Réagir à un piratage de site
Un site piraté n'est pas la preuve d'une négligence : c'est un événement statistique qui finit par arriver à tout le monde. Ce qui distingue une mauvaise journée d'une catastrophe, ce sont les gestes des deux premières heures, et le fait de les avoir écrits avant d'en avoir besoin.
Avant d'appliquer ce mémo
Les manipulations décrites ici peuvent entraîner une perte de données ou l'indisponibilité d'un service. Avant d'en appliquer une seule : faites une sauvegarde complète et vérifiez qu'elle se restaure, travaillez d'abord sur un environnement sans enjeu, et n'exécutez aucune commande dont vous ne comprenez pas l'effet.
Ce mémo est un contenu pédagogique de portée générale. Il ne tient pas compte de votre situation, n'a pas valeur de conseil professionnel, et son application relève de votre seule responsabilité. Avertissement et limites d'usage
1. Les signes qui doivent alerter Rarement une page noire avec une tête de mort
L'image du site défiguré existe, mais elle est devenue minoritaire. Un attaquant qui gagne de l'argent avec votre site n'a aucun intérêt à ce que vous vous en aperceviez : il veut que ça dure. Les vrais signes sont discrets.
1 Ce que vous voyez
- Des pages que vous n'avez pas créées, souvent dans une langue étrangère, vendant des médicaments ou des chaussures. C'est du spam SEO greffé sur votre nom de domaine.
- Une redirection qui n'apparaît que depuis un moteur de recherche, ou seulement sur téléphone. Vous, qui tapez l'adresse directement, ne voyez rien.
- Le navigateur ou le moteur qui affiche un avertissement à la place de votre site.
- Des comptes administrateurs que personne ne reconnaît.
- Un site brutalement lent, parce qu'il travaille pour quelqu'un d'autre.
2 Ce que d'autres vous signalent
- L'hébergeur qui prévient d'une activité anormale, ou qui a suspendu le compte.
- La console de recherche qui signale un contenu trompeur ou un piratage détecté.
- Vos courriels qui n'arrivent plus : le serveur a été utilisé pour envoyer du spam et se retrouve sur une liste noire.
- Un client qui vous dit avoir vu « quelque chose de bizarre ». À prendre au sérieux immédiatement.
- Une facture d'hébergement ou de service qui explose sans raison.
2. Les cinq premières minutes Ce qu'on fait, et surtout ce qu'on ne fait pas
✗ Les quatre réflexes à retenir
- Tout supprimer tout de suite. Vous effacez en même temps les traces qui disent par où c'est entré, et vous vous condamnez à recommencer dans trois semaines.
- Réinstaller par-dessus. Une réinstallation ne touche pas les fichiers ajoutés par l'attaquant, ni la porte dérobée cachée dans un dossier de contenu.
- Écraser la sauvegarde par une copie du site actuel. Erreur irréversible : vous remplacez votre seule version saine par une version compromise.
- Ne rien dire, en espérant que ça passe. S'il y a des données personnelles, l'horloge légale tourne déjà. Voir la section 9.
✓ Les quatre premiers gestes
- Noter l'heure et ce qui vous a alerté. Cette ligne servira pour tout le reste, y compris pour une éventuelle déclaration.
- Prendre une copie complète de l'état actuel, fichiers et base, avant de toucher à quoi que ce soit. C'est votre scène de crime, et elle ne se reconstitue pas.
- Vérifier que la dernière sauvegarde saine existe et la mettre à l'abri, hors du serveur.
- Respirer. Rien de ce qui suit ne se joue à la minute. Une décision prise en panique coûte plus cher que dix minutes de réflexion.
3. Constater sans détruire les traces Un quart d'heure qui évite la récidive
Avant de réparer, il faut savoir quand et comment. Sans ces deux réponses, vous ne saurez pas quelle sauvegarde est saine, et vous rouvrirez la même porte en remontant.
