Spam SEO sur un site WordPress sous The7 : le repérer, le supprimer et l'empêcher de revenir

Points clés

• The7 est un thème premium très répandu, donc souvent visé. Le thème lui-même a connu des vulnérabilités publiées, dont une inclusion de fichier local (CVE-2025-63074) corrigée en version 12.8.1.1, mais la porte d'entrée est tout aussi souvent une extension embarquée obsolète, une copie piratée ou un mot de passe administrateur faible.
• Le spam SEO est généralement masqué (cloaking) : visiteurs et propriétaire voient un site normal, Google voit des pages de pharmacie, de casino ou en japonais. Vérifiez ce que voit Google, pas votre navigateur.
• L'ordre du nettoyage compte : sauvegarder, trouver toutes les portes dérobées, réinstaller depuis des sources saines, changer tous les accès, puis demander à Google de réexplorer. Supprimer d'abord le spam visible ne fait qu'inviter l'attaquant à revenir.
• Les thèmes premium et leurs extensions embarquées ne se mettent pas à jour via WordPress.org. Sans licence active, les sites accumulent des années de retard sans s'en rendre compte.
• Sur le site d'un client sous The7 que nous avons nettoyé en 2026, Google avait indexé environ 3 400 pages de spam. Le nettoyage a révélé six mécanismes de persistance distincts ; supprimer seulement le spam visible en aurait laissé cinq en place.
• Après nettoyage, le référencement se rétablit en quelques semaines, pas en quelques jours, et seulement si les URL de spam renvoient une erreur 404 ou 410 et que l'infection ne revient pas.

Si une recherche sur votre marque fait apparaître des pages que vous n'avez jamais écrites, ou si la Search Console signale des milliers de nouvelles URL dans une langue que vous n'utilisez pas, votre site WordPress a presque certainement été victime de spam SEO : des attaquants exploitent la réputation de votre domaine pour positionner leurs propres pages. Nous nous appuyons tout du long sur un nettoyage réel mené sur le site d'un client sous The7, décrit ci-dessous. Ce guide s'adresse aux propriétaires de sites construits sur The7, un thème premium polyvalent très utilisé, mais l'essentiel vaut pour tout site WordPress basé sur un thème. Nous avons déjà publié une enquête complète sur un spam SEO visant un site Elementor, y compris les mécanismes de persistance qui font échouer un nettoyage rapide.

Ce que nous avons trouvé sur le site d'un client sous The7

Au printemps 2026, un industriel B2B nous a contactés parce que les recherches sur sa marque affichaient des pages en japonais vendant des répliques de montres. Le site, une vitrine institutionnelle d'une douzaine de pages construite sous The7 par une agence en 2019, paraissait parfaitement normal à tout le monde dans l'entreprise. La Search Console racontait autre chose : le nombre de pages indexées était passé d'environ 40 à plus de 3 000 en cinq semaines.

Comment ils sont entrés. La licence du thème avait expiré en 2022, quand l'agence d'origine avait cessé de travailler avec le client : ni The7 ni ses extensions embarquées n'avaient été mis à jour depuis. Les journaux du serveur avaient été purgés au-delà de la compromission initiale, si bien que nous n'avons pas pu prouver la porte d'entrée exacte ; la piste la plus probable était une vulnérabilité connue de l'extension de slider embarquée, obsolète, dont le dossier contenait le premier fichier malveillant trouvé.

Ce qui la rendait persistante. Nous avons trouvé six mécanismes distincts, dont chacun aurait suffi à reconstruire l'infection :

1. Une règle de réécriture dans un fichier .htaccess placé dans wp-content/uploads/2023/, qui envoyait les requêtes des robots des moteurs de recherche vers un script PHP.
2. Ce script, déguisé en fichier de cache d'images, qui générait les pages de spam à la volée à partir d'un modèle distant.
3. Une fausse extension « indispensable » dans wp-content/mu-plugins/, au nom plausible lié au cache, invisible dans la liste habituelle des extensions.
4. Onze lignes de code obfusqué ajoutées à la fin du functions.php du thème enfant.
5. Un compte administrateur créé pour ressembler à un utilisateur système.
6. Une tâche planifiée stockée en base de données, qui retéléchargeait le script s'il était supprimé.

L'attaquant s'était aussi déclaré second propriétaire de la propriété Search Console du client et avait soumis un sitemap listant les URL de spam, ce qui explique que Google les ait trouvées si vite.

