Mon site a été piraté : oubliez les 7 étapes génériques, voici l'ordre réel que les experts appliquent en crise
En bref
Face à un site piraté, l'ordre des opérations détermine la vitesse de récupération et l'impact SEO final.
- Isoler avant de couper l'accès pour préserver les preuves
- Vérifier trois fichiers précis avant tout nettoyage
- Signaler la remédiation à Google Search Console sous 72 heures
Mon site a été piraté, que faire dans l'ordre : c'est la question que se pose tout propriétaire de site au moment où il découvre des pages inconnues, des redirections vers des sites de jeux d'argent ou une alerte Google Search Console. La réponse tient en une séquence précise, pas en une liste d'actions vagues. L'ANSSI recense une hausse continue des compromissions de sites web en France, et la majorité des victimes commettent la même erreur : elles agissent dans le désordre, effacent des preuves utiles et perdent un temps précieux sur le référencement. Voici la marche à suivre, sans détour marketing.
Les 48 premières heures : ce que 90% des propriétaires font mal
La première étape n'est pas de tout couper. C'est documenter, contenir, puis seulement isoler. Nous constatons régulièrement que les propriétaires paniqués suppriment des fichiers ou réinstallent leur CMS avant même d'avoir compris l'ampleur de l'attaque, ce qui rend l'audit forensique impossible ensuite.
Arrêter l'hémorragie sans tuer votre site
Le mode maintenance limite l'exposition sans effacer les traces de l'attaquant. Un htaccess de blocage temporaire ou un mot de passe au niveau serveur suffit pour empêcher la propagation du piratage vers vos visiteurs, tout en gardant le site accessible pour votre diagnostic.
Pourquoi isoler le site n'est PAS l'étape 1
Isoler trop vite détruit les logs de connexion récents et les fichiers temporaires que le pirate a pu laisser. L'étape réelle numéro un consiste à figer l'état du site, capturer une image complète des fichiers et de la base de données avant toute intervention corrective.
Documenter les preuves avant toute action, la vraie priorité
Audit forensique accéléré : identifier la porte d'entrée en 2 heures
Un site piraté cache toujours une origine précise. L'attaque n'est jamais aléatoire : elle exploite une faille identifiable dans les logs d'accès de l'hébergeur, dans les fichiers de configuration ou dans un plugin obsolète.
Scanner les logs d'accès comme un enquêteur, pas comme un admin
Les logs révèlent des requêtes suspectes vers des chemins comme wp-admin, xmlrpc.php ou des scripts inconnus à la racine. Repérez les adresses IP qui multiplient les tentatives de connexion sur une courte période, souvent en dehors des horaires d'activité normale du site.
Les trois fichiers qu'il faut vérifier en premier
Les pirates dissimulent leurs scripts dans trois emplacements récurrents : le fichier .htaccess, les fichiers de thème actifs et les dossiers uploads censés ne contenir que des images. Un fichier .php planqué dans un dossier d'images constitue le signal le plus fréquent d'une porte dérobée active.
Malware ou intrusion brute force ? Deux méthodes radicalement différentes
Un malware injecté nécessite un nettoyage fichier par fichier avec comparaison à une version saine. Une intrusion par force brute sur les identifiants exige en priorité un changement complet des mots de passe hébergement, FTP et base de données, avant même de toucher au code.
La stratégie de communication en temps de crise : ce que Google ne vous dira pas
Google Search Console alerte rarement en temps réel. Le décalage entre l'infection réelle et la détection par Google peut atteindre plusieurs jours, période durant laquelle votre contenu piraté continue d'être indexé et vu par vos visiteurs.
Notifier vos visiteurs sans amplifier la catastrophe
Un bandeau discret en mode maintenance suffit. Éviter la panique publique protège votre image sans dissimuler l'incident : la transparence mesurée reste la meilleure option face à des clients qui remarqueraient de toute façon l'indisponibilité du site.
Les trois messages à envoyer à votre hébergeur
Premier message : signalement de la compromission avec captures d'écran des fichiers suspects. Deuxième message : demande de logs d'accès complets sur les 30 derniers jours. Troisième message : demande de vérification des autres sites hébergés sur le même serveur mutualisé, car une contamination croisée reste fréquente.
Quand un expert externe devient plus rentable qu'une restauration en DIY
Passé un certain niveau de complexité, le temps perdu à chercher la faille dépasse largement le coût d'un audit professionnel. Nous recommandons de faire appel à un expert dès que le site gère des données de paiement ou dépasse dix mille visites mensuelles.
Restauration intelligente : sauvegarde propre ou reconstruction zéro
Restaurer une sauvegarde infectée reproduit le problème à l'identique. C'est l'erreur la plus commune après un piratage : croire qu'une sauvegarde récente est automatiquement saine.
Votre sauvegarde est peut-être infectée aussi
Quand une restauration complète coûte moins cher qu'un nettoyage fichier par fichier
Sur un site vitrine simple, reconstruire à partir d'une sauvegarde antérieure à l'infection revient souvent moins cher en temps qu'un nettoyage ligne par ligne. Sur un site e-commerce avec des commandes récentes, le nettoyage ciblé reste indispensable pour ne pas perdre de données clients.
WordPress, Prestashop, Drupal : trois chemins de récupération incomparables
WordPress permet une réinstallation du core séparée du contenu, ce qui simplifie la restauration partielle. Prestashop mélange davantage logique métier et fichiers système, rendant la reconstruction plus délicate. Drupal, avec son système de modules, exige une vérification manuelle de chaque extension activée avant remise en ligne.
