Choisir son hébergeur

Exploiter

Votre site est piraté : la marche à suivre

Le réflexe de supprimer ce qui semble anormal est presque toujours contre-productif. Voici l'ordre qui fonctionne.

Certains liens de cette page sont des liens d'affiliation : si vous souscrivez après avoir cliqué, nous percevons une commission, sans surcoût pour vous. Cela ne change ni notre classement ni nos réserves, qui reposent sur les caractéristiques réelles des offres. En savoir plus

Une compromission est rarement spectaculaire : le pirate a intérêt à rester discret pour exploiter durablement le serveur ou la visibilité du site. Elle passe souvent inaperçue plusieurs semaines.

Ce guide couvre la détection, les premières heures, la remise en état et les suites, y compris les obligations légales que la panique fait souvent oublier.

Reconnaître les signes

Une compromission est rarement spectaculaire. Le pirate a intérêt à rester discret le plus longtemps possible, pour exploiter le serveur ou la visibilité du site. Voici les signaux qui doivent alerter.

Symptômes et ce qu’ils indiquent généralement
SymptômeInterprétation probable
Redirection des visiteurs vers un autre siteInjection de code dans les fichiers ou la base
Pages inconnues indexées par GoogleContenu ajouté à votre insu, souvent pharmaceutique ou de jeu
Avertissement de sécurité dans le navigateurLe site est signalé comme diffusant du contenu malveillant
E-mails sortants massifs, adresse IP mise en liste noireLe serveur sert de relais de spam
Comptes administrateur inconnusAccès persistant créé par l’attaquant
Ralentissement soudain sans hausse de traficRessources consommées par un usage détourné
Fichiers modifiés à des dates incohérentesDépôt de portes dérobées

Les premières heures : l’ordre des opérations

Le réflexe naturel consiste à supprimer ce qui semble anormal. C'est presque toujours contre-productif : vous effacez les traces sans supprimer l'accès, et la compromission reprend le lendemain.

  • Mettre le site hors ligne ou afficher une page de maintenance. Cela protège vos visiteurs et arrête la diffusion de contenus frauduleux.
  • Prévenir votre hébergeur. Il peut disposer de journaux dont vous n'avez pas l'accès, et il préférera être informé plutôt que de découvrir le problème par une plainte.
  • Faire une copie de l'état actuel avant toute modification. Elle documente l'incident et peut être nécessaire si des données personnelles sont concernées.
  • Changer les mots de passe depuis un poste sain : hébergement, base de données, administration du site, messagerie, comptes tiers.
  • Identifier la date probable de compromission en examinant les dates de modification des fichiers et les journaux d'accès.

Restaurer plutôt que nettoyer

C'est le point sur lequel les avis divergent, et où l'expérience est pourtant assez claire : nettoyer un site compromis manuellement laisse presque toujours quelque chose derrière.

Les portes dérobées sont conçues pour survivre à un nettoyage superficiel. Elles se dissimulent dans des fichiers d'apparence légitime, dans la base de données, dans les tâches planifiées, ou dans des répertoires que personne n'inspecte. Un seul fichier oublié suffit à rétablir l'accès.

  • Restaurer une sauvegarde antérieure à la date estimée de compromission, plutôt que de désinfecter l'existant.
  • Réinstaller le CMS, le thème et les extensions à partir des sources officielles, sans reprendre les fichiers existants.
  • Ne récupérer de l'ancien site que le contenu : textes, images, données, après vérification.
  • Vérifier la base de données, où se cachent souvent des scripts injectés dans les contenus ou les options.

Si aucune sauvegarde saine n'existe, la reconstruction est plus longue mais reste préférable à un nettoyage dont vous ne pourrez jamais garantir l'exhaustivité.

Corriger la cause, sinon cela recommencera

Remettre en ligne sans avoir identifié le point d'entrée revient à recréer les conditions de la compromission. Dans la grande majorité des cas, la cause figure dans cette liste.

  • Une extension ou un thème obsolète comportant une faille connue. C'est de loin la cause la plus fréquente.
  • Un mot de passe faible ou réutilisé sur un compte administrateur.
  • Un composant abandonné par son auteur, qui ne recevra plus jamais de correctif.
  • Un poste de travail infecté ayant permis le vol d'identifiants.
  • Un accès resté ouvert : compte d'un prestataire parti, environnement de test oublié, sauvegarde accessible publiquement.

Une fois la cause corrigée, réduisez la surface : supprimez les extensions inutilisées plutôt que de les désactiver, retirez les comptes qui ne servent plus, et activez l'authentification à deux facteurs sur l'administration.

Après la remise en ligne

Deux démarches restent à effectuer, et elles sont souvent négligées alors que leurs conséquences durent.

Le référencement

Si le site a été signalé comme dangereux ou si des pages frauduleuses ont été indexées, demandez un réexamen depuis la Search Console une fois le site propre. Les pages injectées doivent aussi être supprimées de l'index, sans quoi elles continuent d'apparaître dans les résultats.

Les obligations légales

Si des données personnelles ont pu être consultées ou exfiltrées, il s'agit d'une violation de données au sens du RGPD. Elle doit être documentée dans un registre et, selon la gravité, notifiée à l'autorité de protection compétente dans un délai contraint, voire aux personnes concernées.

Questions fréquentes

Faut-il supprimer les fichiers suspects tout de suite ?

Non. Vous effaceriez les traces sans nécessairement supprimer l'accès, et la compromission reprendrait. Mettez d'abord le site hors ligne, conservez une copie de l'état actuel, puis restaurez une sauvegarde saine.

Dois-je déclarer l’incident ?

Si des données personnelles ont pu être consultées ou exfiltrées, il s'agit d'une violation de données au sens du RGPD, à documenter et, selon la gravité, à notifier à l'autorité compétente dans un délai contraint, voire aux personnes concernées.

Pour aller plus loin

Autres guides

Tester la vitesse de son hébergement

Avant de changer d'hébergeur parce que le site est lent, encore faut-il vérifier que l'hébergeur est en cause. Il ne l'est pas si souvent.

Exploiter