Site piraté : que faire, étape par étape, pour le réparer

Comment détecter qu'un site a été piraté

Un piratage ne se voit pas toujours. Certains pirates défigurent la page d'accueil pour signer leur passage. D'autres jouent la discrétion : leur but est d'exploiter votre site le plus longtemps possible, sans que vous ne remarquiez rien. Apprenez à repérer les deux familles de signes.

Les signes visibles pour vos visiteurs

• Une redirection vers un site de jeux, de pharmacie ou de contrefaçon (parfois uniquement sur mobile, ou seulement depuis Google).
• Dans les résultats de recherche, des pages en langue étrangère s'affichent sous votre nom de domaine.
• Le navigateur affiche un avertissement rouge qui signale un site dangereux.
• Pop-ups, liens cachés, scripts malveillants qui ralentissent les pages.
• Vos clients reçoivent des emails frauduleux envoyés depuis votre domaine.

Les signes que seul l'administrateur peut voir

Premier réflexe : ouvrir la Google Search Console. Sa rubrique « Problèmes de sécurité » liste les contenus piratés que Google a détectés. Passez ensuite en revue les comptes administrateurs, les derniers fichiers modifiés sur le serveur et les extensions installées sans votre accord. Le nombre de pages indexées grimpe d'un coup ? Le trafic s'effondre sans explication ? Méfiance.

Passer en mode urgence : les gestes des premières heures

Avant de réparer, contenez. Tant que le pirate garde un accès, nettoyer ne sert à rien, puisqu'il reviendra par la même porte. Bonne nouvelle : ces premières actions tiennent en quelques heures et ne demandent pas de compétences techniques poussées.

Isoler le site et garder des preuves

Mettez le site en maintenance, ou demandez à votre hébergeur de le suspendre. Copiez ensuite l'intégralité des fichiers et de la base de données, dans leur état piraté. Étrange ? Pas tant que ça. Cette copie permet de comprendre comment l'attaque s'est produite, et elle servira de preuve si vous portez plainte ou si des données personnelles de clients ont été volées.

Changer tous les mots de passe

Administration, hébergement, FTP, base de données, nom de domaine, messagerie, etc. : chaque accès lié au site doit recevoir un nouveau mot de passe. Travaillez depuis un ordinateur sain, car un poste infecté pourrait compromettre à son tour les nouveaux identifiants. Je vous conseille donc d'analyser vos appareils avec un antivirus (à jour, évidemment) avant de commencer. Dernière étape : supprimer tout compte administrateur que vous ne reconnaissez pas.

Nettoyer le site selon sa plateforme

Tout dépend de l'outil qui fait tourner le site. WordPress et Shopify sont les plus répandus chez les TPE et PME, et pourtant ils ne se nettoient pas du tout de la même façon. Avec un CMS installé chez un hébergeur, vous avez la main sur les fichiers. Et avec une solution SaaS ? C'est la plateforme qui gère le serveur.

Un site WordPress piraté

Très répandu, donc très ciblé : c'est le lot de WordPress. Le plus souvent, la faille vient d'une extension ou d'un thème non mis à jour, plus rarement du cœur du logiciel. Le nettoyage manuel suit une logique simple : remplacer tout ce qui peut l'être par une version originale, puis inspecter le reste.

• Réinstallez le cœur de WordPress depuis le site officiel, en remplaçant les dossiers wp-admin et wp-includes.
• Fouillez le dossier /wp-content : la plupart des fichiers malveillants s'y cachent, notamment des fichiers PHP glissés dans le dossier des images.
• Les extensions et thèmes inutilisés ? Supprimez-les. Les autres, réinstallez-les depuis leur source officielle.
• Ouvrez wp-config.php et .htaccess, deux cibles fréquentes pour les redirections.
• Côté base de données, contrôlez les comptes utilisateurs, les options du site et les contenus injectés dans les articles.
• Enfin, régénérez les clés de sécurité de wp-config.php pour déconnecter toutes les sessions ouvertes.

Un pirate laisse rarement une seule porte dérobée. Oubliez-en une, et le site sera réinfecté quelques jours plus tard. Le contrôle du dossier /wp-content et de chaque sous-dossier du dossier /wp doit donc être complet (fichier par fichier si nécessaire).

