WordPress redirige vers un autre site : reconnaître et traiter une redirection malveillante
WordPress redirige vers un autre site : reconnaître et traiter une redirection malveillante
Votre site WordPress envoie certains visiteurs vers un autre domaine, mais semble normal quand vous êtes connecté ? Une redirection conditionnelle peut sélectionner les visites depuis Google, les téléphones ou les nouveaux visiteurs. C’est un indice à investiguer, pas une preuve suffisante de piratage : une règle de migration, un plugin, une campagne publicitaire ou un cache mal configuré peuvent aussi modifier le parcours.
La priorité est de limiter l’exposition des visiteurs tout en conservant les éléments nécessaires pour identifier l’origine. Supprimer une ligne suspecte sans comprendre quelle couche l’a produite peut faire disparaître le symptôme tout en laissant l’accès initial ouvert. Voici comment cadrer un diagnostic défensif, avec votre hébergeur ou un professionnel autorisé, sans transformer le site en laboratoire public.
Une redirection n’est pas forcément malveillante
Le passage de HTTP à HTTPS, l’unification avec ou sans « www », un changement de domaine ou une redirection vers une page traduite peuvent être parfaitement légitimes. Une plateforme de paiement peut également envoyer un acheteur vers un domaine externe prévu. Il faut comparer la destination au parcours réellement validé par l’entreprise, pas seulement constater que l’adresse change.
Le doute devient plus sérieux si la destination est inconnue, propose une fausse mise à jour, ouvre un contenu sans rapport avec votre activité ou varie selon le visiteur sans règle métier explicable. Un domaine de suivi publicitaire n’est pas automatiquement hostile ; il faut identifier qui l’a autorisé, ce qu’il charge ensuite et à quel moment le visiteur quitte votre site.
Demandez donc d’abord la liste des redirections attendues et les derniers changements : migration, ajout d’une langue, réglage du CDN, activation d’un plugin marketing. Le CDN est le service intermédiaire qui peut distribuer et mettre en cache vos pages. Cette vérification évite d’effacer une configuration utile tout en obligeant à expliquer les comportements inconnus.
Pourquoi le problème apparaît sur mobile ou depuis Google
Une règle peut tenir compte du navigateur, de la provenance de la visite, d’un cookie ou du statut connecté. Un administrateur qui saisit directement l’adresse depuis son ordinateur ne reproduit donc pas nécessairement le parcours d’un prospect qui arrive depuis un résultat Google sur son téléphone. L’absence de redirection dans votre session habituelle ne permet pas de conclure que tout va bien.
La documentation officielle des problèmes de sécurité Google décrit des contenus piratés et redirections qui dépendent notamment de l’origine ou du navigateur. Mais ces mêmes variables servent aussi à des fonctions légitimes. Une différence mobile/ordinateur oriente les tests ; elle ne désigne à elle seule ni un plugin coupable ni un attaquant.
Attention à une autre confusion : cliquer sur une publicité affichée dans Google n’équivaut pas à cliquer sur un résultat naturel. L’annonce peut utiliser un lien de suivi ou viser une mauvaise page. Conservez le parcours exact. Si l’utilisateur arrive d’abord sur un autre domaine avant même de contacter votre site, le diagnostic devra inclure la campagne, sans attribuer prématurément l’incident à WordPress.
Quoi noter avant toute modification
Constituez un relevé court et reproductible, sans demander aux visiteurs de revenir sur une page potentiellement dangereuse. Ne poursuivez pas la navigation sur le domaine inconnu et ne téléchargez aucun fichier proposé. Un spécialiste peut examiner une trace dans un environnement isolé ; votre équipe a surtout besoin d’informations fiables pour lui transmettre le bon point de départ.
- L’URL de départ exacte, la date, l’heure et le fuseau horaire.
- Le chemin suivi : accès direct, résultat naturel, annonce, lien envoyé ou réseau social.
- Le téléphone ou l’ordinateur, le navigateur et le statut connecté ou non.
- La destination observée, une capture et le caractère systématique ou intermittent.
- Les changements récents du site, de l’hébergement, du CDN et des outils publicitaires.
Les traces réseau peuvent contenir des jetons, identifiants ou données personnelles. Transmettez-les par un canal restreint et masquez les éléments inutiles avant tout partage. Gardez les journaux disponibles et demandez une copie protégée des fichiers et de la base avant nettoyage. La FAQ WordPress sur les sites piratés recommande de documenter l’incident et de conserver un état exploitable pour l’analyse.
Localiser la couche qui provoque le départ
L’enquête doit suivre le parcours réel du visiteur. Si le serveur renvoie immédiatement un statut de redirection avec une destination, les règles d’hébergement, du proxy, du CDN et les mécanismes WordPress deviennent prioritaires. Si une page s’affiche puis déclenche le départ, le code exécuté dans le navigateur et les ressources externes méritent une attention particulière. Ce sont des pistes, pas des verdicts automatiques.
