Récupérer un site piraté : le guide complet pour reprendre la main sur votre site web

La documentation de Google reconnaît que les délinquants compromettent des milliers de sites chaque jour. Ce guide parcourt tout le processus de remise en état — des premiers signes jusqu’à la protection contre une nouvelle attaque.

Imaginez la scène : vous ouvrez votre site web et, à la place de la page d’accueil familière, vous tombez sur un avertissement de logiciel malveillant, une redirection vers un site douteux ou simplement une page blanche remplie de code illisible. Le scénario n’a rien de théorique : la documentation de Google consacrée aux sites piratés s’ouvre sur le constat que les délinquants compromettent des milliers de sites chaque jour. Que votre site soit un petit blog personnel, le site vitrine d’une entreprise locale ou une grosse boutique en ligne, le risque existe toujours, et récupérer un site piraté commence bien plus tôt que la plupart des propriétaires ne l’imaginent — la vitesse et la justesse de votre réaction décident si votre présence en ligne est rétablie en quelques jours ou si vous perdez une réputation bâtie sur des mois, la confiance de vos clients et votre positionnement dans les moteurs de recherche.

Nous parcourons ici l’ensemble du processus en détail — des premiers signes de compromission jusqu’à la stratégie de sécurité de long terme qui évite la récidive. Nous abordons aussi bien le versant technique que les gestes concrets à la portée de n’importe quel propriétaire de site, même sans connaissances approfondies en développement.

Comment savoir que votre site web a été piraté

L’une des plus grandes difficultés pour un propriétaire de site tient à ce qu’un piratage n’a rien d’évident : beaucoup d’attaques sont délibérément conçues pour passer inaperçues le plus longtemps possible, parce qu’il est plus rentable pour l’attaquant de consommer discrètement les ressources de votre serveur, de diffuser un logiciel malveillant par votre intermédiaire ou d’injecter des liens dissimulés et du contenu de spam qui améliore le positionnement de ses propres sites. Plusieurs signes méritent malgré tout une attention immédiate, car ils indiquent souvent que votre site a été compromis.

Le premier et le plus visible, ce sont les avertissements du navigateur ou du moteur de recherche : quand Google Chrome ou un autre navigateur affiche à la place de votre site un écran rouge qui, tout simplement, ne laisse plus passer le visiteur, cela signifie presque toujours que Google Safe Browsing a détecté un contenu malveillant sur vos pages. Le texte exact de cet avertissement varie selon qu’un logiciel malveillant ou un contenu d’ingénierie sociale a été trouvé, et selon la langue du navigateur, si bien que chercher une formule précise n’a pas grand intérêt. Un tel avertissement fait fuir les visiteurs à l’instant — une barrière plein écran se dresse entre eux et votre contenu —, ce qui en fait l’une des conséquences les plus lourdes d’un piratage. De la même manière, la mention « Il est possible que ce site ait été piraté » peut apparaître sous votre adresse dans les résultats de Google, avec un effet marqué sur le taux de clic et sur la confiance des internautes.

Le deuxième signe fréquent, ce sont les redirections inattendues : si vos visiteurs se retrouvent automatiquement envoyés vers d’autres pages, en particulier vers des sites douteux remplis de publicités, de produits pharmaceutiques ou de contenus pour adultes, le signal est clair — du code malveillant chargé d’opérer ces redirections a été injecté dans votre site. Ces redirections sont souvent réglées pour ne se déclencher que sur certains profils, uniquement sur mobile par exemple, ou uniquement pour les visiteurs venus d’un moteur de recherche, ce qui complique encore la détection, puisque l’administrateur qui ouvre la page directement ne voit rien d’anormal.

Le troisième signe, souvent négligé, tient aux changements inhabituels dans le contenu : si des éléments que vous n’avez pas créés apparaissent soudain sur vos pages — des liens vers des sites inconnus, de nouveaux comptes utilisateurs dans l’administration, des fichiers étrangers dans les dossiers du serveur ou des modifications de fichiers existants —, tout cela pointe vers un accès non autorisé. Les cas les plus dangereux sont ceux où l’attaquant crée sur votre site des pages dissimulées, optimisées pour les moteurs de recherche et bourrées de contenu de spam : cette tactique, que le métier appelle « spam SEO » et Google le piratage par mots-clés dissimulés, peut nuire longtemps à la réputation de votre site aux yeux des moteurs, même si vous ne voyez jamais ces pages vous-même, puisqu’elles ne sont servies qu’aux robots d’indexation.

