Malware sur un site web : le détecter

Ce que fait un malware sur un site

D'après la page de Google sur les sites piratés avec un logiciel malveillant, relue le 14 octobre 2026, les techniques les plus courantes sont :

• des redirections, posées dans le fichier .htaccess ou la configuration du serveur, qui envoient les visiteurs vers un site d'attaque ;
• des scripts injectés dans les pages, souvent rendus illisibles avec des fonctions comme eval ou base64_decode ;
• des iframes cachées, qui chargent une page piégée à l'insu du visiteur ;
• des injections dans la base de données, qui touchent les contenus eux-mêmes ;
• une page d'erreur 404 modifiée, qui sert le code malveillant sur toute adresse inexistante ;
• des ressources chargées depuis un site tiers compromis.

Une porte dérobée s'y ajoute presque toujours : un petit fichier qui permet à l'intrus de revenir après un nettoyage incomplet.

Pourquoi vous ne le voyez pas

Le malware est souvent conditionnel. Google indique que certains ne s'activent que pour les visiteurs venus de ses résultats de recherche, ou selon le navigateur ou l'heure. Vous ouvrez votre site en tapant son adresse : il s'affiche normalement. Un visiteur qui arrive de Google est redirigé. C'est aussi pourquoi un antivirus installé sur votre ordinateur ne dit rien : il n'analyse pas les fichiers du serveur.

Le détecter, pas à pas

1. Regardez ce que Google a vu. Inscrivez le site dans la Search Console et ouvrez le rapport « Problèmes de sécurité » : il donne des exemples d'adresses touchées, sans prétendre à l'exhaustivité. Le site signalé porte dans les résultats l'avertissement « Ce site risque d'endommager votre ordinateur ».
2. Vérifiez l'état du site sur le Transparency Report de Google, qui dit si la navigation sécurisée le juge dangereux.
3. Inspectez les pages sans les exécuter. Google conseille curl ou wget plutôt qu'un navigateur. Demandez la page deux fois, dont une en vous faisant passer pour un visiteur venu de Google, et comparez :

curl -s https://www.votre-domaine.fr/ -o sans-referent.html
curl -s -e "https://www.google.com/" https://www.votre-domaine.fr/ -o depuis-google.html
diff sans-referent.html depuis-google.html

4. Analysez les fichiers du serveur avec un antivirus qui tourne côté serveur, et cherchez les fichiers modifiés récemment ou inconnus, en particulier dans les dossiers de téléversement, où du code PHP n'a rien à faire.
5. Contrôlez le `.htaccess`, le thème et la page 404 : ce sont les endroits que Google cite pour les redirections et les injections.
6. Notez chaque fichier suspect avec son emplacement et la date de modification : ce relevé sert au nettoyage et à trouver par où l'intrus est entré.

Ne supprimez pas un fichier sur la seule foi d'une alerte. Un faux positif effacé peut casser le site, et un nettoyage qui ne trouve pas l'entrée laisse le malware revenir. Les signes visibles d'un piratage, côté visiteur, sont détaillés dans Site piraté : les signes à vérifier.

Chez Hubspace

Sur nos quatre offres d'hébergement, une analyse antivirus des fichiers tourne chaque jour, avec ImunifyAV, comme le décrit notre page sécurité. Quand elle trouve quelque chose, nous vous prévenons avec le chemin exact du fichier et la nature de la détection. Nous ne supprimons rien sans votre accord ; à partir de l'offre Sérénité, nous vous accompagnons pour le retrait.

Si le site est bel et bien infecté, la marche à suivre pour le remettre en état est dans Nettoyer un site WordPress piraté. Nous proposons aussi une prestation de nettoyage après piratage, y compris pour un site hébergé ailleurs.

Questions fréquentes