Un site WordPress peut être “propre” sur le papier et pourtant devenir une cible. Dans beaucoup de cas, le premier symptôme n’est pas une page qui change de place ou un message d’alerte dans le navigateur, c’est le bruit. Des commentaires apparaissent, trop réguliers, trop similaires, avec des liens qui n’ont rien à voir avec votre sujet. Parfois ils passent à travers la modération, parfois ils restent en attente mais finissent par saturer la base de données et votre temps de contrôle.
Si vous avez l’impression que votre site WordPress infecté est en train de distribuer du spam dans les commentaires, l’objectif n’est pas seulement de supprimer des messages. Il faut comprendre comment le spam arrive, fermer la porte, puis remettre le site en ordre.
Le spam dans les commentaires, c’est rarement “juste du contenu”
Le spam de commentaires a deux visages.
Le premier, c’est celui que vous voyez: un flux de messages avec des liens, souvent vers des sites douteux, parfois avec des ancres du type “casino”, “cryptomonnaie”, “prêt” ou des variations obscures d’un même thème. Les comptes utilisateurs s’invitent rarement, mais les champs nom, email et message servent de vecteur.
Le second, plus discret, ressemble à de la “corruption” du parcours normal: des commentaires qui s’annoncent comme humains mais qui sont en réalité générés automatiquement, avec des empreintes constantes. On remarque aussi des pics horaires étranges, parfois concentrés sur une minute ou une heure précise, comme si une campagne ciblait un intervalle.
Quand ce spam devient régulier, il faut cesser de traiter le problème uniquement comme un incident de modération. Il y a presque toujours une faiblesse: formulaire accessible sans barrière suffisante, plugin ancien, thème mal sécurisé, absence de filtre cohérent, ou un utilisateur malveillant qui a trouvé le chemin vers l’admin.
Dans mon expérience, j’ai vu des sites où le spam commentait chaque publication pendant une semaine, puis marquait une pause, puis reprenait, au même rythme. Cette alternance correspond rarement à une “patience” du spammeur. C’est plus souvent un réglage de la campagne, une adaptation après blocage, ou une tentative de contourner une protection plus tard mise en place.
Distinguer le spam automatisé d’un véritable compromis
Avant d’agir, je vous conseille de vérifier un point simple: est-ce que c’est uniquement du spam, ou est-ce que votre site WordPress a été compromis plus profondément.
Le spam de commentaires, à lui seul, peut arriver sans que quelqu’un ait pris le contrôle. Un robot peut envoyer des requêtes vers le point d’entrée “commentaires”, et WordPress les traite comme des soumissions classiques.
https://gardewp.fr/nettoyage-malware-wordpress/Un site WordPress compromis, lui, se traduit souvent par d’autres signaux: nouveaux comptes administrateurs, modifications de fichiers, redirections inattendues, comportements sur le front (une page d’accueil qui change), ou même une activité anormale dans les plugins et thèmes.
Voici les indices qui méritent d’être pris au sérieux, sans paniquer mais sans ignorer:
- Des utilisateurs apparaissent sans explication dans la liste des comptes (surtout des rôles élevés). Des plugins ou thèmes se mettent à jour “tout seuls”, ou de nouveaux éléments apparaissent que vous n’avez jamais installés. Vous constatez des tentatives de connexion fréquentes, des échecs répétés, ou des connexions depuis des pays que vous ne voyez jamais d’ordinaire. Le spam n’est pas seulement du contenu, mais ressemble à des actions plus larges, par exemple des liens diffusés sur des pages qui ne sont pas des articles.
Si vous observez surtout des commentaires en masse sans autre anomalie, vous êtes probablement sur un scénario de spam automatisé. Mais il faut quand même fermer les portes, car un robot qui trouve votre formulaire aujourd’hui peut trouver autre chose demain.
Commencer par réduire le bruit (sans casser votre site)
La première action pragmatique, c’est de reprendre la main sur la modération. Vous ne voulez pas supprimer au hasard, ni cliquer sur des dizaines de commentaires sans méthode.
