Vous tapez le nom de votre entreprise dans Google, et parmi vos pages habituelles apparaissent des résultats qui parlent de viagra, cialis ou d'autres médicaments — sur votre domaine. Ou pire : un client vous prévient. Pas de panique, mais pas d'attente non plus : votre site est victime d'un pharma hack, l'un des piratages les plus répandus du web. Voici exactement ce qui se passe, et comment vous en sortir proprement.
Ce qu'est le pharma hack (et pourquoi vous)
Le pharma hack est un piratage SEO : les pirates ne veulent ni vos données ni votre argent — ils veulent votre référencement. Votre site a une ancienneté, une réputation auprès de Google. Les pirates s'y introduisent et y greffent des centaines de pages ou de mots-clés vendant des médicaments contrefaits. Google indexe ces pages comme si elles étaient à vous, et les acheteurs de contrefaçons passent par votre domaine sans que vous ne voyiez jamais rien.
Pourquoi vous ? Rien de personnel. Des robots scannent le web en permanence à la recherche de sites vulnérables — une extension WordPress pas à jour, un mot de passe faible, un thème abandonné. Votre site était simplement accessible ce jour-là. C'est la même famille d'attaques que le spam SEO en chinois ou japonais et que les redirections vers des sites douteux — seule la « marchandise » change.
Le piège : vous ne voyez rien, Google voit tout
La caractéristique la plus vicieuse du pharma hack, c'est le cloaking : le contenu pirate n'est montré qu'aux robots de Google. Vous ouvrez votre site : tout est normal. Google l'ouvre : il voit des pages de pharmacie en ligne. C'est pour ça que ces infections durent des mois sans être détectées.
Trois vérifications rapides pour mesurer les dégâts :
- Tapez
site:votredomaine.frdans Google et parcourez les résultats. Toute page dont le titre ou la description mentionne des médicaments, du charabia ou des produits que vous ne vendez pas est une page pirate. - Ouvrez la Search Console (l'outil gratuit de Google — on explique ici comment l'installer) : l'onglet Pages révèle souvent des centaines d'URLs inconnues, et l'onglet Sécurité peut afficher un avertissement.
- Cherchez
site:votredomaine.fr viagra: s'il y a des résultats, le diagnostic est confirmé.
Où se cache l'infection
Sur WordPress — la cible de l'immense majorité des pharma hacks — l'infection vit typiquement à plusieurs endroits à la fois, et c'est pour ça que les nettoyages superficiels échouent :
- Des fichiers PHP déguisés dans
wp-content/uploads: le dossier des images est censé ne contenir aucun code. Les pirates y déposent des scripts aux noms anodins, que personne ne va regarder. - Du code injecté dans des fichiers légitimes : le
functions.phpdu thème, des fichiers du cœur de WordPress, ou un plugin existant modifié. - Une porte dérobée (« backdoor ») : un petit fichier discret qui permet aux pirates de revenir même après nettoyage. C'est LA raison pour laquelle le spam « revient tout seul » chez ceux qui ont nettoyé à moitié.
- Parfois, un faux utilisateur administrateur créé dans WordPress, ou des entrées directement en base de données.
Le nettoyage, dans l'ordre
Le protocole complet est détaillé dans notre guide d'urgence du site piraté en 7 étapes — voici la version orientée pharma hack :
- Sauvegardez l'état actuel (fichiers + base de données), même infecté. C'est votre filet de sécurité et votre matériel d'analyse.
- Changez tous les mots de passe : admin WordPress, base de données, FTP/SSH, hébergeur. Tous.
- Trouvez et supprimez les fichiers pirates : tout PHP dans
uploads, les fichiers récemment modifiés sans raison, les différences avec une copie propre de WordPress et de vos extensions. - Réinstallez le cœur de WordPress et les extensions depuis les sources officielles plutôt que de nettoyer fichier par fichier — c'est plus fiable que de chercher chaque ligne infectée.
- Mettez tout à jour : WordPress, thème, extensions, version de PHP. Supprimez les extensions et thèmes inutilisés — chacun est une porte d'entrée potentielle.
- Purgez Google : dans la Search Console, demandez la réindexation de vos vraies pages et utilisez l'outil de suppression pour les URLs de spam les plus visibles. Les résultats sales disparaissent en quelques jours à quelques semaines.
Si une étape vous dépasse, ne restez pas bloqué avec un site qui vend des contrefaçons sous votre nom : c'est exactement le genre d'intervention d'urgence que je réalise — décrivez-moi la situation, je vous réponds vite.
Empêcher que ça revienne
Un site nettoyé sans changement d'habitudes se fait réinfecter — les robots des pirates repassent. Le trio qui change tout :
- Mises à jour régulières, automatisées si possible. La quasi-totalité des infections passe par une faille déjà corrigée par l'éditeur.
- Sauvegardes automatiques externalisées, testées de temps en temps. Le jour où ça arrive, la différence entre une frayeur et une catastrophe, c'est une sauvegarde propre de la veille — les bons réflexes sont détaillés dans notre guide mots de passe, 2FA et sauvegardes.
- Une surveillance minimale : la Search Console configurée (elle vous alerte), et un contrôle périodique du site. C'est précisément ce que couvre un contrat de maintenance de site web — pour le coût de quelques cafés par mois, quelqu'un regarde.
Votre site affiche des résultats pharmaceutiques dans Google en ce moment ? Chaque jour d'attente, Google perd un peu plus confiance en votre domaine et vos clients tombent sur ces résultats. Envoyez-moi l'adresse de votre site : je fais un diagnostic rapide et je vous dis l'ampleur réelle des dégâts et ce qu'il faut faire, sans jargon.