Mon site a été piraté : que faire ?

Une page d'accueil remplacée, des redirections vers des sites douteux, un avertissement du navigateur ou un message de votre hébergeur : un piratage se découvre souvent par hasard. La priorité n'est pas de tout effacer. Il faut limiter les dégâts, comprendre par où l'attaquant est entré, puis repartir d'une base saine. Voici les étapes, dans l'ordre.

Comment savoir si votre site a vraiment été piraté ?

Certains signes ne trompent pas. D'autres peuvent venir d'une panne ou d'une mise à jour ratée : vérifiez avant d'agir.

• Contenu modifié : pages défigurées, textes ajoutés, liens cachés vers des sites de jeux ou de médicaments.
• Redirections : vos visiteurs, parfois seulement ceux qui arrivent d'un moteur de recherche ou d'un mobile, sont envoyés vers un autre site.
• Alertes : message « site dangereux » dans le navigateur, notification dans Google Search Console, suspension par l'hébergeur.
• Comptes inconnus : un administrateur que personne n'a créé, des fichiers récents que vous n'avez pas déposés.
• Envois suspects : votre serveur expédie des e-mails en masse, ou vos messages arrivent soudain dans les spams de vos correspondants.

Étape 1 : limiter les dégâts sans effacer les traces

Mettez le site en maintenance ou demandez à votre hébergeur de le suspendre. Vous protégez vos visiteurs et vous empêchez l'attaquant de poursuivre.

Ne supprimez rien tout de suite. Les journaux, ces fichiers qui enregistrent les connexions et les requêtes reçues par le serveur, et les fichiers modifiés permettent de retrouver la porte d'entrée. Faites une copie complète du site et de sa base de données dans leur état actuel. Notez les dates et heures de chaque constat.

Étape 2 : reprendre la main sur les accès

Partez du principe que tous les mots de passe liés au site sont connus de l'attaquant. Changez-les depuis un ordinateur sain :

1. l'espace client de l'hébergeur et celui du nom de domaine ;
2. les accès FTP ou SFTP au serveur et le compte de la base de données ;
3. tous les comptes administrateurs du site, en supprimant ceux qui sont inconnus ;
4. la messagerie associée, qui sert souvent à réinitialiser les autres accès.

Activez la double authentification partout où elle existe. Si votre site utilise des clés d'API, c'est-à-dire des codes qui autorisent un logiciel à dialoguer avec un autre, régénérez-les également.

Étape 3 : trouver la faille

Restaurer sans comprendre expose à une nouvelle intrusion par le même chemin. Les portes d'entrée classiques sont connues :

Étape 4 : restaurer une version saine

La méthode la plus sûre consiste à repartir d'une sauvegarde antérieure à l'intrusion, puis à appliquer aussitôt toutes les mises à jour. Attention : l'intrusion peut remonter bien avant le jour où vous l'avez remarquée. Comparez les fichiers avec une version de référence pour dater le problème.

Sans sauvegarde exploitable, il faut nettoyer le site fichier par fichier. Ce travail demande une expertise technique et laisse un risque de code malveillant oublié. C'est aussi le signal qu'il faut mettre en place une sauvegarde 3-2-1 dont la restauration est testée.

Étape 5 : signaler et informer

• Données personnelles : si des données de clients ou de contacts ont pu être consultées, copiées ou modifiées, l'incident constitue une violation de données. Le RGPD impose de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n'engendre pas de risque pour les personnes concernées.
• Plainte : vous pouvez déposer plainte auprès de la police ou de la gendarmerie, avec vos copies et vos notes.
• Assistance : cybermalveillance.gouv.fr propose un parcours d'aide en ligne et une mise en relation avec des professionnels.
• Moteurs de recherche : une fois le site nettoyé, demandez un réexamen dans Google Search Console pour faire lever les avertissements.

Après l'incident : éviter la récidive

Surveillez le site de près pendant les semaines suivantes : fichiers modifiés, nouveaux comptes, pages inconnues apparues dans les résultats de recherche. Planifiez les mises à jour, retirez les extensions inutiles et limitez le nombre d'administrateurs. Un audit de sécurité, que NexSecure peut réaliser, vérifie ensuite qu'aucune autre faiblesse ne subsiste.