Ce que nous avons fait. Nous avons suivi l'ordre décrit plus bas : sauvegarde complète, inventaire des six mécanismes avant d'en supprimer un seul, réinstallation propre du cœur WordPress, de The7 et de ses extensions embarquées en dernière version sous une licence renouvelée, nettoyage de la base, changement de tous les accès, et règles serveur renvoyant 410 Gone pour les chemins de spam. Nous avons ensuite retiré le propriétaire Search Console illégitime et son sitemap, puis soumis le sitemap propre. Le client dispose désormais d'une routine de mise à jour mensuelle et d'une surveillance de l'intégrité des fichiers.

Pourquoi les sites sous The7 sont visés

The7 n'a rien de particulièrement dangereux. Les thèmes populaires sont visés pour la même raison que les extensions populaires : un seul exploit qui fonctionne touche beaucoup de sites. Sur un site basé sur un thème, la porte d'entrée est généralement l'une de ces quatre.

1. Les vulnérabilités du thème. Comme tout code volumineux, The7 a connu des vulnérabilités publiées au fil des ans, surtout du cross-site scripting. La plus sérieuse des récentes, CVE-2025-63074, publiée le 9 décembre 2025, est une inclusion de fichier local PHP notée 7,5 (élevée) qui touche les versions antérieures à 12.8.1.1 et nécessite un compte à faibles privilèges. Si votre site tourne sur une version plus ancienne et accepte les inscriptions, considérez-le comme exposé.
2. Les extensions embarquées obsolètes. Les thèmes premium sont souvent livrés avec des constructeurs de pages et des sliders premium. Ces extensions se mettent à jour via la licence du thème, pas via l'écran de mises à jour habituel de WordPress : sans licence active, elles restent sur d'anciennes versions longtemps après la publication des correctifs.
3. Les copies piratées (nulled). Les versions « gratuites » de thèmes premium sont un vecteur de malware bien connu : la porte dérobée s'installe avec le thème.
4. Les accès et l'hébergement. Mots de passe administrateur réutilisés, anciens comptes d'agences ou de freelances, hébergement mutualisé où un site compromis atteint ses voisins.

Savoir laquelle s'applique est essentiel : supprimer le spam sans fermer la porte ne fait que relancer le cycle.

Confirmer l'infection : regarder ce que voit Google

Le spam SEO est presque toujours masqué. Le code malveillant vérifie qui visite : un visiteur normal ou un administrateur connecté voit le vrai site, Googlebot reçoit le spam. C'est pourquoi le propriétaire est souvent le dernier informé.

• Cherchez site:votredomaine.fr dans Google et repérez les chemins inconnus, les titres en langue étrangère ou les mots-clés de produits. Ajoutez viagra, casino ou des caractères japonais si vous soupçonnez une campagne précise.
• Utilisez l'outil d'inspection d'URL de la Search Console sur une URL suspecte et affichez la page explorée : c'est ce que Google a réellement reçu, qui peut différer de ce que montre votre navigateur.
• Consultez le rapport sur les problèmes de sécurité de la Search Console, ainsi que le rapport Pages pour repérer un bond du nombre d'URL indexées.
• Vérifiez les utilisateurs et propriétaires de la Search Console. Les attaquants se déclarent parfois propriétaires pour soumettre leurs propres sitemaps. Le guide de Google sur le piratage par mots-clés japonais décrit ce schéma.
• Regardez vos sitemaps. Un fichier de sitemap inconnu, ou des milliers de nouvelles entrées dans un sitemap existant, est un signal fort.

Où se cache généralement le spam

Sur un site WordPress basé sur un thème, vérifiez ces emplacements avant de supprimer quoi que ce soit :

Cherchez dans les fichiers PHP les fonctions d'obfuscation habituelles (base64_decode, eval, gzinflate, str_rot13, assert) et les très longues chaînes sur une seule ligne. Du code légitime en utilise aussi : comparez avec une copie saine plutôt que de supprimer à vue.