1 Les cinq endroits où regarder
- Les fichiers modifiés récemment, triés par date. C'est le signal le plus parlant : une poignée de fichiers modifiés à 3 h du matin un dimanche pose la date d'entrée.
- Les journaux d'accès du serveur, autour de cette date. Ils montrent l'adresse employée, le chemin appelé et le résultat.
- Les comptes utilisateurs du site : création récente, changement de rôle, dernière connexion.
- Les tâches planifiées : c'est là qu'on repose une porte dérobée qui se réinstalle toute seule après le nettoyage.
- Les fichiers de configuration, dont celui qui porte les identifiants de la base, à comparer avec ce que vous avez écrit.
Trois commandes qui répondent, en lecture seule
# Les fichiers modifiés depuis 7 jours, les plus récents en dernier find . -type f -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort # Les fichiers exécutables déposés dans les dossiers de contenu, # là où il ne devrait y avoir que des images et des documents find public/medias storage/uploads -name '*.php' # Ce qui a été appelé autour de la date suspecte grep '12/Mar/2026' /chemin/vers/access.log | tail -100
4. Isoler sans tout casser Décider ce qu'on coupe, et ce qu'on laisse
| Situation | Ce qu'on fait | Pourquoi |
|---|---|---|
| Le site sert du contenu frauduleux, ou redirige les visiteurs | Couper tout de suite Page de maintenance | Chaque minute expose vos visiteurs et abîme votre réputation auprès des moteurs. |
| Le serveur envoie du spam | Couper l'envoi de courriels, garder le site | Sinon le domaine finit sur des listes noires, et vos messages légitimes n'arrivent plus pendant des semaines. |
| Des données personnelles sont exposées | Couper tout de suite | L'exposition continue aggrave l'incident et votre responsabilité. |
| Une page anormale, sans effet visible sur les visiteurs | Laisser en ligne, traiter dans l'heure | Une coupure a un coût réel. Elle n'est pas automatique. |
| Une boutique en cours de commandes | Couper, et prévenir | Un paiement passé sur un site compromis est un problème d'une tout autre nature. |
Comment couper proprement
Une page de maintenance honnête, qui renvoie le bon code au moteur de recherche pour lui dire que c'est temporaire, plutôt qu'une erreur brute. Deux phrases suffisent : « notre site est momentanément indisponible pour une intervention technique, vous pouvez nous joindre au … ».
Laissez un moyen de contact visible. C'est le moment où vos clients ont le plus besoin de savoir que vous êtes là.
Changer le mot de passe, tout de suite ou après ?
Changez immédiatement ceux de l'hébergement, du panneau d'administration et de la base : cela referme l'accès le plus direct.
Gardez pour la section 8 la campagne complète, qui doit se faire après le nettoyage. Tout changer avant de remonter propre revient souvent à le refaire deux fois, puisque la porte dérobée est toujours là.
5. Par où c'est entré Six portes, et elles couvrent presque tout
| La porte | Ce qui se passe | Comment on le reconnaît |
|---|---|---|
| Une extension non mise à jour | Une faille publiée, un automate qui balaie le web, votre site trouvé en quelques heures. | La première cause Les journaux montrent un appel direct au fichier de l'extension. |
| Un identifiant volé | Connexion parfaitement normale, avec un compte valide. Rien de cassé. | Une connexion réussie depuis une adresse inhabituelle, sans tentative échouée avant. |
| Un mot de passe deviné | Des milliers de tentatives sur la page d'administration jusqu'à ce qu'une passe. | Des centaines d'échecs dans les journaux, puis un succès. |
| Un formulaire d'envoi de fichiers | Un fichier exécutable déposé là où le site n'attendait qu'une image. | Un fichier suspect dans le dossier des envois, avec la date d'entrée. |
| Le poste de travail compromis | Un programme malveillant sur votre ordinateur a lu les mots de passe enregistrés du logiciel de transfert. | Rien d'anormal côté serveur, et pourtant l'accès était légitime. |
| Un voisin sur le même hébergement | Un autre site du même compte, ou de la même machine mal cloisonnée, sert de tremplin. | Plusieurs sites touchés en même temps, y compris ceux à jour. |
6. Nettoyer, ou remonter propre ? La question qui décide de tout le reste
On ne nettoie pas un site compromis. On le reconstruit à partir d'une source sûre.
