Mon site redirige vers un autre site : pourquoi et comment corriger ?
Dernière vérification : 30 octobre 2026
Un site qui redirige vers un autre domaine sans action de l'administrateur signale presque toujours une compromission : du code injecté dans un thème ou un plugin, des règles ajoutées dans .htaccess, ou un paramètre de redirection non validé exploité par un tiers. La cause exacte se trouve en comparant ce que voit un visiteur direct à ce que voit un visiteur arrivant depuis un moteur de recherche.
Vérifiez si votre site contient une vulnérabilité de redirection ouverte, en 30 secondes.
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Ce que le scan vérifie sur ce point :
- Détection d'une vulnérabilité de redirection ouverte (un paramètre d'URL non validé, pointant vers un domaine externe arbitraire)
Pourquoi un site redirige-t-il vers un autre site
| Cause | Où ça se loge généralement |
|---|---|
| Code injecté dans un fichier du thème ou d'un plugin | Fichiers PHP du thème actif, functions.php, ou un plugin compromis |
| Règles de réécriture ajoutées dans la configuration du serveur | Fichier .htaccess (Apache) à la racine du site ou dans un sous-dossier |
| Script publicitaire ou tiers compromis chargé sur la page | Balises <script> pointant vers un domaine externe |
| Paramètre de redirection non validé, détourné dans un lien | URL contenant des paramètres comme ?redirect= ou ?next= |
| Compte d'hébergement ou zone DNS compromis | Panneau d'hébergement ou configuration DNS du domaine |
Comment vérifier si la redirection est déjà active
De nombreuses redirections malveillantes utilisent le cloaking : elles ne s'affichent qu'aux visiteurs arrivant depuis les résultats de recherche, ou aux robots des moteurs, pas à vous en navigation directe (c'est le même principe que le piratage par mots-clés japonais, voir web.dev).
- Testez votre site en navigation privée, puis en cliquant depuis un résultat Google plutôt qu'en tapant l'adresse directement.
- Consultez le rapport « Problèmes de sécurité » de Search Console si vous avez un compte vérifié sur le domaine.
- Inspectez le fichier .htaccess (ou la configuration nginx) et les fichiers récemment modifiés du thème actif.
- Lancez un scan ScanMonSite pour vérifier spécifiquement la présence d'une vulnérabilité de redirection ouverte exploitable.
Vérifiez votre site maintenant
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Comment corriger
- Sauvegardez l'état actuel du site avant toute modification (utile pour comprendre l'origine après coup).
- Supprimez le code injecté identifié, ou réinstallez les fichiers du thème/plugin concerné depuis une source propre.
- Vérifiez et nettoyez le fichier .htaccess de toute règle de réécriture que vous n'avez pas ajoutée vous-même.
- Changez tous les mots de passe (administration, FTP, hébergement, base de données).
- Vérifiez à nouveau en navigation directe et depuis un résultat de recherche que la redirection a bien disparu.
Sources
Questions fréquentes
Pourquoi je ne vois pas la redirection quand je visite mon propre site ?
Beaucoup de redirections malveillantes sont du cloaking : elles ne se déclenchent que pour les visiteurs arrivant depuis un moteur de recherche, pas pour vous en navigation directe — exactement le même principe que le piratage par mots-clés japonais (source : web.dev).
Un correctif technique (supprimer le code injecté) suffit-il ?
Non, c'est une étape mais pas toute la méthode : la faille qui a permis l'injection doit aussi être corrigée, sinon elle revient. Voir notre page « Site piraté : que faire en premier ? ».
Le scan ScanMonSite détecte-t-il ce problème ?
Il détecte une vulnérabilité précise : un paramètre de redirection non validé exploitable pour rediriger vers un domaine externe. Il ne peut pas détecter une redirection malveillante déjà active si elle n'apparaît que pour certains visiteurs ou certains moteurs de recherche (cloaking).
La redirection peut-elle venir de mon DNS plutôt que de mon site lui-même ?
Oui, si votre compte d'hébergement ou votre zone DNS a été compromis, la redirection peut être configurée en amont de votre site — vérifiez aussi ces accès, pas seulement les fichiers.
Comment savoir si Google a déjà repéré la redirection malveillante ?
Consultez le rapport « Problèmes de sécurité » de Search Console, et recherchez votre domaine avec l'opérateur site: pour voir ce qui est réellement indexé.
Pour aller plus loin
Vérifiez votre configuration de redirection
Gratuit, sans inscription — scan passif en lecture seule, aucune modification de votre site.
Votre site est déjà touché ? Demandez un devis de réparation.