Mon site est redirigé vers un autre site : que faire ?

Mon site est redirigé vers un autre site : que faire dans l’heure ?

Un site qui redirige vers un autre site envoie ses visiteurs, sans qu’ils l’aient demandé, sur une adresse étrangère. Cela vient d’un piratage dans une partie des cas, mais aussi d’un nom de domaine expiré, d’un réglage fait lors d’un changement d’adresse ou d’un service externe intégré au site. Reproduisez le problème et sauvegardez avant de nettoyer.

Une redirection est une consigne qui envoie automatiquement un visiteur d’une adresse vers une autre. Beaucoup sont légitimes, par exemple quand un site change d’adresse. Celle dont on parle ici est subie : vos clients cliquent et atterrissent ailleurs. Cela coûte des ventes et abîme votre image, mais c’est gérable si vous procédez dans l’ordre.

Un cas typique (fictif) : vous tapez votre adresse, tout s’affiche normalement. Une cliente, elle, clique sur votre site depuis Google, sur son téléphone, et arrive sur un site de paris en ligne. Ce décalage est fréquent. Il explique pourquoi vous ne voyez rien alors que le signalement est réel.

À faire dans l’heure :

• Notez qui a signalé le problème, sur quel appareil, après quel clic, et gardez une capture d’écran de la page d’arrivée avec son adresse.
• Ne supprimez rien et ne réinstallez rien : vous perdriez les indices.
• Prévenez votre hébergeur (l’entreprise qui stocke votre site) et la personne qui s’occupe de votre site.
• Changez les mots de passe de l’administration du site, de l’hébergeur et du nom de domaine, depuis un ordinateur dont vous êtes sûr.

Pourquoi mon site redirige‑t‑il vers un autre site ?

Un signalement de visiteurs est un indice, pas une preuve. Six causes sont possibles :

• Un piratage. Du code ajouté sans votre accord envoie une partie des visiteurs vers des pages nuisibles. Google range cela dans le « contenu piraté » source : Google Search Central, 2026.
• Un service externe intégré au site (régie publicitaire, outil de chat). Google recommande, si le site n’est pas piraté, d’auditer ces éléments tiers source : Google Search Central, 2015.
• Un nom de domaine expiré ou dont les réglages ont changé.
• Un réglage resté de travers après un changement d’adresse (nouveau domaine, passage au HTTPS, migration).
• L’appareil du visiteur lui‑même, s’il est infecté : dans ce cas, vous êtes le seul à qui il le dit.
• Une règle de redirection volontaire posée par un ancien prestataire et oubliée.

Le cloaking désigne, pour Google, le fait de montrer un contenu différent aux moteurs de recherche et aux visiteurs. Google précise qu’il n’est pas rare qu’un pirate y recoure pour que le propriétaire remarque moins bien le piratage, et que la redirection dépend parfois du référent, du navigateur utilisé ou de l’appareil source : Google Search Central.

Certains éditeurs de sécurité écrivent que c’est « presque toujours » un site compromis source : Jetpack, 2026. Google est plus prudent, et je le suis aussi : on teste avant de conclure.

1. Comment reproduire la redirection de mon site ?

Reproduisez la redirection avec quatre tests, car une redirection piratée se cache souvent au propriétaire :

1. Sur votre téléphone, en données mobiles (pas sur le wifi de l’entreprise).
2. En mode privé du navigateur.
3. En tapant le nom de votre entreprise dans Google, puis en cliquant sur votre résultat.
4. Sur un autre ordinateur, ou chez un proche.

Si un seul de ces tests redirige, vous avez confirmé le problème. Si aucun ne redirige, votre appareil ou le réseau du visiteur est peut‑être en cause : demandez le modèle de téléphone et le navigateur utilisé.