Le quatrième signe touche aux performances du serveur : si votre site devient soudain nettement plus lent, si le serveur tombe régulièrement ou si votre hébergeur vous adresse des avis de consommation excessive de ressources, cela peut vouloir dire que des attaquants se servent de votre machine à leurs propres fins — minage de cryptomonnaie, envoi de spam ou attaques contre d’autres sites. Dans ces situations, l’hébergeur peut même suspendre votre compte, ce qui rend votre site totalement inaccessible.

Les types de piratage les plus courants et les vulnérabilités qui les rendent possibles

Pour remettre efficacement un site compromis en état et éviter la récidive, il faut comprendre par où l’attaquant entre dans votre système, faute de quoi vous risquez de traiter les conséquences et non la cause, et le site peut être piraté de nouveau quelques jours ou quelques semaines après le nettoyage. Les statistiques de cybersécurité montrent que la majorité des piratages ne sont pas des attaques sophistiquées et ciblées, mais des processus automatisés dans lesquels des robots balaient des millions de sites à la recherche de vulnérabilités connues et les exploitent dès qu’ils en trouvent une.

L’injection SQL reste l’une des techniques d’attaque les plus répandues et les plus dangereuses : elle permet à un attaquant de manipuler la base de données de votre site en glissant des requêtes SQL malveillantes dans des champs de saisie — formulaires de connexion, barres de recherche ou paramètres d’URL. Si le code de votre site insère directement les données fournies par l’utilisateur dans ses requêtes SQL sans validation ni requêtes préparées, l’attaquant peut contourner l’authentification et lire, modifier ou supprimer des données sensibles : mots de passe, informations personnelles, données financières. L’injection SQL est d’autant plus redoutable qu’elle peut donner le contrôle complet de la base de données, et dans certains cas de tout le serveur, si l’utilisateur de la base dispose de droits trop larges.

Le cross-site scripting (XSS) est une autre vulnérabilité très répandue qui, à la différence de l’injection SQL, ne vise pas le serveur mais les utilisateurs du site : l’attaquant injecte du JavaScript malveillant qui s’exécute dans le navigateur des visiteurs, ce qui lui permet de voler des cookies de session, de rediriger les internautes vers des pages frauduleuses ou d’agir au nom d’un utilisateur à son insu. Les attaques XSS peuvent être stockées (le code malveillant est enregistré en base et servi à tous les visiteurs), réfléchies (le code voyage dans un paramètre d’URL et ne se déclenche que si l’utilisateur clique sur un lien préparé pour lui) ou fondées sur le DOM (la vulnérabilité vit entièrement dans le code côté client). S’en protéger efficacement suppose d’encoder les sorties, d’assainir les entrées et de mettre en place une Content Security Policy (CSP) qui restreint les sources depuis lesquelles un script peut être chargé.

Un logiciel obsolète est une autre cause de piratage extrêmement fréquente, et elle est particulièrement d’actualité dans l’écosystème WordPress : dans le rapport de Patchstack pour 2025, sur 11 334 vulnérabilités nouvellement divulguées, 91 % concernaient des extensions et 9 % des thèmes, tandis que le cœur de WordPress n’a fait l’objet que de six signalements de faible priorité. Lorsque l’auteur d’une extension ou d’un thème découvre et corrige une faille, il publie une mise à jour, mais dans le même mouvement le détail de la faille devient public et les attaquants se mettent aussitôt à chercher les sites qui n’ont pas encore été mis à jour : cette fenêtre entre la divulgation et l’installation du correctif est l’une des périodes les plus critiques pour la sécurité de votre site. C’est très exactement pour cela que la mise à jour régulière n’est pas une bonne pratique parmi d’autres, mais une nécessité absolue.

