La redirection malveillante est l'attaque la plus signalée par les visiteurs et la plus difficile à reproduire pour le propriétaire du site. Elle est conditionnelle : elle ne se déclenche que dans certaines circonstances, précisément choisies pour que vous ne la voyiez jamais.
Les conditions habituelles
- L'origine du visiteur : la redirection ne se déclenche que si l'on arrive depuis un moteur de recherche, jamais en tapant l'adresse directement.
- Le type d'appareil : uniquement sur mobile dans une majorité de cas.
- La session : un cookie est posé après la première redirection, si bien que la deuxième visite se passe normalement. Vous testez, ça marche, vous concluez que c'est réglé.
- L'état de connexion : un administrateur connecté n'est jamais redirigé.
Pour reproduire le phénomène, ouvrez une fenêtre de navigation privée sur votre téléphone, cherchez votre site dans Google, et cliquez sur le résultat. C'est le scénario que vivent vos visiteurs, et c'est le seul qui déclenche la plupart des variantes.
Où se trouve le code
Par ordre de fréquence sur les sites que je nettoie : le fichier de configuration du serveur à la racine, un fichier chargé automatiquement au démarrage de WordPress, une entrée encodée dans la base, le fichier de pied de page du thème, et une extension au nom crédible mais qui n'existe dans aucun catalogue.
Un cas mérite d'être connu, parce qu'il ne ressemble pas à une intrusion. Une extension légitime peut rediriger toutes vos pages introuvables vers une page d'erreur servie en code 200 et autorisée à l'indexation. Résultat : n'importe quelle adresse inventée sur votre domaine devient une page valide aux yeux de Google, et un réseau extérieur peut y accrocher ce qu'il veut. Le site n'est pas piraté, mais il se comporte comme s'il l'était, et aucun nettoyage ne changera rien tant que ce réglage reste en place.
Le piège des sauvegardes
La redirection est rarement récente. Quand un client me dit que le problème a commencé la semaine dernière, la charge date en général de plusieurs mois : c'est sa déclenchement qui est récent, pas son dépôt. Restaurer une sauvegarde d'il y a un mois réinstalle donc l'attaque, avec la satisfaction trompeuse d'avoir agi.
Ce que je vérifie systématiquement
- Le rendu du site avec l'identité de Googlebot, puis avec un navigateur mobile, puis avec un référent Google. Trois combinaisons, trois résultats parfois différents.
- La réponse du serveur sur une adresse volontairement absurde, pour détecter les sites qui valident n'importe quelle URL.
- Les dossiers de téléversement, où l'exécution de code doit être coupée. C'est une correction simple qui ferme une porte entière.
- Les tâches planifiées : certaines réinstallent la redirection à intervalle régulier, ce qui donne l'impression d'une réinfection permanente.
Combien de temps
Une redirection isolée se traite en quelques heures. Ce qui prend du temps, ce n'est pas de la retirer, c'est de s'assurer qu'elle ne reviendra pas : trouver le point d'entrée, vérifier qu'aucun accès n'a été laissé derrière, et contrôler les autres sites du même hébergement. C'est ce travail-là qui fait la différence entre un site nettoyé et un site réparé.