Mon site a été piraté : la marche à suivre en 7 étapes

Étapes 1 et 2 : contenir et conserver les preuves

Commencez par limiter les dégâts pour vos visiteurs et votre réputation : passez le site en maintenance ou coupez-en l'accès public le temps du diagnostic. Un site compromis qui reste en ligne continue de distribuer du contenu malveillant, d'envoyer du spam et de creuser sa sanction chez Google. Si l'hébergeur a déjà suspendu le compte, ne demandez pas la réactivation avant d'avoir nettoyé : elle vous serait retirée aussitôt.

Avant toute modification, faites une copie complète de l'état actuel — fichiers et base de données — et rangez-la hors du serveur. C'est votre référence pour comprendre ce qui s'est passé, la preuve nécessaire si des données personnelles ont fuité, et le filet de sécurité en cas de nettoyage trop agressif. Récupérez également les journaux d'accès et d'erreur du serveur : ils datent l'intrusion et révèlent souvent le point d'entrée.

Changez ensuite tous les mots de passe, sans exception : administration du CMS, FTP/SFTP, base de données, panneau d'hébergement, boîtes e-mail associées, comptes des autres administrateurs. Et activez la double authentification là où c'est possible. Tant que l'attaquant garde un accès valide, tout nettoyage est vain.

Étapes 3 et 4 : comprendre puis nettoyer

Cherchez le point d'entrée avant de nettoyer, sinon vous rouvrirez la porte en remettant le site en ligne. Les suspects habituels sont peu nombreux : une extension ou un thème obsolète comportant une vulnérabilité connue, un mot de passe d'administration faible ou réutilisé, un fichier de configuration exposé publiquement, ou un poste de travail infecté d'où les identifiants FTP ont été volés. Les journaux d'accès autour de la date des fichiers modifiés désignent souvent la requête coupable.

Pour le nettoyage, la réinstallation propre bat la chasse aux fichiers. Sur un CMS, remplacez le cœur, les thèmes et les extensions par des copies fraîches téléchargées depuis les sources officielles, en ne conservant que vos fichiers de contenu et votre base. Cherchez ensuite dans la base les injections courantes : scripts insérés dans les articles ou les options, comptes administrateurs inconnus, tâches planifiées suspectes.

Passez en revue ce qui subsiste : fichiers PHP dans les répertoires d'envoi de fichiers (aucun n'a rien à y faire), code obfusqué en base64 ou appels à eval, fichiers récemment modifiés à des heures incohérentes, portes dérobées déguisées en fichiers légitimes. Si le doute persiste après plusieurs passes, la reconstruction depuis une sauvegarde antérieure à l'intrusion, suivie des mises à jour, reste la voie la plus sûre.

Étapes 5 et 6 : refermer la faille et remettre en ligne

Mettez à jour le cœur du CMS, les thèmes et toutes les extensions ; supprimez purement et simplement ceux qui ne sont plus maintenus, ainsi que tout ce qui est installé mais inutilisé — chaque extension dormante reste une surface d'attaque. Vérifiez que les fichiers sensibles ne sont plus accessibles publiquement : .env, .git, sauvegardes .sql ou .zip laissées à la racine sont des points d'entrée classiques, et sont activement recherchés par des robots.

Profitez de la remise à plat pour poser les protections qui limitent la portée d'une prochaine intrusion : en-têtes de sécurité, politique CSP stricte, cookies marqués Secure et HttpOnly, masquage des versions logicielles, désactivation des méthodes HTTP inutiles. Aucune ne remplace les mises à jour, mais ensemble elles réduisent nettement ce qu'un attaquant peut faire d'une faille.

Ne remettez en ligne qu'après un audit de contrôle. Un scan externe vous confirme, depuis le point de vue d'un visiteur, qu'aucun fichier sensible n'est exposé, que le certificat et les redirections sont corrects, que les en-têtes sont en place et qu'aucune bibliothèque JavaScript vulnérable n'a été réintroduite par une réinstallation.

Étape 7 : sortir des listes noires et gérer les suites

Si Google a signalé le site, la levée n'est pas automatique : il faut demander un examen depuis la Search Console, en décrivant précisément le nettoyage effectué. Vérifiez aussi votre domaine et vos adresses IP d'envoi auprès des listes noires de messagerie si le site a servi à envoyer du spam, faute de quoi vos e-mails légitimes continueront d'arriver en spam pendant des semaines.

Enfin, la dimension légale : si des données personnelles de vos utilisateurs ont pu être consultées ou exfiltrées, le RGPD impose de notifier la CNIL dans les 72 heures suivant la découverte, et d'informer les personnes concernées lorsque le risque est élevé pour elles. Documentez ce que vous savez — période d'exposition, catégories de données concernées, mesures prises — pendant que les informations sont fraîches. Un dépôt de plainte est également possible et parfois exigé par les assurances.