Des mots de passe faibles ou déjà compromis restent l’un des chemins les plus simples pour entrer dans un site, car beaucoup d’administrateurs choisissent des mots de passe faciles à deviner, réutilisent le même sur plusieurs services ou se passent d’authentification multifacteur, ce qui rend les attaques par force brute et le credential stuffing extrêmement efficaces. La situation s’aggrave du fait que beaucoup de gens emploient la même adresse électronique et le même mot de passe pour leur compte d’hébergement, leur accès FTP et l’administration de leur site : compromettre un seul mot de passe revient alors à livrer toute l’infrastructure.

Étape par étape : comment récupérer un site piraté

Une fois établi que votre site web a été piraté, il est capital d’agir avec méthode et dans l’ordre, plutôt que de supprimer des fichiers dans la panique ou de tout réinstaller depuis zéro : une action désordonnée détruit les preuves nécessaires pour identifier la source de l’attaque, et elle peut même aggraver la situation si toutes les portes dérobées laissées par l’attaquant ne sont pas refermées. Ce qui suit est un processus structuré, fondé sur les meilleures pratiques du secteur et recommandé aussi bien par les hébergeurs que par les spécialistes de la sécurité.

Première phase : isolement immédiat et gel de la situation

Le tout premier geste, à faire sans attendre dès la découverte du piratage, est d’isoler le site du monde extérieur, afin qu’aucun dommage supplémentaire n’atteigne vos visiteurs ni votre réputation. Le moyen le plus simple est d’activer le mode maintenance, qui affiche aux visiteurs un message expliquant que le site est momentanément indisponible tout en bloquant l’accès à tout le reste. Si vous ne pouvez plus accéder à l’administration, vous pouvez vous servir du fichier .htaccess pour rediriger tout le trafic vers une simple page HTML portant ce message, ou demander à votre hébergeur de suspendre temporairement votre compte.

En même temps que l’isolement, il est absolument déterminant de créer une sauvegarde complète du site compromis — tous les fichiers et la base de données. Cette sauvegarde sert deux fins : d’une part elle conserve les preuves qui permettront d’identifier la source et la méthode de l’attaque, d’autre part elle constitue un filet de sécurité si la remise en état échoue et qu’il faut revenir à l’état initial pour tenter une autre approche. Il ne faut en aucun cas commencer le nettoyage avant que cette sauvegarde n’existe, sous peine de perdre à la fois les fichiers infectés — qui peuvent être nécessaires à l’analyse — et, si quelque chose tourne mal pendant le nettoyage, des fichiers potentiellement sains.

Le troisième geste important à ce stade est de contacter votre hébergeur, car il a accès aux journaux du serveur, lesquels livrent des indications précieuses sur le moment et la manière dont l’attaque s’est produite, sur les fichiers modifiés et sur les adresses IP depuis lesquelles l’accès non autorisé a eu lieu. De plus, si votre compte se trouve sur un serveur mutualisé, l’hébergeur doit vérifier que l’attaque n’a pas touché d’autres comptes de la même machine et prendre les mesures nécessaires pour circonscrire le problème.

Deuxième phase : identifier et retirer le code malveillant

Une fois le site isolé et la sauvegarde faite, commence la phase la plus critique de toute la remise en état : trouver et retirer le code malveillant. Ce travail exige de la minutie et une approche systématique, car les attaquants laissent fréquemment plusieurs portes dérobées dans différentes parties du site, et une seule d’entre elles oubliée signifie que l’attaquant peut revenir à tout moment.

La première étape est un balayage automatique avec des outils de sécurité éprouvés — Wordfence, Sucuri ou MalCare —, qui inspectent tous les fichiers du site et la base de données à la recherche de signatures de code malveillant connues, de fonctions suspectes et de modifications non autorisées. Ces outils détectent la majorité des infections courantes, mais ils ne sont pas infaillibles, et le balayage automatique doit donc toujours être complété par une revue manuelle. Pendant cette revue, une attention particulière revient aux fichiers critiques — .htaccess, wp-config.php dans le cas de WordPress, functions.php, header.php et footer.php —, car ce sont les cibles les plus fréquentes et le code qui y est injecté peut être masqué par des techniques d’obfuscation, encodage base64, fonction eval() ou appels à gzinflate(), qui le rendent difficile à reconnaître à l’œil nu.

