- **Définition :** ce piratage injecte sur votre site de nombreuses pages au texte généré automatiquement, qui servent à vendre des contrefaçons par liens affiliés.
- **Invisible pour vous :** grâce au cloaking, ces pages ne s’affichent que pour le robot du moteur. Seules la recherche et la Search Console les révèlent.
- **Ordre à suivre :** prévenir l’hébergeur, copier le site, changer les mots de passe, nettoyer fichiers et base, supprimer les faux plans de site, puis envoyer une demande de réexamen.
- **Récidive fréquente :** une porte dérobée, un plan de site caché, un administrateur ou un propriétaire fantôme et un plugin vulnérable laissé actif expliquent la plupart des retours.
- **Délais honnêtes :** de quelques jours à plusieurs semaines pour que les pages disparaissent de l’index, sans aucune garantie de retour des positions. Informations vérifiées en 2026.
Vous tapez le nom de votre entreprise dans Google et découvrez des pages en japonais qui vendent des sacs de luxe. Votre site, lui, s’affiche normalement. C’est la signature du piratage par mots clés japonais, une cyberattaque qui pollue votre indexation sans que vous voyiez quoi que ce soit.
Je suis développeur WordPress senior et ce guide suit l’ordre réel d’une intervention : confirmer le problème en 15 minutes, limiter les dégâts, nettoyer, demander le réexamen du site, puis empêcher le retour. À chaque étape, je précise ce qu’un non-technicien peut faire sans risque.
Soyons honnêtes : le nettoyage complet relève du travail de développeur. Mais le diagnostic et les gestes de la première heure sont à votre portée, et ils font gagner un temps précieux. Si vous êtes victime de ce piratage, commencez par la deuxième section.
Le piratage par mots clés japonais, c’est quoi ?
Le Japanese keyword hack injecte sur un site des pages au texte japonais généré automatiquement, dans des répertoires aux noms aléatoires, selon la documentation web.dev. Ces pages portent des liens affiliés vers des boutiques de produits contrefaits. Elles sont souvent masquées aux visiteurs par du cloaking : le site montre un contenu au robot d’exploration et un autre à vous.
Cette attaque n’a rien de personnel : les pirates empruntent la confiance que le moteur de recherche accorde à votre domaine pour monétiser du trafic. Sur internet, des scanners automatisés repèrent les sites vulnérables, quelle que soit leur taille. Google décrivait déjà ce mécanisme d’affiliation en 2017 dans son article #NoHacked 3.0.
Quels sont les différents types de piratage qui touchent les sites web ?
Les principaux types de piratage de sites web sont le SEO spam (dont le Japanese keyword hack), la défiguration, les redirections malveillantes, l’hameçonnage et la porte dérobée. La défiguration se voit tout de suite, alors que l’injection de pages spammées reste discrète. Une porte dérobée (backdoor) est un fichier que le pirate laisse sur le serveur pour revenir quand il veut.
Dans son rapport 2023, l’éditeur de sécurité Sucuri indique que 42,22 % des sites compromis analysés présentaient au moins un type de SEO spam, et que cette famille est la troisième plus fréquente de malware, à 20,30 %. Ces chiffres viennent des propres scans de Sucuri, qui vend des services de protection : l’échantillon est biaisé et ils datent de 2023. Ils montrent surtout que ce cas n’a rien d’exceptionnel.
Pour une entreprise, les conséquences sont concrètes : trafic en baisse, avertissements dans les résultats, ventes WooCommerce en recul, réputation abîmée auprès des clients. Les assistants IA qui s’appuient sur des pages indexées risquent aussi de reprendre des contenus pollués plutôt que les vôtres.
Comment savoir si votre site WordPress est touché ?
Vous pouvez détecter ce piratage en 15 minutes avec cinq vérifications, sans rien installer ni modifier. Elles n’utilisent que des outils gratuits. Faites-les dans cet ordre.
- Tapez dans Google la commande site:votredomaine.fr japonais, puis essayez site:votredomaine.fr avec des mots comme sac ou prix. Des résultats en caractères asiatiques sont un signal fort.
- Dans la Google Search Console, ouvrez « Sécurité et actions manuelles » : le rapport « Problèmes de sécurité » et celui des « Actions manuelles » indiquent si le moteur a déjà repéré le piratage.
- Dans les paramètres, section « Utilisateurs et autorisations », essayez d’identifier chaque propriétaire : ceux que vous ne connaissez pas ont été ajoutés par les pirates pour piloter la visibilité de leurs pages.
- Dans le rapport « Sitemaps », repérez tout fichier que vous n’avez pas déclaré vous-même.
- Dans le rapport des pages indexées, cherchez un pic soudain du nombre d’URL sans nouvelle publication de votre part.