Sur WordPress, les commentaires ont généralement un statut. Vous pouvez agir depuis l’administration, mais le plus important est de ne pas perdre de temps sur ce qui ne résout pas la cause.
Ce que je fais systématiquement dans les interventions “spam commentaires”, c’est:
1) mettre temporairement en sécurité la zone de validation, 2) vérifier la source probable, 3) corriger la barrière, 4) nettoyer le stock existant.
Si vous supprimez directement des dizaines de commentaires sans avoir ajusté les protections, vous risquez de voir le flux revenir dans la même journée.
Checklist de triage rapide (à faire avant la suppression massive)
Avant de supprimer, prenez dix à quinze minutes pour vérifier ce qui peut guider vos décisions. Cela évite les interventions “aveugles”.
- Vérifiez si de nouveaux utilisateurs administrateurs existent. Contrôlez la liste des plugins et thèmes, et repérez tout élément que vous n’avez pas mis en place. Regardez les paramètres de commentaires: modération à la première publication, filtres anti-spam, réglages du formulaire. Notez l’heure des soumissions (même approximative) pour repérer un rythme de campagne. Faites un point sur la performance: la base de données gonfle-t-elle, le site répond-il plus lentement ?
Cette phase n’est pas glamour, mais elle change tout. Sur un site, par exemple, le spam s’était intensifié après une mise à jour de plugin. On a découvert que la nouvelle version désactivait par défaut une option de filtrage. Le nettoyage avait été fait, puis le spam revenait, car la cause restait là.
Identifier la porte d’entrée: formulaire, authentification, ou plugin
Le spam de commentaires arrive généralement via le formulaire de commentaires sur les articles, pages, ou types de contenu. Parfois, il passe aussi par des formulaires secondaires, comme des pages de type “FAQ” ou des modules qui réutilisent le système de commentaires.
Dans un cas concret, j’ai vu un thème utiliser une zone personnalisée qui “réinjectait” le formulaire natif sans certaines protections. Le résultat était surprenant: les commentaires étaient acceptés plus facilement sur une seule section du site. Le robot exploitait cette différence, même quand le reste était filtré.
Il faut donc regarder, au moins à l’œil, comment le formulaire s’affiche:
- le champ email semble-t-il réellement contrôlé, y a-t-il une étape de vérification (captcha ou équivalent), le formulaire affiche-t-il un indicateur de modération, et surtout, les protections sont-elles activées sur tous les types de contenu.
Ensuite, regardez le rôle des plugins anti-spam. Certains plugins se basent sur des mécanismes similaires, d’autres ajoutent des contrôles supplémentaires. Si plusieurs plugins se “marchent” dessus, vous pouvez perdre l’effet principal.
Un exemple classique: vous avez activé un plugin anti-spam de commentaires, puis vous avez aussi activé un système de sécurité global. Si l’un bloque trop tôt ou filtre trop fort, l’autre peut se retrouver contourné. Inversement, si un plugin est désactivé mais reste en configuration incohérente, vous aurez l’impression que tout est “en place” alors que rien ne filtre vraiment.
Sécuriser la création de commentaires avant de “nettoyer”
Une fois la porte fermée, vous supprimez l’historique sans que le flux revienne immédiatement.
Activer une barrière anti-bot adaptée
Les protections les plus efficaces combinent plusieurs signaux. Un simple piège à la bonne foi ne suffit plus contre des robots capables d’exécuter du JavaScript.
En pratique, je cherche à avoir au moins un des éléments suivants:
- un captcha (ou équivalent) suffisamment robuste, une modération renforcée pour les nouveaux commentateurs, un filtrage anti-spam fiable côté WordPress (et pas uniquement via le front), une liste de blocage (au niveau IP ou email) quand c’est pertinent.
Beaucoup de sites ont déjà un plugin de captcha, mais le mauvais réglage fait le travail à moitié. Par exemple, captcha uniquement sur certains contenus, ou captcha désactivé pour les visiteurs connectés. Si un bot cible le contenu public, il passe la zone sans obstacle.