Nettoyer la base de données est tout aussi important que nettoyer les fichiers, car les attaquants injectent souvent leur contenu directement dans les tables — sous WordPress, wp_posts et wp_options sont les plus souvent touchées, et l’on peut y déposer du contenu de spam, des liens dissimulés ou même du code PHP qui s’exécute au moment où le site charge les enregistrements concernés. Pour inspecter la base, phpMyAdmin ou un outil équivalent fait l’affaire : on y cherche les enregistrements suspects, les comptes administrateurs non autorisés et les modifications inhabituelles dans la table des options.

Une fois le code malveillant identifié, la pratique recommandée n’est pas de réparer les fichiers infectés mais de les remplacer par des originaux sains — c’est-à-dire de télécharger le cœur du système et chaque extension, thème ou module depuis la source officielle de son auteur et de réécrire les dossiers concernés en entier, plutôt que de s’attaquer aux fichiers un par un. Si vous avez du code sur mesure dans un thème ou un module, il faut le comparer ligne à ligne avec une version saine, pour repérer et retirer uniquement les modifications malveillantes tout en conservant vos adaptations légitimes.

Il faut examiner tout particulièrement les dossiers qui ne devraient jamais contenir de fichiers exécutables — les répertoires de téléversement et de médias —, car un fichier PHP qui s’y trouve n’y est presque jamais arrivé par hasard, puisque ces dossiers sont réservés aux images, aux vidéos et aux documents. Il faut de même passer en revue la racine du site à la recherche de fichiers inconnus qui pourraient être des portes dérobées ou l’outillage de l’attaquant. Quels dossiers, quels fichiers et quelles tables contrôler précisément dans une installation WordPress, nous l’avons décrit pas à pas dans le guide consacré aux sites WordPress piratés.

Troisième phase : renouveler les accès et durcir le système

Une fois le code malveillant retiré, il est absolument nécessaire de changer tous les mots de passe et toutes les clés d’accès liés à votre site, car il y a de fortes chances que l’attaquant se les soit procurés pendant le piratage et, s’ils ne sont pas changés, il lui suffit de se reconnecter pour compromettre votre site une deuxième fois. Le changement doit couvrir tous les niveaux : les comptes administrateurs du site — et tous les autres comptes à droits élevés —, le mot de passe du panneau de l’hébergeur, les identifiants FTP et SFTP, le mot de passe de la base de données, ainsi que les mots de passe des boîtes aux lettres associées au site.

Les sites WordPress demandent en plus de renouveler les clés d’authentification et de salage du fichier wp-config.php : elles ne chiffrent rien, mais signent les cookies d’authentification en HMAC-SHA256, si bien qu’après leur remplacement le serveur rejette tous les cookies émis jusque-là et met fin à toutes les sessions actives, y compris à celles dont l’attaquant pourrait se servir. Cette opération ne change aucun mot de passe : ceux-ci sont conservés sous forme d’empreintes calculées avec bcrypt et doivent être changés séparément. Les nouvelles clés s’obtiennent auprès du générateur officiel de WordPress et se collent simplement dans wp-config.php à la place des anciennes valeurs.

Durcir le système suppose aussi de mettre à jour tous les composants logiciels vers leur dernière version — le cœur du CMS, toutes les extensions, tous les thèmes et les briques côté serveur comme la version de PHP. Toute extension et tout thème inutilisés ou abandonnés doivent être supprimés purement et simplement, et non seulement désactivés, car une extension désactivée porteuse d’une faille reste exploitable tant que ses fichiers sont sur le serveur. Les extensions et les thèmes dits « nulled », autrement dit piratés, sont particulièrement dangereux : ils contiennent fréquemment du code malveillant déjà en place et comptent parmi les causes de piratage les plus fréquentes.