2. Comment sauvegarder mon site avant de toucher à quoi que ce soit ?

Demandez à votre hébergeur une copie complète : les fichiers du site et la base de données (la partie qui stocke vos pages, vos produits, vos commandes). Cette copie vous permet de revenir en arrière si un nettoyage tourne mal, et de conserver la preuve de ce qui s’est passé. Le nettoyage proprement dit se fait ensuite, voir notre guide pour nettoyer un site WordPress piraté.

3. Mon nom de domaine a‑t‑il expiré ou changé de destination ?

Connectez‑vous à l’espace où vous avez acheté votre adresse et vérifiez trois choses : la date d’expiration, la destination actuelle (les réglages appelés DNS, qui indiquent où se trouve votre site) et l’adresse e‑mail de contact.

• Domaine expiré et racheté par un tiers : la page affichée est la sienne, et il n’y a rien à nettoyer sur votre site. Il faut récupérer l’adresse, voir comment reprendre le contrôle de son nom de domaine.
• Destination modifiée : quelqu’un a changé les réglages, par erreur ou par malveillance. Voir le diagnostic d’un domaine qui ne pointe pas au bon endroit.

4. La redirection vient‑elle d’un réglage après un changement d’adresse ?

Une redirection 301 est permanente, une 302 est temporaire. Après un déménagement de site, c’est la 301 qui est normale source : MDN Web Docs. Un 301 oublié ou mal orienté renvoie donc vos visiteurs vers l’ancienne adresse, ou vers un autre site, en toute légitimité technique.

Autre piège : un navigateur peut conserver une réponse 301 en mémoire. L’exemple de réponse 301 donné par MDN porte un en‑tête cache-control: max-age=2592000, soit 30 jours source : MDN Web Docs. Après correction, videz le cache ou testez en mode privé.

Si le site tourne en boucle, voir ERR_TOO_MANY_REDIRECTS. Pour une migration récente, voir la redirection canonique propre.

5. Comment trouver une redirection piratée sur WordPress ?

Pour votre prestataire ou votre hébergeur

Commencez par lire ce que le serveur répond :

curl -I https://votresite.fr/
curl -I -A "Mozilla/5.0 (iPhone)" -e "https://www.google.com/" https://votresite.fr/

La seconde commande imite un mobile arrivant depuis Google. Cherchez un code 301 ou 302 et l’en‑tête Location, qui donne la destination.

Le fichier .htaccess est un fichier de configuration situé à la racine du site (sur les hébergements Apache), qui peut contenir des règles de redirection. WordPress.org le désigne comme l’un des fichiers les plus souvent modifiés à des fins malveillantes, et il peut y en avoir dans plusieurs dossiers source : WordPress.org, 2026.

Contrôlez ensuite :

• .htaccess à la racine et dans les sous‑dossiers ;
• index.php et wp-config.php ;
• wp-content/themes/ (surtout header.php et functions.php) et wp-content/plugins/ ;
• dans la base, la table wp_options : les valeurs siteurl et home doivent être votre adresse ;
• les tâches planifiées et le contenu des pages, à la recherche d’une balise de rafraîchissement automatique (meta refresh), qui redirige aussi côté navigateur.

Les redirections injectées dans .htaccess ou les fichiers d’en‑tête se déclenchent avant le chargement complet de WordPress, ce qui les rend difficiles à tracer source : Jetpack, 2026. Le nettoyage est validé quand la redirection a disparu sur ordinateur, sur mobile, en mode privé et après un clic depuis Google. Si elle revient, cherchez une charge cachée en base ou une tâche planifiée malveillante. Pour la détection plus large, voir comment savoir si un site WordPress a été piraté.

6. Quels mots de passe changer, et quand ?

Changez‑les deux fois : à la découverte du problème, puis de nouveau une fois le site propre. WordPress.org insiste sur cette seconde étape, et sur la réinitialisation de tous les comptes, administrateurs en tête source : WordPress.org, 2026.

