle vise les visiteurs venus de Google ou sur mobile et épargne l’administrateur connecté, ce qui explique que vous ne la voyiez pas toujours.
D’où vient le problème
- Du code malveillant a été ajouté au thème, à une extension, aux fichiers de WordPress ou à la base de données.
- Une extension inconnue au nom rassurant, ou un fichier dans wp-content/mu-plugins (le dossier des extensions chargées d’office), a été installé à votre insu.
- Les adresses du site dans les réglages, ou une règle du fichier .htaccess, ont été modifiées.
- Un script externe chargé par le site (statistiques, chat, publicité) a été compromis chez son fournisseur.
- À l’origine, on trouve le plus souvent une extension pas à jour ou un mot de passe réutilisé.
Comment corriger le problème
Reproduire la redirection
Testez en navigation privée sans être connecté, depuis un téléphone en données mobiles, puis en cliquant sur votre site à partir d’une recherche Google. Notez dans quels cas la redirection se produit et vers quelle adresse elle mène : ces indices orientent la suite.
Copier le site, puis couper les accès
Faites une copie complète des fichiers et de la base, même infectés. Changez ensuite les mots de passe de l’administration, de l’hébergement, du FTP et de la base de données, puis prévenez votre hébergeur. Dans le profil des administrateurs, supprimez aussi tout mot de passe d’application inconnu : il permet d’agir sur le site sans passer par l’écran de connexion.
Inspecter les réglages et le .htaccess
Vérifiez les deux adresses dans Réglages > Général. Ouvrez ensuite le fichier .htaccess à la racine : le bloc standard de WordPress tient entre les lignes # BEGIN WordPress et # END WordPress, et toute redirection vers un domaine inconnu est suspecte. Gardez une copie du fichier avant de le corriger.
Passer en revue extensions et mu-plugins
Comparez la liste des extensions avec ce que vous avez réellement installé. Un dossier inconnu dans wp-content/mu-plugins mérite attention, mais certains hébergeurs y placent leurs propres outils : renseignez-vous avant de le renommer.
Contrôler l’intégrité des fichiers
Ces commandes WP-CLI comparent les fichiers de WordPress et des extensions du répertoire officiel aux originaux, et signalent ceux qui ont été modifiés (ainsi que, pour WordPress, les fichiers qui ne devraient pas exister). Elles ne couvrent ni le thème, ni les extensions premium, ni wp-content/uploads, où aucun fichier PHP ne devrait se trouver.
wp core verify-checksums
wp plugin verify-checksums --allSurveiller après le nettoyage
Refaites les tests dans les mêmes conditions qu’au départ et suivez le rapport Problèmes de sécurité de la Search Console. Une redirection qui revient signifie qu’un accès caché a survécu au nettoyage : il faut reprendre l’analyse au lieu de corriger à nouveau le symptôme.
Ne supprimez pas à l’aveugle les fichiers ou extensions suspects : après une sauvegarde complète, renommez-les ou mettez-les de côté, car certains appartiennent à l’hébergeur ou au thème.
Un autre message d'erreur ? Collez-le dans le décodeur : il le reconnaît et vous oriente vers la bonne fiche.
Ouvrir le décodeur