Au-delà des mots de passe et des mises à jour, il faut mettre en place des mesures de sécurité proactives qui réduiront nettement le risque d’attaques ultérieures. Le pare-feu applicatif (WAF) est l’une des défenses les plus efficaces, parce qu’il filtre le trafic entrant et bloque les requêtes suspectes avant qu’elles n’atteignent votre site, ce qui protège des injections SQL, des attaques XSS, des attaques par force brute et de bien d’autres menaces. L’authentification multifacteur (MFA ou 2FA) est une autre couche déterminante : même si l’attaquant obtient votre mot de passe, il ne pourra pas se connecter sans le second facteur, un code venu d’une application mobile ou d’un SMS par exemple.

Sur les sites WordPress, il est également recommandé de désactiver l’édition de fichiers depuis l’administration en ajoutant à wp-config.php la ligne define('DISALLOW_FILE_EDIT', true), qui empêche un attaquant ayant pris la main sur un compte administrateur de modifier directement les fichiers du thème et des extensions via l’interface de WordPress. Il est tout aussi judicieux de limiter le nombre de tentatives de connexion, de changer le nom d’utilisateur administrateur par défaut et de restreindre l’accès au répertoire wp-admin par adresse IP lorsque c’est matériellement possible.

Quatrième phase : rétablir votre réputation auprès des moteurs de recherche

Si votre site s’est retrouvé sur une liste noire de Google ou si des avertissements de piratage apparaissent dans les résultats de recherche, la remise en état n’est pas terminée tant que ces avertissements n’ont pas été levés, car ils continuent de faire fuir les visiteurs et de nuire à votre positionnement même après que le site a été entièrement nettoyé et durci. Google Search Console est l’outil central de cette phase et, si vous n’y avez pas encore validé votre site, il est plus que temps de le faire.

Dans Google Search Console, le rapport sur les problèmes de sécurité (Security Issues), regroupé avec les actions manuelles dans le menu latéral, montre quels problèmes précis Google a détectés chez vous, quelles pages sont touchées et quels types de menace ont été identifiés. Une fois franchies toutes les étapes de nettoyage et de durcissement décrites plus haut, vous pouvez cliquer sur le bouton « Demander un examen » (Request Review), qui signale à Google que le problème est réglé et sollicite la levée des avertissements. La demande doit contenir un compte rendu détaillé : quel était le problème, quelles mesures précises vous avez prises pour le corriger et quels en sont les résultats — plus votre exposé est détaillé et concret, plus l’examen a de chances d’aboutir vite et favorablement.

Google ne promet aucun délai ferme : sa documentation évoque à la fois « plusieurs jours, voire plusieurs semaines » et précise que, dans le cas d’un piratage de type spam, l’examen peut demander plusieurs semaines, parce qu’il suppose une évaluation manuelle ou le retraitement de toutes les pages touchées. Les pages piratées porteuses de contenu de spam ne doivent pas être redirigées vers la page d’accueil ni vers d’autres parties du site : elles doivent renvoyer un code 404 (page introuvable) pour que Google les retire progressivement de son index. Une redirection, dans ce cas de figure, peut être lue comme une tentative de masquer le problème plutôt que de le résoudre.

Au-delà de Google Search Console, il vaut la peine de contrôler les autres listes de blocage, celles de Norton Safe Web ou de McAfee SiteAdvisor par exemple, car certains navigateurs et certains logiciels de sécurité les utilisent en plus de celle de Google : si votre site figure sur l’une d’elles, il faudra déposer une demande distincte auprès de chaque service.

La stratégie de sauvegarde : votre filet de sécurité

Des sauvegardes régulières et fiables sont l’une des mesures préventives les plus importantes qu’un propriétaire de site puisse mettre en place, car même dans le pire des cas — un site si lourdement compromis que le nettoyage n’est ni praticable ni économiquement justifié — vous pouvez repartir d’une copie saine et ne perdre que le contenu ajouté depuis. Encore faut-il que la stratégie ait été réfléchie : mal organisées, les sauvegardes se révèlent inutiles au moment précis où elles sont le plus nécessaires.

