« Togel » désigne une loterie très populaire en Indonésie. « Situs » veut dire « site », « resmi » veut dire « officiel ». Une phrase comme « Situs Togel HK Pools Resmi » n'a rien à faire dans le code d'un site français. Si elle y est, c'est qu'un lien a été ajouté à votre insu pour transmettre la réputation de votre domaine à un site de jeux d'argent.
Vérifier en 2 minutes
- Ouvrez votre page d'accueil, puis affichez son code source : Ctrl+U sur Windows, Cmd+Option+U sur Mac.
- Cherchez (Ctrl+F) « togel », puis « situs », « gacor » et « slot ». Notez ce qui entoure le mot trouvé.
- Regardez la position du lien. Dans le cas que j'ai traité, il était placé à plus de 4 000 pixels à gauche de l'écran. Aucun visiteur ne peut le voir, aucun moteur ne le rate.
- Répétez sur deux ou trois autres pages. Un lien présent partout vient du pied de page commun, donc du thème ou d'un code chargé à chaque page.
- Dans la Search Console, ouvrez « Pages » et « Sitemaps ». Un nombre de pages indexées qui fond, ou un plan de site qui ne déclare plus que deux adresses, disent que le problème dépasse le lien.
Le message que vous avez reçu dit probablement vrai, puisque vous venez de le vérifier vous-même. C'est d'ailleurs ainsi que je procède quand je repère un site touché : je donne une preuve que l'on peut contrôler en dix secondes, sans me croire sur parole. Méfiez-vous en revanche des dates annoncées. Dans un cas que j'ai repris, le message parlait d'un problème vieux d'une semaine. Le lien était en place depuis deux mois.
Ce que ça fait
Le lien seul ne fait aucun mal à vos visiteurs. Il ne redirige personne, il n'affiche rien. Son rôle est de faire monter un site de jeux dans Google en profitant de la réputation du vôtre. C'est aussi pour cela qu'il passe sous les radars : le titre de vos pages reste intact, et toutes les recherches qui repèrent les sites touchés par leur titre ne le voient pas.
Mais le lien n'est presque jamais seul. Sur le site d'une PME où je l'ai trouvé, il faisait partie d'un ensemble plus large, un kit qui signait SANGKARBET. Pour les robots seulement, ce kit faisait trois choses :
- il renvoyait chaque page intérieure du site vers une seule page, celle de contact, qui servait une page de jeux d'argent ;
- il remplaçait le fichier qui guide les robots par un faux, qui bloquait notamment les services de signalement de contenus abusifs et plusieurs robots d'intelligence artificielle ;
- il remplaçait le plan du site par un faux à deux adresses, puis prévenait Bing pour accélérer la prise en compte.
Pour les visiteurs, rien ne changeait. Pour Google, les pages du site disparaissaient une à une au profit d'une seule page de casino. Le propriétaire a découvert les dégâts deux mois plus tard, par un message de démarchage.
Ce délai a une explication banale. L'extension de sécurité du site avait tout détecté, chaque jour. Mais le champ de l'adresse d'alerte était vide. Personne n'a été prévenu.
Pourquoi le nettoyage habituel échoue
Le réflexe naturel est d'ouvrir le pied de page du thème, de retirer le lien et de passer à autre chose. Le lien revient en quelques minutes. Voici ce que j'ai trouvé derrière, sur ce seul site :
- Une chaîne qui se répare toute seule. Une ligne ajoutée dans un fichier du cœur de WordPress chargeait une image d'émoticône, une vraie image, avec du code caché dans ses métadonnées. Ce code réécrivait deux autres fichiers à chaque visite. Un « gardien » les restaurait depuis une réserve enfouie dans un dossier de cache sans rapport avec WordPress.
- Des fichiers verrouillés et antidatés. Tous en lecture seule, avec des dates retouchées pour se fondre dans les fichiers d'origine.
- Une traduction qui n'existe pas. Un fichier de langue pour une variante du français qui n'existe pas allait chercher son code sur un espace de stockage en ligne. C'était le même espace que celui d'une autre campagne, vue des mois plus tôt sur un site sans aucun rapport.
- Plusieurs équipes successives. Au moins trois groupes différents étaient passés sur le site. Une porte ouverte se revend et se partage.
- Des sessions sans mot de passe. L'attaquant ouvrait des sessions d'administrateur sans jamais taper de mot de passe. Changer les mots de passe n'y changeait rien.
L'entrée, elle, tenait en deux réglages. Un dossier de gestion de versions laissé à la racine faisait croire à WordPress qu'un développeur gérait les mises à jour, si bien que la mise à jour de sécurité forcée de juillet 2026 n'est jamais arrivée. Et les clés secrètes du fichier de configuration étaient restées à leur valeur d'exemple : WordPress les avait alors rangées dans la base, où une faille de lecture les rendait accessibles. Le détail de cette faille est dans la fiche wp2shell.
Que faire
- Ne pas se contenter de retirer le lien. Faites une capture du code source, puis cherchez ce qui le dépose.
- Vérifier la version de WordPress et, surtout, pourquoi les mises à jour automatiques ne sont pas passées si la version est ancienne. La page « Santé du site » le dit souvent.
- Comparer le cœur aux empreintes officielles et lire les fichiers de traduction, les images du cœur et le fichier de fonctions du thème.
- Renouveler les clés secrètes du fichier de configuration pour fermer toutes les sessions, et supprimer celles rangées en base.
- Reprendre la Search Console : propriétaires inconnus, plan de site, fichier des robots.
- Renseigner une adresse d'alerte lue dans l'extension de sécurité. C'est une minute de réglage, et c'est ce qui aurait évité deux mois de dégâts.
Le principe est cousin du pharma hack, où des liens visibles par Google seul vendent des médicaments, et des pages en japonais. Si Google affiche déjà un titre de casino sous votre nom, lisez plutôt la fiche « situs slot gacor » dans Google. Toutes les étapes sont détaillées dans la méthode de nettoyage, et le forfait est sur la page intervention sur un WordPress piraté.