Comment détecter une intrusion sur votre site web : 9 signes d'alerte en 2026

Une baisse de 20 à 60 % du trafic Search Console sur une ou deux semaines, sans changement récent de contenu ni de mise à jour d'algorithme documentée, est l'un des signaux les plus fiables. Google pénalise activement les sites infectés par du malware ou du spam SEO (technique appelée SEO japonais ou spam de mots-clés pharmaceutiques). L'attaquant injecte des pages invisibles pour le navigateur mais indexées par Google — pages qui redirigent les moteurs vers des contenus frauduleux en japonais, en cyrillique ou en anglais. Dans Google Search Console, cherchez les URL inconnues dans le rapport de couverture et les requêtes en langues étrangères dans le rapport de performances.

Si un utilisateur vous signale une page d'avertissement rouge ("Ce site contient des programmes nuisibles" ou "Site trompeur"), Google Safe Browsing a déjà identifié et signalé votre domaine. Vérifiez immédiatement votre statut sur transparencyreport.google.com/safe-browsing/search. Ce type d'alerte entraîne une chute de 90 % du trafic en moins de 24h et déclenche souvent une suspension par les hébergeurs mutualisés.

La commande find /var/www -name "*.php" -newer /var/www/index.php -mtime -30 liste les fichiers PHP modifiés au cours des 30 derniers jours. Si vous voyez des fichiers avec des noms génériques (config.php, update.php, wp-cache.php dans un dossier inattendu), ou des noms aléatoires (a3f9b.php), c'est un webshell — une porte dérobée qui permet à l'attaquant d'exécuter n'importe quelle commande sur votre serveur à distance. La présence d'un seul webshell suffit à justifier une réponse à incident complète.

Sur WordPress, consultez régulièrement la liste des utilisateurs avec le rôle Administrateur. Sur les CMS personnalisés, vérifiez les tables users/admins en base de données. Un attaquant qui a obtenu un accès persistant crée systématiquement un compte administrateur de secours avant d'effectuer toute autre action, afin de maintenir l'accès même si la faille initiale est corrigée. Dans certains cas, il modifie simplement le mot de passe de votre compte principal et attend que vous perdiez l'accès sans comprendre pourquoi.

Ce type de compromission est souvent découvert par un client ou un employé qui signale avoir été redirigé vers un site pornographique, pharmaceutique ou de phishing en cliquant sur un lien de votre site. La subtilité : la redirection est souvent conditionnelle (active uniquement sur mobile, ou uniquement pour les visiteurs arrivant depuis Google, ou uniquement pour les utilisateurs non authentifiés). Pour le reproduire, utilisez un user-agent mobile et accédez à votre site via un lien Google — ou utilisez un outil d'audit comme celui de WebGuard Agency pour tester toutes ces conditions simultanément.

Une consommation CPU qui reste au-dessus de 80 % sans pic de trafic correspondant indique souvent du minage de cryptomonnaie (cryptojacking). L'attaquant utilise votre serveur comme nœud de calcul — gratuitement pour lui, et aux frais de votre hébergeur ou de votre facture cloud. Sur AWS ou OVH, une facture anormalement élevée sans explication est un signal d'alarme direct. Consultez les processus actifs (top ou htop) et recherchez des processus nommés xmrig, minerd, ou avec des noms génériques consommant plus de 50 % du CPU.

Si vos emails transactionnels arrivent soudainement en spam, ou si vous recevez des NDR (Non-Delivery Reports) pour des emails que vous n'avez pas envoyés, votre serveur est probablement utilisé comme relais de spam. Vérifiez votre statut sur mxtoolbox.com/blacklists.aspx. Une présence sur Spamhaus ZEN, SORBS ou Barracuda signifie que vos IP sont grillées — ce qui impacte directement vos campagnes email et potentiellement votre délivrabilité pendant plusieurs semaines après nettoyage.

Affichez le code source (Ctrl+U dans Chrome) de votre page d'accueil et recherchez des liens ou du texte qui n'apparaissent pas visuellement. L'injection de liens cachés (liens avec display:none, taille de police 0px, couleur de texte identique au fond) est une technique SEO black hat massive utilisée pour passer du "link juice" vers des sites frauduleux. Si vous trouvez des centaines de liens en japonais ou en cyrillique en bas de votre footer, vous êtes victime d'un SEO parasite — une compromission qui dégrade activement votre autorité de domaine.

Les connexions sortantes non sollicitées (callback C2 — Command & Control) sont la signature des malwares et des webshells actifs. Sur Linux, netstat -tulpn ou ss -tulpn liste les connexions actives. Cherchez des connexions vers des ports inhabituels (autres que 80, 443, 22) ou vers des IP en dehors de votre infrastructure habituelle. Un outil de monitoring réseau comme Zeek ou Suricata peut automatiser cette surveillance en continu.