Pourquoi je ne vois pas ces pages alors que Google les affiche ?
Parce que le site pratique le cloaking : il reconnaît le robot d’exploration et lui sert un contenu différent de celui des visiteurs. Votre navigateur affiche donc un site normal, tandis que le robot lit un tout autre texte.
Pour le vérifier, passez une URL suspecte dans l’outil d’inspection d’URL de la Search Console, lancez le test en direct, puis ouvrez la page testée. Si l’aperçu montre du texte étranger ou des produits que vous ne vendez pas, le cloaking est confirmé.
| Critère | Ce que cela signifie | Action à mener |
|---|---|---|
| Résultats en caractères asiatiques avec la commande site: | Des pages de SEO spam sont indexées | Sauvegarder, puis nettoyer |
| Message dans « Problèmes de sécurité » | Le moteur a détecté le piratage lui-même | Nettoyer, puis demander un réexamen |
| Action manuelle pour contenu piraté | Une sanction manuelle est en place | Nettoyer, puis demander un réexamen |
| Propriétaire inconnu dans la console | Le pirate pilote l’indexation | Le retirer, changer les accès |
| Fichier de plan du site que vous n’avez pas créé | Le pirate soumet ses propres URL | Le supprimer et le retirer de la console |
| Pic soudain d’URL indexées sans publication | De grandes quantités d’URL ont été générées | Répondre en 410, soumettre un plan de site propre |
| Administrateur WordPress inconnu | Un accès a été créé par le pirate | Sauvegarder, supprimer, chercher la backdoor |
Que faire en premier quand mon site est piraté ? Les gestes de la première heure
Quand votre site est piraté, les premiers gestes consistent à prévenir l’hébergeur, copier le site tel quel, changer les accès et retirer les propriétaires inconnus. Un non-technicien peut les faire seul sans aggraver la situation.
- Prévenir l’hébergeur : il peut isoler le site et fournir les journaux d’accès, précieux pour comprendre l’attaque.
- Faire une sauvegarde complète des fichiers et de la base de données, même infectés : vous la conservez pour l’analyse, vous ne la restaurez pas.
- Changer tous les mots de passe : WordPress, FTP ou SFTP, base, espace hébergeur et messagerie de l’administrateur.
- Retirer les propriétaires inconnus dans la console, depuis « Utilisateurs et autorisations ».
Ce qu’il ne faut pas faire est tout aussi important. Trois erreurs reviennent souvent chez les victimes :
- supprimer des fichiers au hasard : vous risquez de casser le site tout en laissant la backdoor en place ;
- restaurer une copie déjà infectée : vous réinstallez le piratage, parfois avec un mois de retard ;
- installer cinq extensions de protection : elles se gênent, ralentissent le site et ne remplacent pas une analyse humaine.
Comment nettoyer un site WordPress infecté, étape par étape ?
Nettoyer un site WordPress infecté consiste à retrouver chaque fichier, chaque ligne de base de données et chaque accès ajoutés par le pirate, pas seulement à effacer les pages visibles. Faites une sauvegarde complète avant toute manipulation et travaillez, si possible, sur une copie du site ou en mode maintenance.
- Connectez-vous en SSH et mettez le site en maintenance. Les commandes ci-dessous sont celles de WP-CLI, l’outil en ligne de commande de WordPress.
- Contrôlez le cœur avec wp core verify-checksums : la commande compare vos fichiers aux empreintes officielles de votre version et liste ceux qui sont modifiés ou en trop. Pour les extensions du répertoire officiel, utilisez wp plugin verify-checksums avec l’option –all.
- Listez les comptes avec wp user list –role=administrator –fields=ID,user_login,user_registered, afin d’identifier ceux que vous ne reconnaissez pas. Tout accès inconnu ou créé à une date suspecte se supprime avec wp user delete, après vérification.
- Ouvrez le fichier .htaccess : repérez les règles de redirections qui envoient les visiteurs venus d’un moteur de recherche, ou le robot, vers un script inconnu. Remplacez-le par le fichier standard de WordPress.
- Ouvrez wp-config.php : cherchez du code inconnu (include, eval, base64_decode) en début ou en fin de fichier, puis régénérez les clés secrètes.
- Cherchez les fichiers PHP dans wp-content/uploads, où il ne devrait y en avoir aucun, ainsi que les répertoires aux noms aléatoires à la racine. Examinez aussi wp-content/mu-plugins, dossier chargé automatiquement sans apparaître dans la liste des extensions.
- Inspectez la base : dans la table wp_options, vérifiez siteurl, home, active_plugins et les lignes aux noms étranges contenant du code encodé. Listez ensuite les tâches cron avec wp cron event list : une tâche inconnue qui recrée les fichiers supprimés est un grand classique.
