Réponse courte. Si votre sitemap ou Google affichent des pages de casino que vous n'avez jamais créées, votre site a été piraté pour du référencement malveillant. L'intrus ne casse rien : il se sert de la réputation de votre site pour faire monter ses propres pages. Il faut retirer ces pages, mais surtout trouver et fermer la porte par laquelle il est entré, sinon elles reviennent.
Ce que nous avons trouvé chez un client
En travaillant sur le site WordPress d'un client, nous avons ouvert son fichier sitemap.xml. Il listait environ trois cents pages de casino, que le client n'avait jamais vues. Elles n'étaient reliées à aucun menu : en naviguant sur son site, il ne pouvait pas les trouver. Google, lui, les trouvait très bien.
Le client n'est pas nommé, et rien ici ne permet de l'identifier.
Comment fonctionne ce piratage
C'est ce qu'on appelle le spam SEO, ou « black hat SEO » : des techniques de référencement interdites par Google. Un site ancien et honnête a de la réputation aux yeux des moteurs de recherche. L'intrus publie ses pages sur ce site pour profiter de cette réputation, et y place des liens vers les sites qu'il veut faire monter.
Les chercheurs de Sucuri, spécialistes du nettoyage de sites, décrivent plusieurs variantes :
- Des pages publiées en masse, comme dans notre cas, souvent ajoutées au sitemap pour que Google les trouve vite.
- Des pages montrées seulement aux robots : les visiteurs voient votre site normal, les moteurs de recherche voient du casino.
- Une fausse extension au nom anodin, cachée parmi les vraies, qui recrée le contenu si on l'efface.
- Du code ajouté au thème, par exemple dans le fichier
functions.php, qui injecte des milliers de liens.
Dans la plupart des cas, la porte d'entrée est une version ancienne de WordPress, d'une extension ou de PHP, ou un mot de passe d'administrateur trop faible.
Comment le repérer en dix minutes
- Ouvrez votre sitemap. Tapez votre adresse suivie de
/sitemap.xmlou/wp-sitemap.xml. Parcourez la liste : toute adresse que vous ne reconnaissez pas est suspecte. - Cherchez sur Google. Tapez
site:votre-domaine.fr casino, puis essayez avec d'autres mots comme « bonus », « pari » ou « viagra ». - Ouvrez la Search Console. Dans Indexation, puis Pages, regardez si le nombre de pages a bondi d'un coup. Dans Sécurité et actions manuelles, vérifiez qu'aucun problème n'est signalé.
- Regardez les comptes. Dans WordPress, menu Comptes, cherchez un administrateur que personne n'a créé.
- Regardez les extensions. Cherchez une extension que vous n'avez jamais installée.
Ce qu'il faut faire si vous en trouvez
Ne vous contentez pas de supprimer les pages. Si la porte dérobée reste en place, elles reviennent dans les jours qui suivent. Un nettoyage complet suit cet ordre :
- Sauvegarder le site en l'état, pour garder une trace de l'intrusion.
- Trouver la porte d'entrée : version vulnérable, compte compromis, fichier ajouté.
- Retirer tout ce que l'intrus a ajouté : pages, fichiers, extensions, comptes, tâches planifiées.
- Changer tous les mots de passe et les clés de sécurité de WordPress.
- Tout mettre à jour : PHP, WordPress, thème et extensions. Les failles exploitées en ce moment sont dans notre veille d'octobre 2026.
- Remettre le site en ordre auprès de Google : sitemap propre, demandes de suppression des adresses indésirables dans la Search Console, et demande de réexamen si Google a signalé le site.
Questions fréquentes
Ces pages font-elles baisser mon référencement ?
Oui. Google peut classer votre site comme piraté, afficher un avertissement à vos visiteurs ou retirer des pages de ses résultats. Et des centaines de pages hors sujet brouillent ce que votre site représente à ses yeux.
Mon hébergeur ne m'a rien dit, est-ce normal ?
C'est fréquent. Ce piratage ne fait pas planter le site et ne consomme presque pas de ressources : rien ne déclenche d'alerte chez l'hébergeur. C'est souvent un client, ou un prestataire qui regarde le sitemap, qui le découvre.
Combien coûte un nettoyage ?
Notre diagnostic coûte 490 € : il dit ce que l'intrus a laissé et par où il est entré, et regarde aussi le reste du site et de votre présence en ligne. Le nettoyage dépend de l'ampleur de l'intrusion et se chiffre à partir de ce rapport. Ensuite, une maintenance qui tient le site à jour démarre à 390 € par mois. Le détail est sur notre page site WordPress piraté : nettoyage et sécurité.