Aller au contenu

Guide · Sécurité · 7 min de lecture

Mon site WordPress a été piraté : que faire, et dans quel ordre ?

En bref : ne supprimez rien dans la précipitation, et ne vous contentez pas d’effacer ce qui se voit. Un nettoyage sérieux suit toujours le même ordre : mettre le site à l’abri, changer tous les accès, nettoyer, puis trouver et fermer la faille par laquelle l’attaque est passée. Viennent ensuite Google, et l’autorité de protection des données si des données de clients sont concernées.

Voir les 6 étapes Faire le point sur mon site

Un piratage se traite dans l’ordreQuatre étapes : mettre le site à l’abri, avec une copie puis une maintenance ; changer tous les accès, sans exception ; nettoyer les fichiers et la base de données ; fermer la faille, sinon l’attaque recommence. Effacer ce qui se voit ne suffit pas.Alerte de sécurité sur votre siteUN PIRATAGE SE TRAITE DANS L’ORDRE1Mettre à l’abricopie, puis maintenance2Changer les accèstous, sans exception3Nettoyerfichiers et base de données4Fermer la faillesinon, elle recommenceÀ RETENIREffacer ce qui se voit ne suffit pasUn piratage se traite dans l’ordreQuatre étapes : mettre le site à l’abri, avec une copie puis une maintenance ; changer tous les accès, sans exception ; nettoyer les fichiers et la base de données ; fermer la faille, sinon l’attaque recommence. Effacer ce qui se voit ne suffit pas.Alerte de sécuritésur votre siteUN PIRATAGE SE TRAITEDANS L’ORDRE1. Mettre à l’abricopie, puis maintenance2. Changer les accèstous, sans exception3. Nettoyerfichiers et base de données4. Fermer la faillesinon, elle recommenceÀ RETENIREffacer ce qui se voitne suffit pas

Les signes qui doivent vous alerter

  • Vos visiteurs sont renvoyés vers d’autres sites, parfois seulement quand ils arrivent depuis Google ou sur téléphone.
  • Des pages que vous n’avez jamais créées apparaissent dans Google, souvent en langue étrangère ou pour des produits douteux.
  • Google, votre navigateur ou votre antivirus affichent un avertissement.
  • Votre hébergeur vous prévient, ou suspend le site.
  • Des comptes administrateurs inconnus apparaissent dans WordPress.
  • Vos e-mails finissent dans les indésirables, ou votre serveur envoie des messages que vous n’avez pas écrits.

Un seul de ces signes suffit pour agir. Et un site qui vous semble normal peut très bien se comporter autrement pour vos visiteurs.

Les 30 premières minutes

Vous venez de découvrir le piratage ? Voici ce qu’il faut faire tout de suite, avant même de chercher de l’aide :

  1. Ne supprimez rien. Notez ce que vous avez constaté, avec l’heure, et faites des captures d’écran.
  2. Faites une copie complète du site dans son état actuel, fichiers et base de données.
  3. Changez les mots de passe les plus sensibles : celui de votre hébergement et celui de votre messagerie, depuis un ordinateur sain.
  4. Protégez vos visiteurs. Si le site les redirige ou leur propose des fichiers, mettez-le en maintenance.
  5. Prévenez la personne qui s’occupe de votre site ou faites appel à un professionnel pour la suite.

Les 6 étapes pour s’en sortir

  1. Garder une copie du site piraté. Avant de toucher à quoi que ce soit, faites une copie complète, fichiers et base de données, rangée à part. Elle servira à comprendre ce qui s’est passé, et de preuve si vous portez plainte.
  2. Mettre le site à l’abri. S’il redirige vos visiteurs ou leur propose des fichiers à télécharger, mettez-le en maintenance le temps du nettoyage. Mieux vaut un site fermé quelques heures qu’un site qui piège vos clients.
  3. Changer tous les accès. Hébergement, base de données, transfert de fichiers, comptes WordPress et adresses e-mail liées au site : tous, sans exception, depuis un ordinateur sain. Renouvelez aussi les clés de sécurité de WordPress, ce qui déconnecte tout le monde, y compris l’intrus.
  4. Nettoyer. Remplacez les fichiers de WordPress, des extensions et du thème par des copies saines, téléchargées aux sources officielles. Supprimez les fichiers inconnus, puis vérifiez la base de données : comptes administrateurs, contenus et réglages ajoutés par l’attaquant. Une sauvegarde saine, antérieure à l’attaque, peut aussi servir de point de départ.
  5. Trouver et fermer la faille. Extension pas à jour, mot de passe volé, thème téléchargé sur un site douteux, accès laissé ouvert : tant que la porte d’entrée n’est pas trouvée et fermée, rien n’empêche l’attaquant de revenir par le même chemin. Mettez tout à jour, supprimez ce qui ne sert plus et activez la double authentification.
  6. Prévenir qui de droit. Dans la Search Console, l’outil gratuit de Google pour les propriétaires de sites, le rapport « Problèmes de sécurité » permet de demander un réexamen une fois le site propre. Si des données de clients ont pu être consultées ou volées, prévenez l’autorité de protection des données : la CNIL en France, l’APDP à Monaco. Dans les deux cas, cette notification doit en principe intervenir dans les 72 heures.

