Migrer d’hébergeur sans perdre son référencement
Une migration bien menée est invisible pour vos visiteurs comme pour Google. Voici la procédure, et les deux pièges qui font échouer les autres.
Exploiter
Votre site est piraté : la marche à suivre
Le réflexe de supprimer ce qui semble anormal est presque toujours contre-productif. Voici l'ordre qui fonctionne.
Certains liens de cette page sont des liens d'affiliation : si vous souscrivez après avoir cliqué, nous percevons une commission, sans surcoût pour vous. Cela ne change ni notre classement ni nos réserves, qui reposent sur les caractéristiques réelles des offres. En savoir plus
Une compromission est rarement spectaculaire : le pirate a intérêt à rester discret pour exploiter durablement le serveur ou la visibilité du site. Elle passe souvent inaperçue plusieurs semaines.
Ce guide couvre la détection, les premières heures, la remise en état et les suites, y compris les obligations légales que la panique fait souvent oublier.
Reconnaître les signes
Une compromission est rarement spectaculaire. Le pirate a intérêt à rester discret le plus longtemps possible, pour exploiter le serveur ou la visibilité du site. Voici les signaux qui doivent alerter.
| Symptôme | Interprétation probable |
|---|---|
| Redirection des visiteurs vers un autre site | Injection de code dans les fichiers ou la base |
| Pages inconnues indexées par Google | Contenu ajouté à votre insu, souvent pharmaceutique ou de jeu |
| Avertissement de sécurité dans le navigateur | Le site est signalé comme diffusant du contenu malveillant |
| E-mails sortants massifs, adresse IP mise en liste noire | Le serveur sert de relais de spam |
| Comptes administrateur inconnus | Accès persistant créé par l’attaquant |
| Ralentissement soudain sans hausse de trafic | Ressources consommées par un usage détourné |
| Fichiers modifiés à des dates incohérentes | Dépôt de portes dérobées |
La Search Console signale la plupart de ces situations, souvent avant que vous ne remarquiez quoi que ce soit. C'est une bonne raison de l'avoir configurée, même sur un petit site.
Les premières heures : l’ordre des opérations
Le réflexe naturel consiste à supprimer ce qui semble anormal. C'est presque toujours contre-productif : vous effacez les traces sans supprimer l'accès, et la compromission reprend le lendemain.
- Mettre le site hors ligne ou afficher une page de maintenance. Cela protège vos visiteurs et arrête la diffusion de contenus frauduleux.
- Prévenir votre hébergeur. Il peut disposer de journaux dont vous n'avez pas l'accès, et il préférera être informé plutôt que de découvrir le problème par une plainte.
- Faire une copie de l'état actuel avant toute modification. Elle documente l'incident et peut être nécessaire si des données personnelles sont concernées.
- Changer les mots de passe depuis un poste sain : hébergement, base de données, administration du site, messagerie, comptes tiers.
- Identifier la date probable de compromission en examinant les dates de modification des fichiers et les journaux d'accès.
N'utilisez pas le poste qui a pu être compromis pour changer les mots de passe. Si l'origine de la fuite est un ordinateur infecté, vous fourniriez les nouveaux identifiants dans la foulée.
Restaurer plutôt que nettoyer
C'est le point sur lequel les avis divergent, et où l'expérience est pourtant assez claire : nettoyer un site compromis manuellement laisse presque toujours quelque chose derrière.
Les portes dérobées sont conçues pour survivre à un nettoyage superficiel. Elles se dissimulent dans des fichiers d'apparence légitime, dans la base de données, dans les tâches planifiées, ou dans des répertoires que personne n'inspecte. Un seul fichier oublié suffit à rétablir l'accès.
- Restaurer une sauvegarde antérieure à la date estimée de compromission, plutôt que de désinfecter l'existant.
- Réinstaller le CMS, le thème et les extensions à partir des sources officielles, sans reprendre les fichiers existants.
- Ne récupérer de l'ancien site que le contenu : textes, images, données, après vérification.
- Vérifier la base de données, où se cachent souvent des scripts injectés dans les contenus ou les options.
Si aucune sauvegarde saine n'existe, la reconstruction est plus longue mais reste préférable à un nettoyage dont vous ne pourrez jamais garantir l'exhaustivité.
Corriger la cause, sinon cela recommencera
Remettre en ligne sans avoir identifié le point d'entrée revient à recréer les conditions de la compromission. Dans la grande majorité des cas, la cause figure dans cette liste.
- Une extension ou un thème obsolète comportant une faille connue. C'est de loin la cause la plus fréquente.
- Un mot de passe faible ou réutilisé sur un compte administrateur.
- Un composant abandonné par son auteur, qui ne recevra plus jamais de correctif.
- Un poste de travail infecté ayant permis le vol d'identifiants.
- Un accès resté ouvert : compte d'un prestataire parti, environnement de test oublié, sauvegarde accessible publiquement.
Une fois la cause corrigée, réduisez la surface : supprimez les extensions inutilisées plutôt que de les désactiver, retirez les comptes qui ne servent plus, et activez l'authentification à deux facteurs sur l'administration.
Après la remise en ligne
Deux démarches restent à effectuer, et elles sont souvent négligées alors que leurs conséquences durent.
Le référencement
Si le site a été signalé comme dangereux ou si des pages frauduleuses ont été indexées, demandez un réexamen depuis la Search Console une fois le site propre. Les pages injectées doivent aussi être supprimées de l'index, sans quoi elles continuent d'apparaître dans les résultats.
Les obligations légales
Si des données personnelles ont pu être consultées ou exfiltrées, il s'agit d'une violation de données au sens du RGPD. Elle doit être documentée dans un registre et, selon la gravité, notifiée à l'autorité de protection compétente dans un délai contraint, voire aux personnes concernées.
C'est le moment de mettre en place ce qui manquait : sauvegardes externalisées et testées, mises à jour appliquées rapidement, surveillance externe. Une compromission coûte cher, mais elle est aussi l'occasion de corriger durablement des pratiques laissées de côté.
Questions fréquentes
Faut-il supprimer les fichiers suspects tout de suite ?
Non. Vous effaceriez les traces sans nécessairement supprimer l'accès, et la compromission reprendrait. Mettez d'abord le site hors ligne, conservez une copie de l'état actuel, puis restaurez une sauvegarde saine.
Dois-je déclarer l’incident ?
Si des données personnelles ont pu être consultées ou exfiltrées, il s'agit d'une violation de données au sens du RGPD, à documenter et, selon la gravité, à notifier à l'autorité compétente dans un délai contraint, voire aux personnes concernées.
Pour aller plus loin
Autres guides
Mutualisé ou VPS : comment choisir
La question n'est pas de savoir lequel est le meilleur, mais qui assume l'administration du serveur.
Combien coûte un site web par an
Entre 40 € et plusieurs milliers d'euros par an. Voici ce qui fait varier le montant, et les postes que l'on découvre en cours de route.