- Remplacez le cœur par une copie saine avec wp core download –force –skip-content, puis réinstallez thèmes et extensions depuis leur source officielle avec wp plugin install suivi du nom et de l’option –force. Supprimez ce qui ne sert pas, surtout tout plugin vulnérable abandonné par son auteur, et n’utilisez jamais de version piratée dite « nulled ».
- Supprimez les sitemaps frauduleux à la racine et dans les répertoires suspects. Ne gardez que le plan de site généré par WordPress ou votre extension SEO.
- Relancez les contrôles de l’étape 2 et la commande site: pour confirmer que plus rien de suspect n’apparaît.
Le travail de développeur commence aux étapes 5 à 7. Lire du code obfusqué, décider si un fichier est légitime, retrouver la porte dérobée et la date de l’attaque dans les journaux : une erreur casse le site, un oubli le réinfecte. Si vous n’êtes pas à l’aise avec le SSH, passez par un dépannage WordPress plutôt que d’essayer au hasard.
Comment supprimer les pages spammées de Google et demander un réexamen ?
Pour supprimer les pages spammées de l’index, faites répondre chaque URL par un code 410, soumettez un plan de site propre, puis envoyez une demande de réexamen si le site a été signalé. Ces étapes ne viennent qu’après un nettoyage complet, sinon la demande sera refusée.
- Configurez le serveur pour que les URL spammées, qui partagent souvent un motif commun, répondent en code 410 « Gone ». Ce code indique que la page a définitivement disparu, ce qui accélère son retrait.
- Dans la console, utilisez l’outil de suppression temporaire pour masquer vite une URL ou un préfixe. Le masquage est temporaire : il ne remplace pas la réponse 410.
- Retirez les faux plans de site de la console et soumettez un sitemap propre.
- Si une action manuelle ou un message de « Problèmes de sécurité » est en place, décrivez ce que vous avez nettoyé et envoyez la demande de réexamen. La procédure est détaillée dans la documentation web.dev.
Prévoyez de quelques jours à plusieurs semaines selon le volume d’URL indexées. Aucune source officielle ne fixe de délai et aucun retour de position n’est garanti : surveillez l’indexation et la commande site: toutes les semaines.
Pourquoi le piratage revient-il après nettoyage ?
Le piratage revient parce qu’un élément laissé par le pirate rouvre l’accès : porte dérobée, sitemap caché, compte administrateur fantôme, propriétaire fantôme dans la Search Console ou plugin vulnérable resté actif. Sucuri a documenté en janvier 2025 un cas où le spam persistait après nettoyage à cause d’un fichier de plan de site non autorisé resté en place. Les pirates laissent parfois plusieurs accès à la fois : il suffit d’en oublier un.
Comment le pirate est-il entré : extension, thème ou identifiants ?
Les deux entrées les plus fréquentes sont une extension ou un thème obsolète et des identifiants compromis, comme un mot de passe réutilisé ou trop simple. Les journaux de l’hébergeur permettent parfois d’identifier la date du premier fichier suspect et de remonter à la faille. Tant que la cause reste ouverte, une nouvelle attaque par la même porte reste possible et le nettoyage n’est que provisoire.
La check-list anti-récidive
- Supprimer les extensions et thèmes inutilisés, et mettre à jour tout le reste.
- Donner un accès administrateur nominatif à chaque personne, avec un mot de passe unique et une double authentification.
- Revérifier une semaine plus tard les plans de site, les propriétaires de la console et les administrateurs.
- Contrôler à nouveau les tâches cron et le dossier mu-plugins.
- Conserver des copies hors du serveur, testées régulièrement.
- Surveiller les alertes du moteur et les résultats de la recherche site: sur votre domaine.
C’est exactement le rôle de la maintenance WordPress : mises à jour testées en préproduction, copies de secours et surveillance, dès 24 € HT/mois. Les outils de scan automatiques complètent ce travail sans le remplacer. Pour le durcissement général, la double authentification et le pare-feu, lisez mon guide de sécurité WordPress. Une faille du cœur comme wp2shell, corrigée en 7.0.2, rappelle qu’une mise à jour tardive suffit à ouvrir la porte.
Mon site WordPress est-il touché par ce piratage ?
Six questions rapides pour estimer votre situation. Plus le score est élevé, plus il faut agir vite.
- Que donne la recherche site:votredomaine.fr suivie d’un mot comme sac ou prix ?
- Aucune page suspecte
- Je n’ai pas encore vérifié
- Des pages en caractères asiatiques apparaissent
- Que montre la console dans la section des actions manuelles ?
- Aucun problème
- Je n’ai pas accès à la console
- Un avertissement de piratage ou une action manuelle
- Les propriétaires et les plans de site déclarés dans la console vous sont-ils tous connus ?
