Dans la plupart des cas, le cloaking SEO ne repose pas sur une intrusion spectaculaire, mais sur une faiblesse banale. Un plugin vulnérable, un thème obsolète, un accès FTP compromis ou un hébergement mal isolé suffisent. Une fois ce point d’entrée exploité, l’objectif n’est pas de perturber le site, mais de s’y intégrer sans laisser de traces visibles.
Le code malveillant n’apparaît presque jamais en clair. Il est dissimulé, fragmenté, encodé, parfois réparti dans plusieurs fichiers légitimes du cœur de WordPress. Cette implantation discrète lui permet de rester dormant la majeure partie du temps, ne s’exécutant que lorsque des conditions très spécifiques sont réunies. Le site continue alors de fonctionner normalement pour ses visiteurs, tout en produisant un comportement différent pour les moteurs de recherche.
C’est précisément cette logique conditionnelle qui rend les outils de détection classiques peu fiables. Un scan qui se contente de parcourir les fichiers ou d’analyser le site comme le ferait un utilisateur standard passe souvent à côté de l’essentiel. Sans se placer dans la position d’un robot d’indexation, le contenu frauduleux reste invisible.
L’un des effets les plus caractéristiques de ce type de piratage est l’apparition de pages qui n’existent nulle part dans l’interface d’administration, mais qui sont pourtant bien présentes dans l’index de Google. Ces pages ne sont pas créées comme des contenus WordPress traditionnels. Elles sont générées dynamiquement, parfois à la volée, uniquement lors du passage des robots d’indexation.
Pour le propriétaire du site, elles n’existent tout simplement pas. Pour les moteurs de recherche, en revanche, elles font pleinement partie du site et participent à son évaluation. Ce décalage explique pourquoi un site peut être pénalisé ou associé à du spam sans que son administrateur ne voie jamais le contenu en cause.
Si WordPress est particulièrement exposé à ce type d’attaque, c’est avant tout en raison de son omniprésence. Son écosystème riche de plugins et de thèmes est une force, mais aussi un facteur de risque. Chaque extension abandonnée, chaque mise à jour négligée, chaque droit excessif accordé élargit la surface d’attaque exploitable. Le cloaking SEO ne nécessite pas un contrôle total du site. Un point d’injection discret suffit pour détourner un site entier.