Si vous ne voulez pas dégrader la facilité pour vos lecteurs, un compromis raisonnable consiste à appliquer des protections plus strictes aux nouveaux commentateurs, pas à tout le monde. Vous limitez la friction, tout en réduisant fortement la surface d’attaque.
Utiliser la modération avec bon sens
Quand un flux de spam est déjà présent, la modération des commentaires est une arme immédiate. Vous pouvez aussi ajuster le niveau de traitement pour que les commentaires soient approuvés uniquement après validation.
Le point sensible est l’expérience utilisateur. Si vous imposez la modération à tous, vous risquez de décourager les vrais lecteurs, surtout sur un site où la communauté est active.
Mon approche: modération automatique des nouveaux commentateurs pendant la période de nettoyage, puis retour à un réglage plus souple une fois le flux calmé. Sur un site média, j’ai fait exactement ça: pendant 48 heures, modération stricte. Après stabilisation, on a réduit la friction. Les vrais commentaires ont repris, le spam non.
Supprimer le spam existant, proprement, sans laisser d’ombre
Quand vous supprimez, faites-le avec méthode. Ne mélangez pas “commentaires supprimés” et “commentaires indésirables” dans votre logique, car WordPress conserve parfois des états.
Dans l’interface d’administration, vous pouvez généralement filtrer les commentaires par statut. Le but est de retirer ce qui pollue, sans supprimer par erreur un échange légitime.
Sur un site déjà touché, je procède en général dans cet ordre:
- supprimer les commentaires manifestement indésirables, mettre en revue les commentaires “en attente” si vous ne les aviez pas déjà, s’assurer que les paramètres de modération sont corrects, puis vérifier la base sur la durée, pas uniquement après la suppression.
Si vous avez un volume très élevé, la suppression manuelle peut être longue. Vous pouvez avoir besoin d’une approche plus technique, mais avant de toucher à la base de données, je recommande de faire une sauvegarde. Même quand on “sait” ce qu’on fait, un clic au mauvais endroit ou une suppression mal filtrée finit souvent en restauration.
Bon réflexe: vérifier les URLs suspectes
Le spam de commentaires contient souvent des liens qui ne servent pas à nourrir une discussion, ils servent à optimiser un référencement artificiel. En examinant quelques exemples, vous pouvez repérer un motif: domaine répétitif, chaîne d’ancres, chemins typiques.
Ce repérage aide à renforcer les règles de blocage. Si votre plugin anti-spam propose une fonction de blocage par mot-clé, vous pouvez l’alimenter.
Un détail utile: parfois le spam n’attaque pas par “texte” mais par forme. Un nom d’auteur ressemble à un humain, l’email aussi, mais le message contient toujours un certain motif. C’est là que vos filtres gagnent en précision.
Bloquer durablement la source du spam
Supprimer le contenu, c’est effacer des symptômes. Pour éviter le retour, vous devez réduire le nombre de soumissions https://gardewp.fr/ qui arrivent jusqu’à WordPress.
Mettre en place un blocage ciblé (sans faire n’importe quoi)
Le blocage par IP est tentant, mais il peut devenir risqué si vous bloquez des plages trop larges, ou si vous êtes sur un système où des visiteurs légitimes partagent des adresses (proxy d’entreprise, réseaux mobiles, etc.).
En revanche, si vous observez des IP répétées qui déposent uniquement du spam, ou des patterns d’email très constants, vous pouvez agir avec un niveau de prudence.
Un compromis souvent efficace consiste à combiner:
- un captcha ou contrôle de bot, une modération renforcée pour les nouveaux commentateurs, et une liste de blocage basée sur l’observation réelle de plusieurs soumissions.
Vérifier les règles des rôles et permissions
Parfois, le spam ne se limite pas au formulaire. Des robots peuvent tenter d’enregistrer des comptes, puis publier.