Concernés : l’administration du site, l’hébergeur, le nom de domaine, la messagerie liée, l’accès FTP. Ajoutez la double authentification (par exemple un code envoyé sur votre téléphone) là où c’est possible, et mettez à jour WordPress, thèmes et plugins une fois le site propre : les anciennes versions sont plus vulnérables. La suite est dans la check‑list de sécurité WordPress.

7. Qui prévenir quand mon site est redirigé ?

Prévenez dans cet ordre :

1. Votre hébergeur : il peut isoler le site et fournir les journaux d’accès.
2. Votre prestataire : il corrige, ou vous dit qu’il ne peut pas.
3. Cybermalveillance.gouv.fr : le service public d’assistance aux victimes, qui vous oriente vers un professionnel.
4. La CNIL, si des données personnelles de clients ont pu être exposées : la notification initiale se fait dans un délai de 72 heures, et en cas de doute la CNIL conseille de notifier source : CNIL.
5. La police ou la gendarmerie, par un dépôt de plainte, si le piratage est confirmé.
6. Google, via Search Console : pour une redirection trompeuse, Google conseille de commencer par le rapport sur les problèmes de sécurité, et une telle redirection peut entraîner une action manuelle source : Aide Search Console.

Méfiez‑vous des messages d’inconnus qui affirment avoir piraté votre site et réclament de l’argent. Cybermalveillance.gouv.fr signale ce chantage depuis juin 2020, avec des messages d’abord en anglais puis traduits en français : le message seul ne prouve rien. Ne payez pas, conservez les preuves et signalez le message sur Pharos source : Cybermalveillance.gouv.fr.

Tableau : quelle cause pour quel symptôme ?

Ce que vous constatez	Cause probable	Première action
Redirection seulement depuis Google ou sur mobile	Piratage avec cloaking	Sauvegarde, puis fichiers et base
Page d’un inconnu pour tous, même en tapant l’adresse	Domaine expiré ou réglages modifiés	Vérifier le domaine chez le revendeur
Redirection vers l’ancienne adresse	Règle de redirection après migration	Corriger la règle, vider le cache
Redirection depuis une page précise avec publicité	Service externe	Retirer l’élément et contacter son fournisseur
Un seul visiteur la voit	Son appareil	Lui faire tester ailleurs

FAQ

Mon site est‑il forcément piraté s'il redirige vers un autre site ?

Non. Un piratage est une cause fréquente, mais un domaine expiré, un service externe ou une règle de redirection mal réglée produisent le même effet. Testez avant de conclure.

Pourquoi je ne vois pas la redirection alors que mes clients la voient ?

Parce qu’elle peut dépendre de l’appareil, du navigateur ou du clic d’origine. Une visite directe ne redirige parfois pas, alors qu’un clic depuis Google, si. Reproduisez les quatre tests de l’étape 1.

Un nom de domaine expiré peut‑il rediriger mon site vers un autre site ?

Oui, indirectement : une fois l’adresse libérée, un tiers peut la racheter et y afficher son propre contenu. Vérifiez la date d’expiration chez le revendeur de votre adresse.

Faut‑il prévenir la CNIL si mon site est redirigé ?

Seulement si des données personnelles (clients, commandes, messages) ont pu être exposées. Faites confirmer ce point par votre prestataire avant d’agir.

La redirection revient après le nettoyage de mon site : que faire ?

Testez d’abord en mode privé, car le navigateur peut mémoriser un 301. Si elle persiste, une charge est cachée en base de données ou dans une tâche planifiée : repassez la main à un professionnel.

Quand passer la main à un professionnel ?

Appelez un professionnel si la redirection persiste après l’étape 5, si vous ne trouvez pas la règle fautive, si le site reçoit des commandes, ou si des données clients ont pu fuiter. N’effacez rien avant d’avoir une copie.

Plus une redirection reste en place sans être repérée, plus vous perdez de visiteurs. Une maintenance régulière, avec mises à jour et surveillance, permet de la repérer plus vite. Voir ce que doit contenir un forfait de maintenance.