Votre site a été piraté ?

Ne restaurez pas de sauvegarde à l’aveugle et ne supprimez rien : changez les mots de passe de l’hébergement et de la messagerie, notez ce que vous voyez, puis faites analyser le site pour trouver la faille.

Redirections sur mobile ou depuis Google, administrateurs inconnus, pages étrangères visibles avec « site:votredomaine.be », alerte de Google ou e-mail de votre hébergeur.

Non. La sauvegarde efface le symptôme, pas la faille, et elle contient souvent déjà le code malveillant : le piratage revient.

Le nettoyage se fait généralement en quelques heures. La levée d’une alerte Google peut ensuite prendre de quelques jours à quelques semaines.

Les signes les plus fiables : des pages inconnues quand vous tapez « site:votredomaine.be » dans Google, des redirections qui ne se produisent que sur mobile ou depuis Google, des administrateurs inconnus dans Utilisateurs, des fichiers PHP récents dans /wp-content/uploads/, une alerte « Problèmes de sécurité » dans la Search Console ou un e-mail de votre hébergeur.

Par une extension ou un thème non mis à jour dont la faille est connue, par une extension « nulled » (version payante piratée), par un mot de passe faible ou réutilisé, par un accès FTP ou hébergement compromis, ou par l’ordinateur infecté d’une personne qui gère le site.

Nous sauvegardons l’état infecté pour garder les preuves, puis nous analysons les fichiers et la base de données : comparaison avec les sources officielles de WordPress, recherche de code dissimulé (obfusqué), fichiers PHP cachés dans les dossiers d’images. Nous supprimons les portes dérobées, réinstallons proprement le cœur de WordPress, régénérons les clés de sécurité du fichier de configuration et changeons tous les mots de passe (WordPress, base de données, SFTP, hébergement). Enfin, nous mettons tout à jour et demandons un réexamen à Google si nécessaire.

Si des données personnelles ont pu être consultées (formulaires, comptes clients, commandes), le RGPD impose en principe de notifier l’autorité de protection des données dans les 72 heures après la découverte, sauf si la violation ne présente pas de risque pour les personnes. En Belgique, il s’agit de l’Autorité de protection des données. Nous vous aidons à documenter l’incident ; la décision et les démarches juridiques vous appartiennent.

Pas forcément. Si d’autres sites du même compte d’hébergement sont aussi infectés, ou si l’hébergeur utilise une version de PHP obsolète, nous vous le signalons.

C’est du « cloaking » : le code malveillant affiche les pages de spam uniquement à Googlebot ou aux visiteurs qui arrivent depuis Google. Votre site semble normal pour vous, mais Google en indexe une autre version.

Dans la Search Console, utilisez Inspection de l’URL, puis « Tester l’URL en direct » et « Afficher la page explorée ». Une recherche « site:votredomaine.be » combinée à des mots comme « casino » ou « pharmacie » révèle aussi l’ampleur du problème.

Après le nettoyage, ces adresses doivent renvoyer une erreur 404 ou, mieux, 410 (contenu supprimé définitivement). Ne les redirigez pas vers l’accueil : Google le traite comme une fausse 404. L’outil Suppressions de la Search Console les masque environ six mois, le temps que Google repasse.

Oui, c’est fréquent : les pirates déposent leur propre fichier de validation Google ou une balise meta pour devenir propriétaires et soumettre leurs sitemaps. Vérifiez Paramètres, puis Utilisateurs et autorisations, retirez tout propriétaire inconnu et supprimez son fichier de validation.

Généralement oui, en quelques semaines après le nettoyage. Si Google a appliqué une action manuelle « Contenu piraté », une demande de réexamen est nécessaire.

Des robots parcourent le web et soumettent automatiquement tous les formulaires mal protégés, souvent pour placer des liens ou tester des failles.

Une combinaison fonctionne mieux qu’un seul outil : champ piège invisible (honeypot), Cloudflare Turnstile ou Google reCAPTCHA v3, tous deux invisibles pour les vrais visiteurs et compatibles avec Contact Form 7, filtrage Akismet, limitation du nombre d’envois et, si besoin, un pare-feu applicatif.

reCAPTCHA transmet des données de navigation à Google : il doit être mentionné dans votre politique de confidentialité, et certaines interprétations exigent un consentement préalable. Turnstile ou un champ piège sont des alternatives plus sobres.

Oui, si le formulaire renvoie une copie du message à l’adresse saisie par l’expéditeur. Des robots s’en servent comme relais, ce qui dégrade la réputation de votre domaine. Nous désactivons cette option.

Votre adresse est probablement publiée en clair sur le site et collectée par des robots. Nous la masquons ou la remplaçons par le formulaire.

Le plus souvent, une erreur PHP fatale : extension incompatible après une mise à jour, version de PHP changée par l’hébergeur, ou mémoire insuffisante. Depuis WordPress 5.2, l’administrateur reçoit en général un e-mail « Votre site rencontre un problème technique » avec un lien vers le mode de récupération.

Elles viennent plutôt du serveur : surcharge, maintenance, délai dépassé entre le serveur et un service intermédiaire comme un CDN. La cause est souvent chez l’hébergeur ou dans un pic de trafic de robots.

Le site ne parvient pas à joindre sa base : serveur de base de données indisponible, identifiants incorrects dans le fichier de configuration de WordPress, base corrompue ou quota dépassé.

Nous lisons les journaux d’erreurs du serveur, activons le journal de débogage de WordPress, désactivons les extensions une à une, testons une autre version de PHP et vérifions l’espace disque.

L’hébergeur bloque souvent l’envoi d’e-mails par PHP, ou les messages sont rejetés faute d’authentification. La solution durable est un envoi SMTP authentifié avec une adresse de votre domaine. Si l’extension Flamingo est installée, les messages reçus entre-temps sont conservés dans l’administration.

Avec PageSpeed Insights, qui combine données réelles de visiteurs et test en laboratoire, et avec le rapport Signaux Web essentiels de la Search Console. Google considère comme « bons » un LCP (affichage du contenu principal) de 2,5 secondes maximum, un INP (réactivité) de 200 ms maximum et un CLS (stabilité visuelle) de 0,1 maximum.

Des images trop lourdes ou non redimensionnées, l’absence de cache, trop de scripts tiers (chat, pixels, cartes, vidéos), un constructeur de pages lourd, une version de PHP ancienne, une base de données encombrée ou un hébergement sous-dimensionné.

Mise en cache des pages, compression, images en WebP ou AVIF avec chargement différé, report des scripts non essentiels, polices hébergées localement, nettoyage de la base, CDN si utile et passage à une version récente de PHP.

Pas si le serveur met lui-même trop de temps à répondre : Google recommande un temps de réponse initial (TTFB) inférieur à 0,8 seconde. Dans ce cas, il faut agir sur le code ou l’hébergement.

Les Signaux Web essentiels font partie des critères de Google, avec un effet modéré sur le classement. L’effet sur les conversions est beaucoup plus net : chaque seconde d’attente fait partir des visiteurs.