Mon site est-il piraté ? Les signes à vérifier
Dernière vérification : 30 octobre 2026
Il n'existe pas un test unique qui confirme ou exclut un piratage. Le signe le plus fiable reste une alerte officielle : Google Search Console classe les piratages détectés dans son rapport « Problèmes de sécurité » (contenu piraté, logiciel malveillant, hameçonnage). En l'absence d'alerte, croisez plusieurs indices : accès ou comptes inconnus, contenu que vous n'avez pas publié, ralentissement inexpliqué, ou signalement de votre hébergeur ou de vos visiteurs.
Vérifiez si votre site présente une faille connue (PHP, WordPress), en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Ce que le scan vérifie sur ce point :
- Détection de la version de PHP et du cœur WordPress exposée, comparée aux failles connues (ex. wp2shell pour WordPress, la faille PHP d'octobre 2026)
- Détection de contenu HTTP non chiffré mélangé à du HTTPS, de secrets exposés dans du JavaScript public et de liens internes cassés (hygiène technique)
Les signes à vérifier, dans l'ordre
- Alerte officielle : rapport « Problèmes de sécurité » dans Search Console, ou message de votre hébergeur.
- Comptes ou accès inconnus : un compte administrateur, un utilisateur FTP ou une clé API que vous n'avez pas créée.
- Contenu que vous n'avez pas publié : pages, liens ou redirections inattendues, notamment visibles depuis les résultats Google plutôt qu'en navigation directe sur votre site.
- Fichiers récents non reconnus sur le serveur, en particulier dans les dossiers réservés aux médias.
- Alertes de vos visiteurs ou de leur antivirus, ou avertissement affiché par leur navigateur à l'arrivée sur le site.
- Emails envoyés depuis votre domaine bloqués ou mis en liste noire, souvent le signe d'un envoi de spam en arrière-plan.
- Ralentissement ou consommation anormale de ressources signalée par votre hébergement.
Vérifier la cause la plus fréquente : une version vulnérable
Une grande partie des compromissions de sites partent d'un composant obsolète : cœur du CMS, plugin, ou PHP lui-même. Un scan qui compare vos versions exposées aux failles connues donne un premier indice objectif, à vérifier avant même de chercher des signes plus subtils.
Vérifiez votre site maintenant
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Cas particulier : WordPress
WordPress a ses propres failles documentées, comme la chaîne « wp2shell » du cœur. Si votre site tourne sous WordPress, consultez nos deux guides dédiés ci-dessous : la procédure de vérification face à cette faille précise, et le plan d'action complet si une vulnérabilité est confirmée.
Si plusieurs signes sont présents
Ne corrigez pas au hasard : un compte inconnu ou un fichier suspect signale souvent un accès plus large que ce qui est visible au premier regard. Suivez une méthode complète, dans l'ordre, plutôt qu'un correctif isolé — voir notre page « Site piraté : que faire en premier ? ».
Sources
Questions fréquentes
Existe-t-il un seul moyen de confirmer un piratage ?
Non. Il faut croiser plusieurs signes (alerte officielle, accès inconnus, contenu non publié par vous, signalement d'un tiers). Aucun d'entre eux, pris isolément, n'est une preuve formelle.
Google m'a-t-il forcément prévenu si mon site est piraté ?
Non. Le rapport « Problèmes de sécurité » de Search Console affiche ce que l'évaluation de Google a détecté, pas une garantie exhaustive : l'absence d'alerte n'est pas une preuve que le site est sain (source : Search Console Help).
Mon site a ralenti d'un coup, est-ce forcément un piratage ?
Pas forcément — un pic de trafic légitime ou un problème d'hébergement donnent le même symptôme. C'est un signe à prendre en compte seulement combiné à d'autres indices.
Un scan de sécurité comme ScanMonSite suffit-il à confirmer un piratage ?
Non. Un scan passif détecte des failles connues (versions, en-têtes, secrets exposés) mais ne lit ni votre liste d'utilisateurs ni votre système de fichiers. Une faille détectée n'est pas la preuve d'une compromission déjà en cours ; un scan propre n'est pas la preuve d'un site sain.
Que faire en premier si je soupçonne un piratage ?
Suivez une méthode dans l'ordre plutôt que de corriger au hasard : voir notre page dédiée « Site piraté : que faire en premier ? ».
WordPress a-t-il des signes de piratage différents des autres CMS ?
Le principe général est le même, mais WordPress a ses propres failles documentées (comme la chaîne wp2shell). Consultez nos guides dédiés ci-dessous pour le cas WordPress précis.
Pour aller plus loin
Vérifiez si votre site est exposé à une faille connue
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.