LES SIGNES QUI DOIVENT ALERTER
01
Des pages inconnues dans le sitemap
Le fichier sitemap.xml liste des adresses que vous n'avez jamais créées : casino, pharmacie, contrefaçon. C'est souvent là qu'on les découvre.
02
Des résultats Google qui ne vous ressemblent pas
Une recherche « site:votre-domaine.fr » fait apparaître des titres en langue étrangère ou des jeux d'argent.
03
Des redirections sur téléphone
Le site s'affiche normalement sur votre ordinateur, mais renvoie les visiteurs mobiles vers un autre site. L'intrus cible ceux qui ne sont pas vous.
04
Des comptes ou des extensions inconnus
Un administrateur que personne n'a créé, une extension au nom anodin que personne n'a installée : ce sont des portes dérobées.
UN CAS RENCONTRÉ
En travaillant sur le site WordPress d'un client, nous avons ouvert son fichier sitemap.xml. Il y avait environ trois cents pages de casino que le client n'avait jamais vues : un intrus les avait publiées sur son site, sans les relier à aucun menu.
C'est du référencement malveillant, ce qu'on appelle aussi spam SEO ou « black hat SEO » : l'intrus se sert de l'ancienneté et de la réputation d'un site honnête pour faire monter ses propres pages dans Google. Le propriétaire ne voit rien, mais son site porte le contenu, et c'est sa réputation qui en paie le prix.
Le client n'est pas nommé, et rien ici ne permet de l'identifier.
CE QU'ON FAIT
01
Diagnostic
Inventaire des pages publiées, des comptes, des extensions, des fichiers modifiés et des tâches planifiées. On cherche par où l'intrus est entré, pas seulement ce qu'il a laissé.
02
Nettoyage
Suppression des pages et des fichiers ajoutés, des portes dérobées et des comptes inconnus. Tous les mots de passe et les clés de sécurité sont changés.
03
Remise en ordre auprès de Google
Sitemap propre, demandes de suppression des adresses indésirables dans la Search Console, et demande de réexamen si Google a signalé le site.
04
Protection
WordPress, le thème, les extensions et la version de PHP à jour ; extensions inutiles retirées ; surveillance pour être prévenu avant vos clients.
Les failles exploitées en ce moment, et les versions à installer, sont détaillées dans notre veille des failles WordPress et PHP d'octobre 2026. La méthode pour repérer vous-même des pages casino est dans notre guide sur le piratage SEO.
CE QUE ÇA COÛTE
Tout commence par le diagnostic, à 490 €. Il regarde la sécurité du site, mais pas seulement : l'offre, la stratégie marketing, les parcours et la crédibilité de l'entreprise. Vous recevez un rapport écrit, avec chaque constat et sa preuve, et ce qu'il faut faire dans l'ordre. Le nettoyage, s'il est nécessaire, se chiffre à partir de ce rapport, parce que son coût dépend de l'ampleur de l'intrusion. Le reste a un prix public :
Prix de départ hors taxes. TVA non applicable, article 293 B du code général des impôts. Quand un site est trop abîmé pour être sauvé proprement, la refonte coûte souvent moins cher qu'un nettoyage à répéter.
POUR ALLER PLUS LOIN
Les signaux généraux d'une compromission, et l'audit qu'on peut mener soi-même en une heure, sont expliqués dans le journal :