Site piraté : que faire dans la première heure ?
Votre site redirige vers un casino, Google affiche « Ce site a peut-être été piraté », ou votre hébergeur vient de suspendre le compte. Face à un site piraté, que faire en premier ? Contenir l'attaque, puis conserver les traces, et seulement ensuite nettoyer. Les dirigeants qui commencent par supprimer les fichiers suspects détruisent souvent la seule piste qui permettait de comprendre par où l'attaquant est entré, et il revient la semaine suivante.
L'ordre de la première heure :
- Prévenez votre hébergeur ou votre prestataire. Il peut couper le site, consulter les journaux du serveur et vous dire si d'autres sites du même compte sont touchés.
- Mettez le site hors ligne ou en maintenance. Un site qui distribue un logiciel malveillant ou une fausse page de paiement fait des victimes parmi vos clients à chaque visite.
- Changez les mots de passe depuis un ordinateur sain : administration du site, FTP ou SFTP, base de données, panneau d'hébergement, registraire du nom de domaine, boîte e-mail qui reçoit les réinitialisations.
- Faites une copie du site dans son état piraté. Fichiers, base de données et journaux d'accès : cette copie sert à l'enquête et, le cas échéant, à la plainte.
- Notez tout : heure de la découverte, symptômes, captures d'écran, messages reçus. Vous en aurez besoin pour l'assurance, la CNIL ou la police.
Reconnaître les signes d'un piratage
Un piratage ne se voit pas toujours sur la page d'accueil. Les attaquants cherchent souvent à rester discrets pour exploiter le site des semaines durant. Ces symptômes doivent vous alerter :
| Symptôme | Ce qu'il signifie souvent |
|---|---|
| Redirection vers un site de jeux, de pharmacie ou de rencontres, parfois seulement depuis un mobile ou depuis Google | Code injecté dans le thème, le fichier .htaccess ou la base de données |
| Résultats Google en japonais ou en anglais sur des produits que vous ne vendez pas | Pages de spam créées par milliers sur votre domaine |
| Avertissement rouge dans Chrome ou message « Ce site a peut-être été piraté » sous votre lien | Google a détecté un logiciel malveillant ou de l'hameçonnage |
| Comptes administrateurs que vous n'avez pas créés | Accès dérobé, souvent par une extension vulnérable ou un mot de passe faible |
| Vos e-mails arrivent en spam, ou l'hébergeur signale des envois massifs | Le serveur sert à envoyer du spam |
| Site très lent, hébergeur qui signale une surconsommation | Scripts malveillants qui tournent en arrière-plan |
Si vous avez un doute, ouvrez le rapport « Problèmes de sécurité » dans Search Console. Notre guide de démarrage de Google Search Console explique comment vérifier votre site et trouver ce rapport.
Les erreurs qui aggravent la situation
- Restaurer la sauvegarde de la veille sans chercher la faille. L'intrusion date souvent de plusieurs semaines : la copie d'hier contient déjà le code malveillant, et la porte d'entrée reste ouverte.
- Changer les mots de passe depuis l'ordinateur infecté. Si un logiciel espion a volé les accès, il vole aussi les nouveaux.
- Payer une rançon. Rien ne garantit la restitution des données, et vous financez la prochaine attaque. Les autorités françaises déconseillent de payer.
- Supprimer le site et repartir de zéro sans copie. Vous perdez les preuves et parfois des contenus que vous ne retrouverez nulle part ailleurs.
- Se taire face aux clients quand leurs données ont fuité. L'obligation d'information existe, et vos clients apprendront la fuite autrement.
Nettoyer le site et fermer la porte d'entrée
Le nettoyage demande de savoir lire du code et des journaux de serveur. Sur un site WordPress, comptez une demi-journée à deux jours de travail pour un prestataire, selon l'étendue de l'infection. Les étapes se suivent dans cet ordre.
1. Trouver la faille
Les journaux d'accès du serveur montrent les requêtes suspectes et la date de la première intrusion. Les causes les plus fréquentes sur un site de TPE : une extension ou un thème pas mis à jour depuis des mois, un mot de passe administrateur réutilisé ailleurs, un accès FTP oublié d'un ancien prestataire, ou un thème « premium » téléchargé gratuitement sur un site douteux.