Le professionnel compare, sur les seules URL autorisées, une visite directe et la provenance signalée, une session neuve et une session existante, puis le comportement mobile et ordinateur. Chaque essai doit garder un contexte clair. Répéter des tests en changeant simultanément navigateur, connexion et URL produit des observations difficiles à interpréter ; une variable à la fois permet de relier une différence à une hypothèse.
Il examine ensuite les règles du serveur, les options d’adresse du site, les plugins de redirection et de cache, le thème, les extensions obligatoires dites « mu-plugins », les contenus stockés en base et les scripts tiers. Une modification chez un fournisseur de balise ou de publicité peut affecter les visiteurs sans changement visible dans les fichiers WordPress. Un scanner isolé ne couvre pas forcément ces couches.
Contenir sans détruire les preuves ni les commandes
Si les visiteurs risquent d’être envoyés vers une fraude ou un téléchargement dangereux, ne laissez pas le parcours ouvert pendant une enquête prolongée. Avec l’hébergeur, choisissez une mesure proportionnée : suspendre une intégration identifiée, restreindre une zone concernée ou présenter une maintenance depuis un environnement maîtrisé. Une maintenance générée par le WordPress compromis pourrait elle-même subir la redirection.
Avant d’agir, conservez l’état infecté et les journaux accessibles dans un espace non public. Notez précisément chaque changement et prévoyez son annulation. N’effacez pas tous les plugins ni tous les fichiers pour « repartir proprement » sans sauvegarde : vous pourriez perdre des indices, du contenu métier ou la capacité de comprendre comment l’accès a été obtenu.
Sur un site marchand, une restauration ancienne peut aussi faire disparaître commandes et mises à jour clients. Le choix entre restauration et nettoyage doit donc préserver les transactions utiles. Si l’investigation révèle une compromission plus large, le guide de reprise d’un site WordPress piraté détaille le cadrage global des accès et de la remise en service ; le présent diagnostic reste centré sur le parcours de redirection.
Corriger la cause, puis rejouer le parcours concerné
La correction dépend de ce qui a été établi. Une règle légitime erronée se corrige et se documente. Une injection confirmée nécessite de retirer les éléments indésirables, de vérifier les composants depuis des sources fiables et de traiter le point d’entrée identifié. Cela peut impliquer une extension vulnérable, un accès dérobé ou une intégration externe compromise ; le compte rendu doit distinguer preuve et hypothèse.
Les accès et secrets concernés sont renouvelés de manière coordonnée depuis un environnement sain. Les caches WordPress, serveur et CDN sont ensuite traités dans le bon ordre : purger un cache peut retirer une copie infectée, mais ne nettoie pas son origine. À l’inverse, conserver une ancienne copie peut laisser le symptôme visible après correction. Les recommandations de sécurisation WordPress replacent mises à jour, accès, sauvegardes et surveillance dans cette continuité.
La recette reprend les conditions initiales : même URL, provenance pertinente, session neuve, mobile et ordinateur. Vérifiez la destination finale, les éventuelles étapes intermédiaires et les parcours utiles, notamment formulaires et paiement. Conservez les résultats et les limites des essais. Un seul affichage correct chez l’administrateur ou l’absence d’alerte Google ne suffit pas à valider le rétablissement.
Quel accompagnement demander à Say Digital ?
Pour passer d’un signalement intermittent à un diagnostic exploitable, transmettez le relevé de parcours et demandez un périmètre écrit : éléments à examiner, conservation des preuves, confinement, nettoyage si nécessaire, correction de la cause et critères de remise en service. La page gouvernance IT de Say Digital est le point d’entrée pour cadrer cette responsabilité ; elle ne vaut pas promesse automatique de résolution sans analyse.
L’hébergement cloud et VPS répond à un besoin récurrent distinct du nettoyage ponctuel. Faites préciser qui suit les journaux, les mises à jour, les sauvegardes et les alertes après intervention. Pour exposer votre situation, réservez un échange de 15 minutes, sans transmettre de mots de passe dans le premier message. Le tarif et les engagements doivent figurer au devis.
FAQ : redirections WordPress
Pourquoi mes visiteurs voient-ils le problème et pas moi ?
Votre session connectée, vos cookies ou votre arrivée directe peuvent suivre une autre branche. Comparez le parcours signalé dans un environnement contrôlé plutôt que votre seul tableau de bord.
Vider le cache suffit-il ?
Seulement si le problème est réellement limité à une copie obsolète et que sa source est correcte. Une règle active ou une injection peut produire immédiatement une nouvelle copie problématique.
Faut-il supprimer le plugin de redirection ?
Pas sans examen de ses règles et sauvegarde. Il peut appliquer une configuration légitime ou n’avoir aucun lien avec le problème. Désactivez uniquement ce que le diagnostic justifie, avec un retour arrière.
Selon les symptômes observés
Si Google signale aussi le site comme dangereux, suivez la démarche de nettoyage et de réexamen Google. Si la redirection revient après une correction, examinez les causes de réinfection après nettoyage.
Sources
WordPress : FAQ My site was hacked et Hardening WordPress. Google : rapport sur les problèmes de sécurité. Ces ressources documentent les mécanismes et la démarche ; aucun cas client ni résultat chiffré n’est revendiqué ici.