Une boutique Shopify piratée

Sur Shopify, pas d'accès au serveur : la plateforme gère elle-même la sécurité de l'infrastructure. Le pirate entre donc presque toujours par un compte collaborateur compromis, une application tierce ou un code ajouté au thème. Retirez les accès des collaborateurs inconnus. Désinstallez les applications suspectes, puis comparez le code du thème avec ses versions antérieures. Pensez aussi au support Shopify, qui peut vous aider à identifier les connexions anormales.

Restaurer une sauvegarde saine

Restaurer est souvent la voie la plus rapide, à une condition : la sauvegarde doit dater d'avant l'infection. Or un piratage peut passer inaperçu pendant plusieurs semaines, si bien que les sauvegardes récentes sont parfois déjà infectées. Et une fois la restauration faite ? Appliquez toutes les mises à jour, sans exception, sinon la faille d'origine reste ouverte.

Réparer les dégâts SEO après un piratage

Pour Google, un site nettoyé n'est pas encore un site rétabli. Les pages de spam créées par le pirate restent indexées, et l'avertissement de sécurité peut persister. Ce chantier fait partie de la réparation au même titre que le nettoyage technique.

• Une fois le site propre, demandez un réexamen dans la Search Console en expliquant ce qui a été fait.
• Configurez un code 410 ou 404 sur les pages injectées : elles sortiront plus vite de l'index.
• Assurez-vous qu'aucun lien caché ni contenu de black hat SEO ne s'est glissé dans vos pages.
• Pendant les semaines suivantes, gardez un œil sur vos positions et votre trafic pour repérer une éventuelle pénalité Google.

Combien de temps avant le retour à la normale ? Aucun délai n'est fixe. Trois paramètres entrent en jeu : le nombre de pages injectées, la durée de l'infection et l'autorité du site avant l'attaque. En général, un site bien référencé et vite nettoyé récupère plus facilement qu'un site resté longtemps piraté.

Sécuriser le site pour éviter un nouveau piratage

Rien de personnel, la plupart du temps. Les piratages de petits sites sont rarement ciblés : des robots testent des milliers d'adresses en quête de failles connues. S'en protéger demande surtout de la régularité. Voici nos recommandations, de la plus simple à la plus technique.

• Tenez à jour le CMS, les thèmes et les extensions, et supprimez ce qui ne sert plus.
• Activez la double authentification sur tous les comptes administrateurs, hébergement compris.
• Choisissez des mots de passe longs et uniques, rangés dans un gestionnaire dédié.
• Attribuez à chacun le rôle minimal nécessaire (un rédacteur n'a pas besoin d'être administrateur).
• Programmez des sauvegardes automatiques stockées hors du serveur, et testez leur restauration de temps en temps.
• Optez pour un hébergement web qui isole les sites et propose un pare-feu applicatif.

Si vous ne deviez retenir qu'une mesure, gardez la double authentification. Par application ou par clé physique, elle bloque à elle seule une grande partie des attaques par vol de mot de passe. Quelques minutes pour l'activer, aucun coût dans la plupart des outils : difficile de faire plus rentable ! Pour le reste, tout repose sur une maintenance de site web suivie, mois après mois.

Agence de nettoyage : ce qui fait varier le prix et le délai

Mettre les mains dans les fichiers vous paraît hors de portée ? Faites appel à un professionnel. Réparer un site piraté n'a pas de tarif unique, puisque chaque infection est différente. Voici ce qui fait varier le devis.

• L'existence, ou non, d'une sauvegarde saine et récente.
• La plateforme : un WordPress chargé d'extensions demande plus d'analyse qu'une boutique Shopify.
• Le nombre de fichiers et de pages infectés, et depuis combien de temps.
• Le travail SEO à prévoir une fois le nettoyage terminé.
• Le besoin éventuel d'une surveillance ou d'une maintenance après l'intervention.

Parfois, le site est si ancien ou si fragile que le reconstruire coûte moins cher que le nettoyer. Une refonte de site internet sur une base saine règle alors le problème à la racine. Chez RankerSquare, nous proposons un site vitrine sur-mesure dès 19,90 € par mois en abonnement, mises à jour comprises. Les autres offres, dont le nettoyage d'urgence, font l'objet d'un devis établi selon les informations présentes sur votre site.

Questions fréquentes