2. Repartir d'une base saine
Réinstallez le cœur du CMS, le thème et les extensions depuis leurs sources officielles, plutôt que de nettoyer les fichiers un par un. Récupérez ensuite vos contenus et vos images après les avoir inspectés. Une sauvegarde antérieure à l'intrusion fait gagner beaucoup de temps : notre article sur la sauvegarde d'un site internet explique pourquoi garder plusieurs versions anciennes.
3. Inspecter la base de données
Les attaquants y cachent des scripts dans les articles, les options ou les widgets, et y ajoutent des comptes administrateurs. Supprimez les comptes inconnus et cherchez les balises <script> et les liens que vous n'avez pas écrits.
4. Corriger la cause
Mettez tout à jour, supprimez les extensions inutilisées, retirez les accès des anciens prestataires et activez la double authentification sur l'administration. Sans cette étape, le nettoyage ne tient que quelques jours.
Les démarches : CNIL, plainte, Google
Un piratage entraîne souvent des obligations que les dirigeants découvrent trop tard.
| Démarche | Quand | Délai |
|---|---|---|
| Notification de violation de données à la CNIL | Si des données personnelles (clients, contacts, commandes) ont pu être consultées ou volées, sauf risque improbable pour les personnes | 72 heures après la découverte |
| Information des personnes concernées | Si la fuite présente un risque élevé pour elles (mots de passe, données bancaires, données de santé) | Dans les meilleurs délais |
| Plainte au commissariat ou à la gendarmerie | Toujours conseillée : elle sert pour l'assurance et pour les suites judiciaires | Aucun délai strict, mais le plus tôt possible |
| Déclaration à votre assureur | Si votre contrat couvre le risque cyber (vérifiez votre multirisque professionnelle) | Selon le contrat, souvent quelques jours |
| Demande d'examen dans Search Console | Une fois le site nettoyé, si Google affiche un avertissement | Google répond en quelques jours |
Le site cybermalveillance.gouv.fr, dispositif public, propose un diagnostic gratuit en ligne et oriente vers des prestataires référencés près de chez vous. Gardez la copie du site piraté et vos notes : la police et la CNIL vous les demanderont.
Les conséquences pour votre référencement
Un piratage pèse sur votre visibilité de deux façons. Google peut afficher un avertissement qui fait fuir les visiteurs, voire retirer les pages infectées de ses résultats. Et les pages de spam créées sur votre domaine diluent votre site aux yeux du moteur.
Après le nettoyage, renvoyez une erreur 410 sur les adresses de spam, soumettez à nouveau votre sitemap et demandez un examen dans le rapport « Problèmes de sécurité ». Un site nettoyé vite retrouve en général ses positions en quelques semaines. Un site qui reste infecté plusieurs mois peut perdre l'essentiel de son trafic.
Combien coûte un site piraté ?
Le coût direct reste modeste comparé à la perte d'activité. Ordres de grandeur pour une TPE :
- Nettoyage par un prestataire : de 300 à 1 500 € HT selon la taille du site et l'étendue de l'infection.
- Site hors ligne : de quelques heures à plusieurs jours sans demandes de devis ni ventes.
- Reconstruction quand le site est trop ancien pour être réparé : c'est alors le prix d'un nouveau site, à partir de 2 500 € HT pour un site vitrine.
La prévention coûte moins cher. Mises à jour régulières, sauvegardes hors serveur et surveillance font partie d'un contrat de maintenance ; notre article sur le prix de la maintenance d'un site internet détaille ce qu'il doit couvrir. Chez Fluctuatech, les forfaits à 149 € et 490 € HT par mois comprennent ces trois éléments, et nous intervenons en cas d'incident.
Prévenir le prochain piratage
- Mettez à jour le CMS, le thème et les extensions chaque semaine ou chaque mois, pas une fois par an.
- Utilisez un mot de passe unique par accès, rangé dans un gestionnaire de mots de passe.
- Activez la double authentification sur l'administration du site et chez le registraire.
- Gardez des sauvegardes hors serveur sur plusieurs semaines, et testez une restauration.
- Retirez les accès des anciens prestataires dès la fin d'une mission.
- Supprimez les extensions et les thèmes que vous n'utilisez plus.
Votre site vient d'être piraté, ou vous craignez qu'il le soit ? Écrivez-nous : nous évaluons la situation, nous nettoyons le site et nous fermons la faille. Pour ne plus y penser, nos forfaits de maintenance sont détaillés sur la page tarifs.