La raison tient en une phrase : vous ne pouvez pas prouver que vous avez tout trouvé. Un attaquant sérieux laisse plusieurs portes, dont au moins une dans un endroit où personne ne regarde.
Le nettoyage, et ses limites
Chercher et supprimer les fichiers ajoutés, retirer le code injecté, effacer les comptes inconnus. C'est tentant parce que c'est rapide.
Le problème : une seule porte dérobée oubliée dans un fichier de contenu, une tâche planifiée, une ligne dans la base, et tout revient dans les jours qui suivent. C'est le scénario le plus fréquent des sites « nettoyés » deux ou trois fois de suite.
Acceptable dans un seul cas : atteinte manifestement superficielle, site sans données sensibles, et pas de sauvegarde exploitable.
La remontée propre, et pourquoi elle gagne
On repart d'une base saine : les fichiers d'origine retéléchargés depuis leur source officielle, votre code depuis votre dépôt versionné, et une sauvegarde antérieure à la date d'entrée.
L'avantage décisif : vous savez ce qui tourne, parce que vous l'avez remis vous-même. Aucune place pour le doute, et le doute est ce qui coûte le plus cher pendant les semaines qui suivent.
Cela paraît plus long. En pratique c'est souvent plus court que trois nettoyages successifs.
7. La remontée propre, étape par étape Dans cet ordre, sans en sauter
Étape 1 : Repartir d'un espace vide
Nouveau dossier, ou nouvel hébergement si le doute porte sur le serveur lui-même. On ne remonte pas par-dessus l'existant : c'est exactement ce qui laisse survivre les fichiers ajoutés.
Étape 2 : Réinstaller le socle depuis la source officielle
Le CMS et ses extensions, retéléchargés depuis leur site d'origine, en version à jour. Jamais depuis une copie du serveur compromis, jamais depuis une archive trouvée ailleurs.
Étape 3 : Remettre votre code depuis le dépôt
Thème, développements spécifiques, réglages. Comparez avec ce qui tournait : les écarts sont soit vos oublis de versionnement, soit les ajouts de l'attaquant.
Étape 4 : Restaurer les données, et les inspecter
La base depuis une sauvegarde antérieure à la date d'entrée. Puis un contrôle : comptes administrateurs, contenus contenant du code, options modifiées.
Étape 5 : Reprendre les fichiers déposés, avec précaution
Images et documents des visiteurs, c'est ce qui ne se retrouve nulle part ailleurs. On les copie sans aucun fichier exécutable, en filtrant par extension.
Étape 6 : Contrôler avant de rouvrir
Le site s'affiche correctement, le certificat SSL est valide, aucun fichier inconnu, les tâches planifiées sont celles que vous avez écrites, et une recherche des motifs suspects dans les contenus ne ramène rien.
Étape 7 : Rouvrir, et surveiller de près
Deux semaines de vigilance : journaux, fichiers modifiés, courriels sortants. Une compromission qui revient se manifeste presque toujours dans les dix premiers jours.
8. Changer tout ce qui doit l'être Après le nettoyage, et dans cet ordre
Changer les accès avant d'avoir refermé la porte ne sert à rien : l'attaquant est encore dedans et lira les nouveaux. Une fois le site propre, la campagne se fait d'un bloc, en une heure.
1 La liste complète
- Le compte d'hébergement et son panneau d'administration
- Les accès de transfert de fichiers et les clés de connexion au serveur
- Le mot de passe de la base de données, et le fichier de configuration qui le porte
- Tous les comptes du site, en commençant par les administrateurs
- Le compte du bureau d'enregistrement du nom de domaine
- Les clés d'accès aux services tiers appelés par le site
- La messagerie liée au domaine, si elle vit sur le même compte
2 Les trois gestes qu'on oublie
- Déconnecter toutes les sessions actives partout. Un mot de passe changé ne déconnecte pas forcément celui qui est déjà entré.