Pourquoi effacer ce qui se voit ne suffit pas

Les redirections et les pages de spam ne sont que la partie visible. Pour garder la main, les attaquants laissent le plus souvent derrière eux des portes dérobées : des fichiers cachés, des comptes administrateurs discrets, des lignes de code glissées dans des fichiers existants. Si l’on se contente d’effacer ce qui se voit, le piratage revient.

Ce qui se voit d’un piratage, et ce qui reste cachéCe qui se voit : les redirections, les pages de spam, l’alerte de Google. Ce qui reste caché : les portes dérobées, les comptes cachés, les fichiers modifiés, et surtout la faille d’origine.CE QUI SE VOITRedirectionsPages de spamAlerte de GoogleCE QUI RESTE CACHÉPortes dérobéesComptes cachésFichiers modifiésLa faille d’origineCe qui se voit d’un piratage, et ce qui reste cachéCe qui se voit : les redirections, les pages de spam, l’alerte de Google. Ce qui reste caché : les portes dérobées, les comptes cachés, les fichiers modifiés, et surtout la faille d’origine.CE QUI SE VOITRedirectionsPages de spamAlerte de GoogleCE QUI RESTE CACHÉPortes dérobéesComptes cachésFichiers modifiésLa faille d’origine
Ce qui se voit n’est qu’une petite partie du piratage : le nettoyage doit aller jusqu’à la faille d’origine.

Les 6 erreurs qui font revenir le piratage

  • Effacer seulement ce qui se voit

    Les portes dérobées restent en place, et l’attaquant revient quand il le veut.

  • Restaurer une sauvegarde sans rien changer

    La faille existe toujours dans la sauvegarde : le site sera de nouveau piraté par le même chemin.

  • Garder les mêmes mots de passe

    Si un mot de passe a été volé, il sert toujours. Changez-les tous, et partout où ils étaient utilisés.

  • Installer des extensions d’origine douteuse

    Les extensions et thèmes payants proposés gratuitement sur des sites non officiels contiennent souvent du code malveillant.

  • Oublier les autres sites du même hébergement

    Si plusieurs sites partagent le même compte d’hébergement, un site infecté peut contaminer les autres : ils doivent tous être vérifiés.

  • Ne pas prévenir Google

    L’avertissement peut rester affiché tant que Google n’a pas vérifié le site : demandez un réexamen dès qu’il est propre.

Pour ne plus revivre ça

  • WordPress, les extensions et le thème sont mis à jour régulièrement.
  • Chaque personne a son propre compte, avec un mot de passe unique et la double authentification.
  • Les extensions et thèmes inutiles sont supprimés, et pas seulement désactivés.
  • Les extensions viennent uniquement de sources officielles.
  • Une sauvegarde automatique est rangée ailleurs que sur le serveur, et vous savez la restaurer.
  • Quelqu’un surveille le site et ses alertes de sécurité.

Votre site a été piraté ?

Je change les accès, je nettoie le site, puis je cherche par où l’attaque est passée pour la bloquer et je fais les mises à jour qui manquaient. Et vous parlez directement à celui qui code.

Parlons de votre site Découvrir la reprise et la maintenance

Réponse sous 24 h ouvrées

Les questions qu’on me pose le plus

Comment savoir si mon site est vraiment piraté ?

Fiez-vous aux signes décrits plus haut. Le rapport « Problèmes de sécurité » de la Search Console de Google et les alertes de votre hébergeur sont aussi de bons indicateurs. Dans le doute, faites vérifier le site.

Une extension de sécurité suffit-elle ?

Elle aide à repérer des fichiers suspects, mais elle ne trouve pas tout et ne ferme pas la faille. Un contrôle à la main reste nécessaire.

Restaurer une sauvegarde, est-ce suffisant ?

C’est un bon point de départ si elle date d’avant l’attaque. Mais la faille existe toujours : sans mises à jour ni changement des accès, le site sera de nouveau piraté.

Dois-je prévenir mes clients ?

Si leurs données personnelles ont pu être volées, il faut en principe prévenir l’autorité de protection des données et, dans les cas les plus graves, les personnes concernées. Un juriste peut vous aider à évaluer la situation.

Vais-je perdre mon référencement ?

Un avertissement de Google peut faire fuir vos visiteurs, et les pages de spam brouillent votre référencement. Une fois le site nettoyé, supprimez les pages ajoutées par l’attaquant et demandez un réexamen dans la Search Console.

Faut-il porter plainte ?

C’est conseillé, notamment si des données ou de l’argent sont en jeu. En France, le site public cybermalveillance.gouv.fr vous guide dans les démarches ; ailleurs, adressez-vous à la police ou à l’organisme de cybersécurité de votre pays.

Combien coûte un nettoyage ?

Tout dépend de l’ampleur du piratage et de l’état du site. Je ne donne jamais de prix à l’aveugle. Décrivez-moi la situation : je vous réponds sous 24 h ouvrées, puis je vous envoie un devis clair, détaillé poste par poste.

Sources

À lire aussi