Vous ouvrez votre site depuis votre téléphone et vous atterrissez sur une page de paris sportifs en russe. Sur votre ordinateur au bureau, tout semble normal. Un client lillois vous appelle : « Votre site m'a redirigé vers une arnaque. » Un site infecté par des malwares ou des redirections suspectes est compromis — du code malveillant agit sur votre serveur ou dans vos fichiers, souvent de façon invisible pour vous.
Ce n'est pas réservé aux grandes entreprises. Les PME des Hauts-de-France sont des cibles rentables : WordPress non mis à jour, mot de passe admin réutilisé, plugin abandonné. Chez Apresta, nous nettoyons plusieurs sites par trimestre dans ce contexte. Ce guide détaille les symptômes, le diagnostic, le nettoyage et la prévention — pour reprendre le contrôle sans aggraver la situation.
Symptômes : signes qu'un site est infecté
Redirections conditionnelles
Les attaquants filtrent souvent par User-Agent ou IP pour rester discrets. La redirection vers un autre domaine ne se déclenche qu'en mobile ou en 4G, pour les visiteurs venant de Google mais pas pour vous en accès direct, selon la langue du navigateur ou le pays IP. Le site paraît normal en navigation privée desktop et suspect sur smartphone — d'où la découverte tardive par un client.
Contenu parasite visible ou caché
Google indexe parfois des pages spam (« viagra », « casino », texte incohérent). Des liens cachés apparaissent en bas de page (texte blanc sur fond blanc). Des pop-ups antivirus factices ou fausses alertes « votre iPhone est infecté » s'affichent. Dans le code source (Ctrl+U), des iframes ou scripts inconnus trahissent l'injection.
Comportement serveur anormal
Des emails massifs partent depuis votre domaine sans action de votre part. Le site ralentit soudainement — crypto-mining en arrière-plan. De nouveaux comptes admin ou FTP apparaissent que vous n'avez pas créés. Des fichiers .php se retrouvent dans /uploads, /images ou /wp-content/themes.
Signaux externes
Google affiche une alerte « site dangereux » ou « site piraté » — voir avertissement sécurité Google. L'hébergeur suspend le compte pour abus. L'antivirus client bloque votre URL.
Le propriétaire découvre souvent l'infection par un tiers. Testez votre site comme un visiteur, pas comme un administrateur connecté.
Causes fréquentes d'infection et de redirections malveillantes
CMS et extensions non maintenus
Une faille connue dans un plugin de cache, formulaire ou slider — patch publié mais non appliqué. Les bots scannent le web à la recherche de ces failles.
Identifiants faibles ou volés
Mot de passe admin « MonEntreprise2024 », réutilisé sur Have I Been Pwned, partagé avec un ancien prestataire jamais révoqué.
Thèmes ou plugins piratés (nulled)
Backdoor préinstallée garantie. Économie de 59 €, coût réel : plusieurs milliers d'euros de nettoyage.
Upload de fichiers non sécurisé
Formulaire qui accepte n'importe quel fichier ; exécution PHP autorisée dans les dossiers médias.
Compte hébergeur ou FTP compromis
Phishing vers un collaborateur : « Votre hébergement expire — cliquez ici. »
Chaîne d'approvisionnement
Compromission d'un plugin populaire = des milliers de sites touchés simultanément. Moins fréquent mais dévastateur.
Diagnostic : repérer le malware sans supprimer les preuves
Urgent : ne pas effacer avant d'analyser. Scannez en externe avec Sucuri SiteCheck, VirusTotal URL, Google Safe Browsing. Dans Search Console, repérez les pages indexées suspectes et les problèmes de sécurité. Comparez la date de modification des fichiers core (wp-config.php, index.php, .htaccess). Listez les comptes admin CMS et les sessions actives. Consultez les logs accès : requêtes POST vers fichiers inconnus, IP répétitives.
Ensuite, lancez un crawl complet pour pages orphelines (Screaming Frog). Recherchez des fonctions PHP suspectes : eval(, base64_decode(, gzinflate(. Vérifiez les cron jobs serveur et les tâches planifiées WordPress. Contrôlez les enregistrements DNS (A, CNAME) — un sous-domaine pirate peut avoir été ajouté.
Plus tard, un audit forensique s'impose si des données clients ont potentiellement été exfiltrées. Revoyez les accès prestataires et la politique de mots de passe. Ordre de grandeur : diagnostic professionnel complet — 300 à 800 € ; nettoyage + durcissement — 800 à 4 000 € selon stack et ampleur.
Corrections : nettoyer un site infecté dans le bon ordre
Phase 1 — Contenir (J+0)
Activez le mode maintenance si des redirections actives ou un vol de données est en cours. Changez immédiatement tous les mots de passe : CMS, FTP/SFTP, base de données, hébergeur, DNS, email. Révoquez tokens API et clés SSH. Prévenez l'équipe : ne pas se reconnecter avec l'ancien mot de passe.