Un ordre de nettoyage qui fonctionne

1. Sauvegardez tout d'abord, fichiers et base de données, même infectés. Vous en aurez besoin pour comparer, et pour récupérer ce qu'un nettoyage supprimerait par erreur.
2. Passez le site en maintenance ou restreignez l'accès si le spam sert quelque chose de dangereux aux visiteurs.
3. Trouvez la persistance. Listez chaque porte dérobée, compte administrateur suspect, tâche planifiée et fichier modifié avant d'en supprimer un seul. Les attaquants en laissent généralement plusieurs, et supprimer l'un déclenche la réinstallation par les autres.
4. Réinstallez depuis des sources saines. Le cœur WordPress depuis wordpress.org ; The7 et ses extensions embarquées depuis votre téléchargement sous licence, en dernière version ; chaque autre extension depuis sa source officielle. Ne recopiez pas les dossiers d'extensions du site infecté.
5. Nettoyez la base de données. Supprimez les articles de spam, les options injectées et les utilisateurs inconnus. Vérifiez les options siteurl et home.
6. Changez tous les accès. Utilisateurs WordPress, panneau d'hébergement, FTP/SFTP, mot de passe de la base, et clés secrètes de wp-config.php. Supprimez les comptes devenus inutiles et activez la double authentification pour les administrateurs.
7. Vérifiez que les URL de spam renvoient désormais 404 ou 410, y compris lorsqu'on les demande avec l'agent utilisateur de Googlebot.
8. Prévenez Google. Retirez les propriétaires et sitemaps suspects de la Search Console, soumettez votre sitemap propre, utilisez l'outil de suppression pour les pires URL si besoin, et demandez un réexamen dans le rapport sur les problèmes de sécurité si un avertissement s'affichait.

Si vous n'avez pas de licence et ne pouvez pas obtenir une copie saine du thème dans la version utilisée, c'est le moment de décider de renouveler la licence ou de quitter le thème, pas de continuer avec une copie non corrigée.

Empêcher le retour

• Une licence active et une routine de mise à jour mensuelle pour le thème et ses extensions embarquées, puisqu'elles ne se mettent pas à jour seules.
• Supprimez ce que vous n'utilisez pas : thèmes inutilisés, extensions désactivées, contenu de démonstration importé avec le thème.
• Désactivez l'édition de fichiers depuis le tableau de bord (DISALLOW_FILE_EDIT dans wp-config.php) et bloquez l'exécution de PHP dans uploads.
• Fermez les inscriptions si vous n'en avez pas besoin ; plusieurs vulnérabilités publiées de The7 nécessitaient un compte connecté.
• Une surveillance de l'intégrité des fichiers et des sauvegardes hors site, pour remarquer le prochain changement en quelques heures, pas en quelques mois.
• Un pare-feu applicatif devant le site.

Combien de temps avant que le référencement se rétablisse ?

Une fois que les pages de spam renvoient systématiquement 404 ou 410, Google les retire au fil de ses explorations. Cela prend généralement quelques semaines pour la plupart des URL, davantage pour une infection importante. Vos propres pages remontent à mesure que Google retrouve confiance dans le site. Une réinfection remet le compteur à zéro : c'est pourquoi l'étape 3 compte plus que toutes les autres.

Questions fréquentes

The7 est-il un thème sûr ? C'est un thème commercial maintenu, et ses vulnérabilités publiées ont été corrigées dans les versions suivantes. Le risque vient des anciennes versions, des extensions embarquées obsolètes et des copies sans licence. Gardez-le sous licence et à jour, ou ne l'utilisez pas.

Une extension de sécurité peut-elle nettoyer le site à ma place ? Elle détecte les signatures de malwares connues et constitue une bonne première étape. Elle rate souvent les portes dérobées sur mesure, les injections en base et la persistance au niveau du serveur, d'où les infections qui reviennent après une analyse « réussie ».

Faut-il refaire le site de zéro ? Pas forcément. Une refonte ne sert à rien si la porte d'entrée (accès, hébergement, extension obsolète) reste la même. Comprendre comment l'attaquant est entré, puis nettoyer méthodiquement, est généralement plus rapide et conserve votre contenu et vos URL.

Le spam n'apparaît que dans Google, pas quand je visite le site. Est-il vraiment piraté ? Oui. Le masquage est la règle pour le spam SEO. Utilisez l'inspection d'URL de la Search Console pour voir ce que Google reçoit.

---

Nous analysons et nettoyons les sites WordPress compromis, puis fermons la porte d'entrée pour que le problème ne revienne pas. Voir notre offre de réponse aux incidents de sécurité, ou décrivez-nous ce que vous constatez.

Sources

• CVE-2025-63074, inclusion de fichier local dans The7 (OpenCVE) : versions antérieures à 12.8.1.1, score CVSS 3.1 de 7,5
• Aide Search Console, rapport sur les problèmes de sécurité
• web.dev, corriger le piratage par mots-clés japonais : masquage, propriétaires Search Console suspects, .htaccess et PHP obfusqué
• Google Search Central, logiciels malveillants et indésirables