- Oui, tous
- Je ne l’ai jamais regardé
- Non, certains me sont inconnus
- Y a-t-il des administrateurs WordPress que vous ne connaissez pas ?
- Non, j’ai vérifié
- Je ne sais pas
- Oui
- Vos extensions et votre thème sont-ils à jour ?
- Oui, mis à jour régulièrement
- Avec un certain retard
- Plusieurs sont très en retard ou abandonnés
- Quelle est votre situation côté activité ?
- Un site vitrine sans informations de clients
- Un site avec formulaires ou espace client
- Une boutique WooCommerce, ou un spam déjà revenu
- Peu de signes de piratage Rien n’indique une intrusion pour l’instant. Profitez-en pour renforcer la prévention : durcissement, double authentification et mises à jour régulières. Lire le guide de prévention WordPress
- Des signaux à vérifier rapidement Plusieurs points demandent un contrôle : refaites le diagnostic complet et sauvegardez le site. Un avis technique évite de passer à côté d’un accès caché. Voir le dépannage WordPress
- Votre site est probablement touché Le risque est élevé, surtout si vous collectez des informations de clients. Faites la sauvegarde, changez les mots de passe et confiez le nettoyage à un développeur. Me contacter
Démarches officielles, RGPD et quand faire appel à un professionnel
Faut-il porter plainte ou signaler le piratage sur Cybermalveillance.gouv.fr ?
Oui, c’est recommandé : le site Cybermalveillance.gouv.fr assiste les victimes de cyberattaque et les oriente vers des prestataires. Vous pouvez aussi déposer plainte en ligne sur masecurite.interieur.gouv.fr. La plainte sert de trace, notamment pour votre assureur.
RGPD : quand notifier la CNIL ?
Si des données personnelles ont pu être exposées, comme des commandes WooCommerce ou des fiches d’acheteurs, le RGPD impose à l’entreprise de notifier la CNIL sous 72 h après en avoir eu connaissance, quand la violation présente un risque pour les personnes. Le spam injecté seul n’expose pas forcément de données, mais une intrusion qui atteint la base oblige à se poser la question.
Nettoyer soi-même ou déléguer ?
- Nettoyez vous-même si le site est une simple vitrine, si vous disposez d’une copie saine et récente, si vous maîtrisez le SSH et si la cause est connue.
- Déléguez si vous avez une boutique WooCommerce ou des informations de clients, si le spam est déjà revenu, si les fichiers sont obfusqués, si une action manuelle est posée ou si aucune copie saine n’existe.
Mon dépannage WordPress démarre dès 87 € TTC, avec un devis avant toute réparation : le prix final dépend du volume infecté et du temps d’analyse. Si votre site affiche du spam dans les résultats, décrivez-moi la situation via la page de contact.
FAQ
Combien de temps faut-il pour retrouver son référencement après un piratage SEO spam ?
Prévoyez de quelques jours à plusieurs semaines pour que le moteur retire les pages spammées, selon le volume indexé. Aucune source officielle ne fixe de délai, et aucun retour de position n’est garanti. Un nettoyage complet suivi d’un plan de site propre reste la meilleure base pour une reprise.
Combien coûte le nettoyage d’un site WordPress piraté par un professionnel ?
Il n’existe pas de tarif unique : le prix dépend du nombre de fichiers infectés, de la présence d’une boutique et du temps d’analyse. Mon dépannage WordPress démarre dès 87 € TTC, avec un devis avant toute réparation. Vous savez donc ce que vous payez avant que je touche au site.
Une restauration de sauvegarde suffit-elle à supprimer ce piratage ?
Rarement. Si la copie date d’après l’intrusion, elle contient déjà le piratage. Même une copie saine ne corrige pas la faille d’origine : le pirate revient par la même extension ou les mêmes identifiants. Après restauration, il faut aussi mettre à jour, changer les accès et contrôler les plans de site et les propriétaires de la console.
Quels sont les 3 types de hackers et comment appelle-t-on un pirate informatique ?
On distingue les white hats, qui testent la sécurité avec autorisation, les grey hats, qui agissent sans accord mais sans intention de nuire, et les black hats, qui attaquent pour en tirer profit. En français, on parle de hacker ou de pirate informatique. Le spam injecté sur votre site est l’œuvre de black hats.
Mon site peut-il sembler normal alors que ses pages spammées s’affichent dans les résultats ?
Oui, c’est possible : le site sert un contenu étranger au robot d’exploration et un contenu normal aux visiteurs. Testez une URL suspecte avec l’outil d’inspection d’URL de la console pour voir ce que le moteur reçoit réellement.
Sources utiles
À propos de l'auteur : Développeur WordPress freelance
