Notre site WordPress est-il piraté ou est-ce un plugin qui plante, comment savoir si quelqu'un s'est introduit dedans ?

Si vos clients voient le souci et pas vous, c'est à cause d'un filtrage par User-Agent et Referer. Le script PHP malveillant sert la page propre aux accès directs, mais déclenche la redirection pour les visiteurs venant de Google ou d'autres sites. Vérifiez vos fichiers .htaccess et index.php à la racine du serveur. Vous devriez y trouver tout en haut des fonctions cachées comme eval, base64_decode ou des inclusions de fichiers distants.

Pour réparer sans détruire les preuves : 1) Téléchargez immédiatement les logs bruts (access.log) des 30 derniers jours depuis le panel d'hébergement. 2) Faites une sauvegarde complète de la BDD via phpMyAdmin. 3) Notez la date de création de l'utilisateur suspect dans la table wp_users. 4) Filtrez les logs d'accès sur ce créneau pour repérer quelle requête POST a ciblé quel fichier PHP ou quelle vulnérabilité.

On a eu le même coup l'année dernière sur notre boutique de pièces auto à Hanovre. Notre dév nous a menés en bateau pendant cinq jours en parlant de problème de cache. Dès que Google a affiché un avertissement de sécurité sur notre site, nos commandes de 4.000 EUR par semaine sont tombées à zéro direct. Faire nettoyer le site par un expert nous a coûté 850 EUR, mais lever la pénalité Google et retrouver notre CA d'avant a pris six semaines. Ne traînez pas.

L'explication du dév disant qu'une mise à jour a cassé la base de données ne tient absolument pas la route. Un plugin défaillant ne crée pas de compte admin fantôme et ne spamme pas de mots-clés étrangers sur Google. Soit il a utilisé un plugin piraté (nulled), soit il refuse d'admettre la faille. Faites auditer le site par quelqu'un d'autre que lui.

Le truc le plus urgent là, c'est de passer le site en maintenance. Si les clients sont redirigés au paiement leurs coordonnées bancaires sont peut-être en train de fuiter. Nettoyer des fichiers sur un site en ligne c'est dangereux pour vos clients. Bloquez les accès externes depuis le panel d'hébergement pour ne laisser passer que l'IP de votre bureau.

ouvrez le dossier uploads via ftp et cherchez direct les fichiers .php. normalement ya que des images et des pdf la dedans. des que vous en voyez supprimez les et mettez un .htaccess qui bloque lexcution de php dans ce dossier. sinon meme apres nettoyage le site va redevenir un zmobie des demain matin.

Comment votre hébergement est-il configuré exactement ? Êtes-vous sur un serveur mutualisé ou sur un VPS dédié ? Si vous hébergez plusieurs noms de domaine ou sites de test sous le même compte, les attaquants ont très bien pu s'introduire via un vieux sous-domaine à l'abandon pour infecter votre site principal. Les logs montrent-ils des accès transversaux de ce type ?

Vous signalez des redirections sur la page de paiement. Si des données bancaires ou des informations personnelles de clients ont été compromises, la réglementation sur la protection des données en Allemagne peut vous obliger à notifier l'autorité de contrôle compétente sous 72 heures. Ne traitez donc pas cela comme un simple incident technique : tenez compte du volet juridique et conservez précieusement tous les fichiers logs comme pièces à conviction.

Merci pour votre retour.

Ce sujet est archivé.

Vous avez raison.

Je vais résumer ce qui a été dit jusqu'ici. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Si j'ai bien compris, vous dites que : Prendre des notes pendant deux semaines donne de meilleurs résultats qu'une estimation de six mois.

Quand on décide sans mesurer, on revient toujours au même point. Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

je ne savais pas ça puis si le chemin de notification est long la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

Absolument. Si j'ajoute quelque chose : Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Corrigez-moi si je me trompe.

Je vais expliquer comment c'est fait en pratique. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Les décisions hâtives finissent par être corrigées six mois plus tard. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

Résumé rapide pour les nouveaux : Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Bien sûr, cela change si votre situation est différente.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Essayer de faire cela seul est la voie la plus coûteuse.

Avant de décider, regardez quelles données vous avez en main. Voilà, désolé si je me suis étendu.