Contrôlez les réglages qui concernent:
- les inscriptions (comment et qui peut s’inscrire), les rôles attribués automatiquement, la gestion des liens dans les commentaires.
WordPress et les extensions ont parfois des options qui permettent de restreindre les liens, ou de les filtrer. C’est utile parce que le spam cherche souvent à publier des URLs.
Si vous soupçonnez une infection au-delà des commentaires
Revenons sur le terme “site WordPress infecté”. Il est parfois utilisé à tort pour décrire uniquement du spam. Mais il vaut mieux vérifier, parce que l’effort est généralement raisonnable.
Si vous constatez un changement dans des fichiers, ou des comportements inhabituels, vous devez traiter la situation comme une compromission potentielle.
En pratique, je commence par:
- vérifier l’intégrité des plugins et thèmes (versions, fichiers inattendus), désactiver temporairement les extensions suspectes, vérifier les journaux d’activité si votre hébergement les fournit, et remplacer les éléments WordPress core si besoin.
L’erreur classique, c’est de nettoyer les commentaires et de penser que le problème est terminé. Si un plugin a été modifié et injecte une action malveillante, le spam peut n’être qu’un effet secondaire parmi d’autres. Dans ce cas, vous pouvez purifier les commentaires pendant deux jours, puis découvrir plus tard que des redirections ou des scripts apparaissent sur les pages.
Exemple de stratégie “en une journée” (quand le site est noyé)
Je vous donne un scénario réaliste, basé sur des interventions fréquentes, sans promettre de résultat instantané, car les campagnes varient.
Le matin, vous constatez que des commentaires spam arrivent en continu. Vous mettez temporairement la modération à un niveau plus strict. Ensuite, vous vérifiez les plugins anti-spam: vous confirmez qu’ils sont actifs sur tous les types de contenus. Vous repérez aussi un thème ou un plugin récemment ajouté, ou une mise à jour récente. Vous analysez ensuite quelques exemples: domaines récurrents, texte et liens typiques.
Ensuite, vous nettoyez les commentaires existants, en supprimant ce qui est clairement indésirable et en revoyant les commentaires en attente si nécessaire. Enfin, vous ajustez les réglages de barrière (captcha ou équivalent, règles du formulaire, restrictions sur les liens).
À la fin de la journée, si le flux diminue, vous tenez une direction claire. S’il ne diminue pas, c’est un signal. Soit la protection n’est pas réellement appliquée, soit le robot contourne. Là, il faut revoir l’implémentation, parfois à l’échelle du serveur, via des règles de pare-feu applicatif.
Où les robots “reviennent” après un nettoyage
Un détail qui piège beaucoup de personnes: même après une amélioration visible, le spam peut revenir une ou deux fois.
Pourquoi?
- La campagne du spammeur avait plusieurs vagues. Le robot a mis en file d’attente des soumissions avant votre changement. Vous avez supprimé les commentaires, mais pas modifié la barrière d’entrée. Un cache (plugin ou CDN) retarde l’affichage de certains réglages, ou la logique côté front ne reflète pas ce qui se passe réellement côté back.
Si vous regardez seulement l’interface, vous pouvez croire que tout est stoppé, puis constater une reprise. Je conseille de surveiller pendant au moins 24 à 48 heures, selon l’intensité du flux.
Signaux qui indiquent qu’il faut passer en mode “investigation”
Quand le spam ressemble à une nuisance “classique”, vous pouvez souvent traiter avec les réglages WordPress et un anti-spam correct. Mais il y a des cas où je recommande d’aller plus loin.
- Les commentaires injectent des scripts ou des charges inhabituelles, pas seulement des liens. Vous voyez des attaques sur d’autres formulaires ou pages, pas uniquement “commentaires”. Les fichiers changent ou un plugin inconnu apparaît. Le site redirige vers des destinations externes, même si les commentaires semblent séparés. Le volume dépasse très largement votre historique, avec des pics en rafales.
Dans ces situations, le temps passé à “nettoyer encore” est souvent moins utile que le temps passé à diagnostiquer ce qui alimente le flux.