- Vérifier les règles de transfert de la messagerie, et les adresses de récupération des comptes. C'est ce qu'on installe pour revenir après le ménage.
- Révoquer les clés plutôt que de les changer : une clé de connexion ajoutée par l'attaquant reste valide tant qu'elle figure dans la liste des clés autorisées.
9. Les obligations légales Quand des données personnelles sont en jeu
Dès qu'un site détient des données personnelles, un formulaire de contact suffit, une compromission déclenche des obligations. Elles ne sont pas là pour punir : elles existent pour que les personnes concernées puissent se protéger.
1 Notifier l'autorité de contrôle
En France et en Europe, le règlement impose de notifier une violation de données à l'autorité de contrôle, la CNIL, dans les 72 heures, dès lors qu'elle présente un risque pour les droits et libertés des personnes.
Le délai part du moment où vous avez une certitude raisonnable qu'un incident a eu lieu et qu'il touche des données personnelles, pas du moment où vous avez fini l'enquête.
Le point qui rassure : la notification peut se faire en deux temps. Mieux vaut déclarer dans les 72 heures avec des éléments partiels, quitte à compléter ensuite, que d'attendre d'avoir tout compris. La déclaration se fait en ligne sur le site de la CNIL.
2 Informer les personnes concernées
Si la violation présente un risque élevé pour les personnes, il faut les prévenir directement. C'est le cas quand des mots de passe, des coordonnées bancaires ou des données sensibles ont pu être lus.
Une exception existe si les données étaient chiffrées de manière à rester incompréhensibles pour qui les aurait obtenues.
Et dans tous les cas, l'incident se documente en interne : ce qui s'est passé, quand, quelles données, quelles mesures prises. C'est exigible, et c'est aussi ce qui vous servira à ne pas recommencer.
Où trouver de l'aide, gratuitement
- 17Cyber, le service public d'assistance en ligne : quelques questions pour qualifier l'incident, des conseils adaptés, et un accompagnement par un policier ou un gendarme quand la situation le justifie. Accessible aux entreprises comme aux particuliers.
- Cybermalveillance.gouv.fr, qui publie des fiches réflexes par type d'incident et met en relation avec des prestataires labellisés, cette dernière prestation étant payante.
- Le dépôt de plainte, au commissariat, à la gendarmerie ou par écrit auprès du procureur de la République. Il est souvent exigé par les assureurs, et il ne coûte que le temps de le faire.
10. Ce qu'on dit, et comment on le dit La communication qui préserve la confiance
L'instinct pousse à minimiser, à attendre, à espérer que personne ne remarque. C'est le calcul le plus coûteux : une compromission connue et bien communiquée s'oublie, une compromission découverte par les clients eux-mêmes reste attachée à votre nom.
1 Les cinq éléments d'un message honnête
- Ce qui s'est passé, en une phrase et sans jargon.
- Ce qui a pu être exposé, et surtout ce qui ne l'a pas été, si vous en êtes sûr.
- Ce que vous avez fait : coupé, nettoyé, changé les accès, remis en ligne.
- Ce que la personne doit faire, concrètement : changer son mot de passe, surveiller ses relevés.
- À qui écrire pour poser une question, avec une vraie adresse relevée par un humain.
2 Les trois choses à ne pas faire
- Affirmer plus que ce que vous savez. « Aucune donnée n'a été consultée » est une phrase qu'on ne peut presque jamais prouver, et qu'on devra parfois reprendre.
- Noyer dans le vocabulaire technique. Un message que le destinataire ne comprend pas est lu comme une manœuvre.
- Attendre d'avoir tout compris. Un message d'étape vaut mieux qu'un silence de deux semaines.