Phase 2 — Nettoyer (J+0 à J+3)
Identifiez et supprimez backdoors, shells, fichiers injectés. Réinstallez le core CMS depuis la source officielle — pas « par-dessus » aveuglément. Réinstallez le thème enfant propre ; auditez chaque plugin et supprimez l'inutile. Nettoyez .htaccess (règles de redirection malveillantes fréquentes). Vérifiez la base de données : options siteurl, utilisateurs, contenu spam injecté.
Phase 3 — Durcir (J+3 à J+7)
Mettez à jour PHP (8.2+ en 2026), CMS et extensions. Activez la 2FA sur tous les comptes admin. Interdisez l'exécution PHP dans /uploads. Configurez un WAF ou pare-feu applicatif. Basculez l'envoi email en SMTP authentifié si du spam sortait du serveur.
Phase 4 — Rétablir la visibilité (J+7+)
Demandez un examen sécurité Google si une alerte est active. Désindexez les pages spam via Search Console. Restaurez une sauvegarde propre antérieure à l'infection si disponible — puis re-patch. Prévoyez un monitoring sur 90 jours minimum — voir surveillance et monitoring.
Ne restaurez pas aveuglément une sauvegarde récente : elle peut contenir déjà le malware. Idéal : sauvegarde saine connue + reprise des contenus légitimes postérieurs.
Prévention : ne pas réinfecter le site en 3 mois
Un contrat maintenance avec mises à jour planifiées évite la récidive — voir maintenance site web. Les sauvegardes automatiques hors serveur, testées mensuellement, sont indispensables — voir sauvegardes et routine. Appliquez le principe du moindre privilège (comptes éditeur vs admin), menez un audit plugins trimestriel (actif, maintenu, nécessaire ?), et évitez toute connexion admin depuis un réseau public sans VPN. Documentez un plan de reprise d'activité — voir PRA présence en ligne.
La réinfection arrive quand on nettoie sans corriger la porte d'entrée — faille non patchée ou mot de passe identique.
Impact business d'un site infecté
SEO : déindexation partielle, alertes SERP, perte de trafic 50 à 90 %. E-commerce : un bouton panier redirigé = CA à zéro le temps du nettoyage. RGPD : obligation d'évaluer une notification si des données clients ont été exposées. Confiance : un client redirigé vers du phishing associe l'arnaque à votre marque. Coût direct : nettoyage + opportunité commerciale perdue + parfois refonte partielle.
Pour une boutique en ligne régionale, une semaine offline peut représenter 5 000 à 30 000 € de CA perdu selon saisonnalité.
Différencier malware, redirection et piratage partiel
Trois situations distinctes — le traitement varie.
Malware passif — Code dormant en attente d'instruction. Pas de redirection visible immédiate. Détecté par scan ou modification fichiers. Risque : activation brutale ou exfiltration données.
Redirection active — Visiteur envoyé ailleurs. Urgence maximale : chaque clic peut arnaquer un client. Coupez le trafic ou mettez en maintenance si le nettoyage prend plus de 24 h.
Piratage partiel — Seules certaines pages (souvent /wp-login.php, articles anciens, landing oubliées) sont touchées. Le reste du site semble sain. Nécessite crawl exhaustif, pas un simple coup d'œil à l'accueil.
Ne confondez pas non plus infection et erreur de développement : une redirection 301 mal configurée après refonte n'est pas un malware — mais l'effet visiteur peut s'y ressembler. Vérifiez l'historique des déploiements avant de lancer un nettoyage lourd.
FAQ
Mon site redirige sur mobile seulement : pourquoi ?
Les attaquants filtrent par User-Agent ou IP pour rester discrets. Le propriétaire qui teste sur desktop ne voit rien. Testez en 4G, navigation privée, ou via un outil de scan mobile externe.
Puis-je nettoyer moi-même avec un plugin « malware scanner » ?
Les plugins aident en complément mais ne remplacent pas une analyse manuelle des backdoors obfusqués. Un nettoyage incomplet mène à réinfection en 48 h. Pour un site e-commerce ou avec données sensibles, faites appel à un pro.
Faut-il changer de nom de domaine après une infection ?
Rarement nécessaire. Un nettoyage complet + durcissement + demande examen Google suffit dans la majorité des cas. Changer de domaine = perdre SEO, backlinks, notoriété.
Comment savoir quelle sauvegarde est saine ?
Comparez date d'infection estimée (premiers signaux, logs) avec dates de backup. Scannez la sauvegarde offline avant restauration. En doute, reconstruisez depuis core propre + export contenu vérifié.
Combien de temps pour un site 100 % propre ?
Nettoyage technique : 1 à 5 jours. Retrait alerte Google : 3 à 15 jours après examen. Récupération SEO complète : 4 à 12 semaines selon pages spam indexées.
Et maintenant ?
Un site infecté par des malwares ou redirections suspectes demande une réaction rapide et méthodique : contenir, nettoyer, durcir, puis rétablir la confiance Google. Chaque heure de redirection active coûte des clients et de la réputation.