Si votre site web a été piraté
Découvrir que son site a été piraté est stressant, mais la situation se répare. La plupart des sites piratés se nettoient en suivant un ordre précis : bloquer les attaquants, garder une copie pour l’enquête, nettoyer ou restaurer, mettre à jour, puis empêcher que cela se reproduise. Ce guide s’adresse aux propriétaires de sites qui pensent que leur site a été compromis, quel que soit le logiciel utilisé.
Signes qu’un site a été piraté
- Défiguration : la page d’accueil ou d’autres pages affichent un contenu que vous n’y avez pas mis.
- Redirections vers du spam : les visiteurs, souvent seulement ceux qui arrivent depuis un moteur de recherche ou sur téléphone, sont envoyés vers des sites sans rapport.
- Administrateurs inconnus dans votre application web, ou utilisateurs inconnus dans vos comptes d’hébergement ou FTP.
- Avertissements du navigateur ou des moteurs de recherche, comme « Site trompeur en vue », ou des résultats de recherche qui affichent des titres de spam pour vos pages.
- Fichiers suspects dans votre compte d’hébergement, comme des fichiers PHP aux noms aléatoires dans les dossiers de téléversement.
- Spam envoyé depuis votre domaine, ou une hausse soudaine des messages rejetés.
- Un avis de votre hébergeur signalant la découverte d’un logiciel malveillant ou l’envoi de trafic abusif depuis votre compte.
Si vous constatez l’un de ces signes, agissez tout de suite au lieu d’attendre d’en être certain.
Étape 1 : sécuriser vos comptes
Changez chaque mot de passe lié au site, depuis un appareil de confiance que vous savez sain. Utilisez un mot de passe nouveau et unique pour chacun.
- Compte d’hébergement : le compte que vous utilisez pour vous connecter chez votre hébergeur.
- Comptes SFTP et FTP : chaque compte de transfert de fichiers, y compris les anciens que vous n’utilisez plus. Supprimez ces derniers.
- Utilisateurs de base de données : changez le mot de passe, puis mettez-le à jour dans le fichier de configuration de votre site pour qu’il puisse toujours se connecter.
- Comptes administrateur du site : chaque administrateur de votre application web. Supprimez ceux que vous ne reconnaissez pas.
- Comptes e-mail du domaine, en particulier si du spam a été envoyé depuis eux.
- Connexion en deux étapes : activez-la partout où elle est proposée. Consultez Protéger votre compte d’hébergement.
Étape 2 : garder une copie de l’état piraté
Avant de modifier des fichiers, faites une sauvegarde complète du site actuel : fichiers et bases de données. Stockez-la à part et indiquez clairement qu’elle est infectée. Ne la restaurez pas plus tard. Elle sert à l’enquête : elle vous aide, vous, votre hébergeur ou un professionnel de la sécurité, à découvrir comment l’attaquant est entré, pour combler cette faille.
Étape 3 : nettoyer le site
Restaurer une sauvegarde saine, si vous en avez une
Le nettoyage le plus rapide consiste à restaurer une sauvegarde faite avant le début de l’infection. Choisissez-en une datant de quelques jours avant les premiers signes de problème, car les attaques restent souvent silencieuses avant de se manifester. Après la restauration, votre contenu sera tel qu’il était à cette date : notez les modifications que vous devrez refaire.
Un site restauré présente toujours la faiblesse qui a permis à l’attaquant d’entrer : poursuivez donc avec les étapes ci-dessous.
Si vous n’avez pas de sauvegarde saine
- Réinstallez les fichiers principaux de votre application web depuis la source officielle, dans la même version ou la plus récente. Conservez votre fichier de configuration et vos fichiers téléversés, mais vérifiez-les.
- Réinstallez les extensions, thèmes et modules depuis leurs sources officielles. Supprimez ceux que vous n’utilisez pas et ceux qui ne sont plus maintenus.
- Recherchez les fichiers inconnus, en particulier les fichiers PHP dans des dossiers censés contenir uniquement des images ou des fichiers téléversés, et les fichiers modifiés récemment que vous n’avez pas touchés.
- Vérifiez la base de données à la recherche d’administrateurs inconnus, ainsi que de scripts injectés ou de liens de spam dans les articles, les pages et les réglages.
- Vérifiez les fichiers
.htaccesset les autres fichiers de configuration du serveur à la recherche de règles de redirection que vous n’avez pas ajoutées. - Vérifiez les tâches planifiées (tâches cron) à la recherche de commandes que vous ne reconnaissez pas.
Si le site est complexe ou si l’infection revient sans cesse, envisagez de faire appel à un professionnel de la sécurité pour le nettoyer.
Étape 4 : tout mettre à jour
Les attaquants entrent généralement par un logiciel obsolète ou un mot de passe réutilisé. Mettez à jour votre application web et chaque extension, thème et module, et choisissez une version de PHP prise en charge. Supprimez tout ce dont vous n’avez pas besoin : un logiciel inutilisé peut quand même être attaqué.
Étape 5 : demander un réexamen si votre site a été signalé
Si les navigateurs ou les résultats de recherche avertissent les visiteurs au sujet de votre site, connectez-vous à Google Search Console et ouvrez le rapport sur les problèmes de sécurité. Il liste ce qui a été trouvé et sur quelles pages. Une fois le site nettoyé, demandez-y un réexamen. Les autres moteurs de recherche et services de sécurité ont leurs propres procédures de réexamen ; vérifiez chacun de ceux qui vous ont signalé.
Les avertissements restent en place tant qu’un réexamen n’a pas confirmé que le site est sain. Ne demandez un réexamen qu’une fois le nettoyage terminé et après avoir vérifié les pages listées dans le rapport.
Éviter que cela se reproduise
- Tenez à jour votre application web, vos extensions et vos thèmes, et activez les mises à jour automatiques lorsque c’est sans risque.
- Utilisez des mots de passe forts et uniques et la connexion en deux étapes pour chaque compte.
- Donnez à chaque personne son propre compte, avec uniquement les accès dont elle a besoin.
- N’installez des extensions et des thèmes que depuis des sources officielles ou de confiance, jamais de copies piratées.
- Faites des sauvegardes régulières et conservez-en certaines en dehors du compte d’hébergement.
- Utilisez SFTP plutôt que le FTP simple pour téléverser vos fichiers.
- Ne réglez jamais les permissions de fichiers sur
777. Utilisez les permissions recommandées par votre application web.
L’hébergement web DomainPilot dispose d’un pare-feu applicatif web et d’une analyse antimalware activés. L’hébergement WordPress comprend un pare-feu applicatif web sur toutes les offres, ainsi que l’analyse et la suppression des logiciels malveillants à partir de l’offre WP Grow. Si vous pensez que votre site a été piraté, contactez l’assistance DomainPilot.