Mesurer, plutôt que supposer
On pense souvent que la mesure, c’est “le nombre de commentaires supprimés”. C’est une mesure indirecte, parce que la suppression fait baisser votre compteur, mais pas forcément le flux.
Une approche plus utile consiste à observer:
- le rythme d’arrivée après modification des protections, le ratio entre commentaires soumis et commentaires effectivement publiés, la diversité des contenus (si tout se ressemble, c’est un robot), et les statuts (en attente, approuvés, indésirables).
Cette observation vous dit si vos ajustements ont réellement changé le comportement du système.
Les ajustements WordPress les plus rentables (sans tomber dans la complexité)
Je l’ai dit, mais je le redis parce que c’est le point qui fait gagner du temps: vous n’avez pas besoin de tout verrouiller à l’excès pour arrêter un robot opportuniste. Souvent, trois leviers suffisent, tant que vous les appliquez correctement.
Premièrement, un filtre anti-spam fiable et actif, sur tous les types de contenus concernés. Deuxièmement, une modération mieux calibrée pour les nouveaux commentateurs. Troisièmement, un captcha ou une barrière équivalente pour les formulaires publics.
Ensuite, seulement ensuite, vous passez à des blocages ciblés, et éventuellement à des mesures côté hébergement si nécessaire.
Le petit tri final: distinguer “spam” et “vrais avis”
Quand votre site revient à un état stable, vous allez retrouver des commentaires en attente. C’est l’étape qui ressemble à du travail manuel, mais qui vous évite des erreurs.
Je recommande de ne pas approuver en bloc. Laissez votre intuition travailler sur des indices concrets: cohérence du texte, longueur naturelle, présence d’éléments contextuels (référence à un article précis), et non seulement “une URL”.
Voici un mini repère que j’utilise quand je dois trier des commentaires en urgence, sans faire exploser le temps:
- message très court avec un lien unique, sans interaction réelle, nom et email incohérents, même quand le texte “imite” un humain, répétition de mêmes schémas de liens sur plusieurs articles.
Si tout le commentaire “respire” un script, je le laisse passer par le filtre, ou je le supprime. Si au contraire il y a une vraie demande, même maladroite, je l’approuve après vérification rapide.
Liste courte des actions concrètes à appliquer tout de suite
Voici un ordre d’exécution que j’estime efficace quand un site est inondé.
- Désactiver temporairement l’approbation automatique des nouveaux commentaires, le temps de stabiliser. Vérifier et renforcer la protection anti-spam (captcha ou équivalent, filtre actif, réglages appliqués partout). Supprimer les commentaires indésirables existants, puis nettoyer les éléments en attente avec un tri rapide. Rechercher des utilisateurs et extensions suspects, en particulier toute installation récente non justifiée. Surveiller 24 à 48 heures, pour confirmer que le flux baisse vraiment.
Cette séquence évite deux pièges fréquents: supprimer sans corriger, ou corriger sans vérifier l’étendue réelle du problème.
Et après, comment éviter que ça revienne
Le spam de commentaires revient rarement “par hasard”. Il revient parce que l’attaque a trouvé un chemin rentable. Si vous suivez les corrections ci-dessus, vous réduisez fortement la surface.
Pour maintenir la tranquillité ensuite, je recommande une discipline simple:
- garder WordPress, thèmes et plugins à jour, surtout les composants impliqués dans le formulaire de commentaires, vérifier périodiquement les réglages anti-spam, conserver une sauvegarde récente, et garder un œil sur les journaux ou sur les indicateurs d’activité de l’admin.
Ce n’est pas un bouclier absolu, mais c’est ce qui transforme un incident en épisode gérable.
Si votre situation est urgente, dites-moi deux choses: votre version de WordPress (approximative) et si vous utilisez déjà un plugin anti-spam ou un captcha. Avec ça, je peux vous proposer un plan de nettoyage et de durcissement plus ciblé, adapté à votre configuration.