Refermer la faille : la vulnérabilité spécifique que vous avez
Nettoyer sans corriger la faille garantit une réinfection sous 48 heures dans la majorité des cas observés par les équipes de sécurité spécialisées.
Plugin obsolète, FTP faible ou base SQL mal configurée
Les extensions non mises à jour représentent la cause la plus fréquente de compromission sur les CMS open source. Un accès FTP transmis en clair sans SFTP, ou une base de données accessible depuis l'extérieur, constituent les deux autres vecteurs d'entrée classiques.
Pourquoi un audit post-piratage révèle souvent trois failles, pas une
Vérifier l'absence de portes dérobées et d'accès cachés
Un attaquant crée souvent un second compte administrateur discret, invisible dans la liste principale des utilisateurs si elle n'est pas triée par date de création. Vérifiez également les tâches planifiées (cron jobs) qui peuvent réinjecter du code malveillant à intervalles réguliers.
Le vrai coût invisible : impact SEO et signalement Google
Un site piraté perd en moyenne une part significative de son trafic organique dans les semaines suivant la détection par Google, selon les retours d'expérience collectés sur des cas similaires en France.
Votre site sera déclassé, mais pas éternellement
Google Safe Browsing peut afficher un avertissement de sécurité aux visiteurs, ce qui fait chuter le trafic quasi immédiatement. Cette pénalité disparaît généralement dans les jours suivant une remédiation validée par Google Search Console.
Comment signaler la récupération à Google Search Console
Rendez-vous dans la section Sécurité et actions manuelles de Google Search Console, documentez le nettoyage effectué et soumettez une demande de réexamen. Ce réexamen prend généralement plusieurs jours ouvrés avant validation complète.
Malware manual action vs algorithmic penalty : dans quel camp êtes-vous ?
Une action manuelle apparaît explicitement dans Search Console avec un motif détaillé. Une pénalité algorithmique se traduit uniquement par une chute de trafic sans notification, ce qui exige une analyse comparative des positions avant et après l'incident pour confirmer le lien de cause à effet.
Durci durable : 90 jours d'actions post-crise
La sécurité ne se referme pas en un jour. Elle se construit sur trois mois d'ajustements progressifs après l'incident initial.
Deux facteurs obligatoires et trois couches optionnelles de sécurité
Avantages
- Authentification à deux facteurs sur tous les comptes administrateurs
- Mots de passe uniques générés par gestionnaire dédié
- Pare-feu applicatif WAF en couche additionnelle
Inconvénients
- Coût d'un WAF premium pour petites structures
- Complexité de gestion multi-utilisateurs
- Temps de formation des équipes internes
Surveillance continue sans paranoïa : outils et seuils d'alerte réalistes
Un scanner de fichiers hebdomadaire suffit pour la majorité des sites vitrines. Les sites à fort trafic gagnent à programmer une surveillance quotidienne automatisée avec alerte immédiate en cas de modification de fichier système non planifiée.
Mon site a été piraté que faire dans l'ordre : la synthèse qui compte
La séquence complète tient en six mouvements : documenter, isoler, auditer les logs, nettoyer selon le type d'attaque, refermer la faille identifiée, puis signaler à Google Search Console. Respecter cet ordre précis évite de perdre des preuves, de réinfecter une sauvegarde ou de prolonger inutilement le déclassement SEO. Un site piraté correctement traité retrouve son trafic organique en quelques semaines, à condition de ne sauter aucune étape.
FAQ : les vraies questions que vous vous posez
Combien de temps faut-il réellement pour réparer un site piraté ?
Un nettoyage ciblé sur une faille unique se règle en quelques heures. Une compromission profonde avec portes dérobées multiples peut nécessiter plusieurs jours d'intervention, notamment sur des sites e-commerce avec base de données volumineuse.
Faut-il porter plainte ou signaler à Cybermalveillance.gouv.fr ?
Cybermalveillance.gouv.fr propose un service d'assistance et d'orientation vers des prestataires référencés. Le dépôt de plainte reste recommandé en cas de vol de données personnelles, notamment pour répondre aux obligations liées au RGPD auprès de la CNIL.
Mes clients vont-ils abandonner après un piratage ?
Une communication transparente et rapide limite fortement le risque de perte de confiance. Les clients réagissent davantage à l'absence de réponse qu'à l'incident lui-même.
Puis-je récupérer seul mon site ou faut-il embaucher un expert ?
Un site vitrine simple avec sauvegarde propre se restaure généralement en autonomie. Un site avec base de données clients ou paiements en ligne justifie l'intervention d'un professionnel pour garantir l'absence de porte dérobée résiduelle.
Combien coûte en moyenne la réparation par un professionnel ?
Le tarif varie fortement selon la complexité de l'infection et la taille du site, allant d'une intervention ponctuelle à un contrat de maintenance incluant surveillance continue.
Mon hébergeur est-il responsable légalement en cas de piratage ?
L'hébergeur garantit la sécurité de l'infrastructure serveur, pas celle du code applicatif du site. La responsabilité de la mise à jour du CMS et des plugins reste celle du propriétaire du site, sauf contrat de maintenance spécifique.
Comment savoir si une agence de nettoyage est fiable ?
Une agence sérieuse fournit un rapport d'audit détaillé listant les failles identifiées, pas seulement une facture de nettoyage. Vérifiez également qu'elle propose un suivi post-intervention d'au moins 30 jours.