11. Empêcher la récidive Huit mesures, classées par rentabilité
| Mesure | Effort | Coût | Ce que ça bloque |
|---|---|---|---|
| Mettre à jour, et automatiquement | Une heure | 0 € | La première cause d'intrusion |
| Double authentification sur l'administration | 15 min | 0 € | Les identifiants volés et devinés. |
| Sauvegardes automatiques et testées | Une heure | 0 à 3 €/mois | Ne bloque rien, mais transforme la catastrophe en incident. |
| Supprimer ce qui ne sert plus | 30 min | 0 € | Les extensions abandonnées, jamais mises à jour et toujours présentes. |
| Un compte par personne, droits minimaux | 30 min | 0 € | La propagation, et l'accès qui survit à un départ. |
| Limiter les tentatives de connexion | 10 min | 0 € | Les attaques par essais répétés. |
| Interdire l'exécution dans les dossiers d'envoi | 15 min | 0 € | Le dépôt de fichier malveillant, quatrième porte de la section 5. |
| Un pare-feu applicatif | Variable | Payant | Une partie des attaques connues. Utile, mais après les sept lignes précédentes. |
12. Le kit de crise, préparé à froid Une page, écrite quand tout va bien
Tout ce qui précède suppose des informations que vous n'aurez pas sous la main un dimanche soir. Cette page se rédige en vingt minutes, une fois, et se range avec vos sauvegardes.
1 Ce qu'elle contient
- Où est l'hébergement, le numéro du support, et le numéro de client
- Où est le nom de domaine, et où est la messagerie
- Où sont les sauvegardes, jusqu'à quelle profondeur, et comment on restaure
- Où est le dépôt du code
- La liste des comptes ayant un accès, et qui les détient
- Les services tiers appelés, et où sont leurs clés
- Qui prévenir, dans quel ordre : le client, l'assureur, l'expert-comptable si des données de facturation sont en jeu
- Si des données personnelles sont traitées : lesquelles, et pour qui
2 Le contrôle qui vaut tout le reste
Une fois par an, restaurez une sauvegarde pour de vrai, sur un environnement séparé, et chronométrez. C'est le seul contrôle qui prouve quelque chose, et il transforme la section 7 de ce mémo en formalité.
Une sauvegarde jamais restaurée n'est pas une sauvegarde : c'est une intention, et on ne remonte pas un site avec une intention.
Les sept règles qui résument ce mémo
- Ce n'est pas votre faute, et se le reprocher retarde la réparation.
- On copie l'état actuel avant de toucher à quoi que ce soit.
- On n'écrase jamais une sauvegarde par une copie du site compromis.
- On cherche par où c'est entré avant de réparer, sinon on rouvre la même porte.
- On ne nettoie pas, on remonte propre à partir d'une source sûre.
- Les accès se changent après le nettoyage, jamais avant, et d'un seul bloc.
- S'il y a des données personnelles, l'horloge des 72 heures tourne déjà.
Mémo publié par NET&PRO à titre pédagogique. Information générale, sans garantie d'exactitude, d'exhaustivité ni d'actualité, et sans valeur de conseil personnalisé. Avertissement et limites d'usage
Dans le glossaire
Les mots croisés au fil de ce mémo, définis en une phrase. Ils sont soulignés dans le texte : un clic y mène directement.
Mémos liés
Mots de passe et accès de A à Z
Comment un mot de passe se casse vraiment, ce qui fait qu'il tient, à quoi sert un gestionnaire et lequel choisir sans rien payer.
Lire le mémoLes sauvegardes de A à Z
Quoi sauvegarder, où, à quelle fréquence, comment automatiser et chiffrer, et le seul contrôle qui prouve que ça marche : restaurer pour de vrai.
Lire le mémoProtéger sa connexion sans abonnement
Ce qu’un VPN chiffre vraiment, le prix des services sérieux au 1er octobre 2026, et un montage Headscale à zéro euro de logiciel pour qui a déjà un serveur.
Lire le mémoSur le blog
Si vous préférez me le confier
Sur ce sujet, voici ce que je fais pour mes clients. Les formules disent ce qui est compris, ce qui ne l'est pas, et ce que ça coûte au bout de trois ans.