Premièrement, une sauvegarde doit couvrir à la fois tous les fichiers du site et la base de données, car un site sans sa base, ou une base sans ses fichiers, ne sert à rien : les deux composants sont nécessaires pour rétablir intégralement le fonctionnement. Deuxièmement, les sauvegardes doivent être conservées ailleurs que sur le serveur qui héberge votre site, car si celui-ci est compromis, l’attaquant peut supprimer ou infecter les copies qui s’y trouvent. Dans l’idéal, elles sont gardées dans au moins deux endroits distincts, par exemple un stockage en nuage (Google Drive, Amazon S3, Dropbox) et un support local.

Troisièmement, il importe de conserver plusieurs versions et non la seule plus récente, car si le piratage est découvert tardivement, la dernière copie peut déjà être infectée et il vous faudra une version plus ancienne et saine. La pratique recommandée est de garder au moins trente jours d’historique, ce qui permet de remonter assez loin pour trouver une version propre même lorsque le piratage n’a été repéré que plusieurs semaines après son début.

Quatrièmement, le processus doit être automatisé, car une sauvegarde manuelle n’est pas fiable : on oublie, on remet à plus tard, ou l’on cesse tout bonnement de la faire au bout de quelque temps. La plupart des hébergeurs proposent des sauvegardes automatiques, et il existe aussi des extensions et des services dédiés. Il est tout aussi important de vérifier périodiquement que ces sauvegardes fonctionnent réellement, en restaurant le site dans un environnement de test : rien n’est pire que de découvrir en pleine crise que les copies sont corrompues ou incomplètes.

Ce que les données sur les sites piratés montrent, et non les prévisions

Les statistiques de cybersécurité qui circulent dans l’espace public parlent presque toujours du coût mondial de la cybercriminalité en billions, ou de fuites de données chez de grandes entreprises dont le coût moyen se mesure en millions, et pour une PME qui exploite un seul site, rien de tout cela n’a d’utilité pratique : ce sont des chiffres venus d’un autre monde. Les données utiles sont celles qui viennent des sites piratés eux-mêmes, publiées par les entreprises qui les nettoient tous les jours, parce que leur échantillon est fait de sites comme le vôtre.

Dans le rapport 2023 de l’éditeur de sécurité Sucuri, construit sur les sites que ses propres équipes ont effectivement nettoyés dans l’année, 39,1 % des systèmes de gestion de contenu étaient obsolètes au moment de l’infection (Sucuri, « 2023 Hacked Website & Malware Threat Report »). Dans presque deux cas sur cinq, l’attaquant n’a donc eu besoin de rien de plus compliqué qu’une vulnérabilité publiquement connue dans un système que le propriétaire n’avait pas mis à jour — et c’est précisément pour cela qu’un calendrier de mises à jour est l’investissement de sécurité le moins cher qui existe dans ce domaine.

Ce que les données disent de l’intention de l’attaquant en apprend davantage encore, car cela explique pourquoi un piratage ressemble si rarement à un piratage. Dans le même rapport, 20,30 % des sites infectés contenaient du spam SEO, cette proportion montant à 38,3 % parmi les bases de données compromises, et du code de vol de données de cartes de paiement a été trouvé sur 1,34 % des sites. Aucune de ces trois choses ne vise à casser le site : toutes visent à ce qu’il continue de tourner comme d’habitude en rapportant de l’argent à quelqu’un d’autre.

Un dernier chiffre explique pourquoi nettoyer les fichiers ne suffit jamais : parmi les sites dont la base de données avait reçu du code malveillant, 55,2 % comptaient au moins un compte administrateur créé par l’attaquant. Une fois les fichiers assainis, un compte pareil reste parfaitement légitime — il a un mot de passe, il a tous les droits, et il permet de se reconnecter et de remettre le code en place. C’est pour cela que, dans notre processus, le contrôle de la base et l’audit de la liste des utilisateurs forment une étape à part et non un supplément au nettoyage des fichiers.

Stratégie de sécurité à long terme : une approche proactive

Remettre un site compromis en état n’est que la moitié de l’histoire : il est tout aussi important, sinon davantage, de bâtir une stratégie de sécurité de long terme qui réduise nettement le risque de récidive et maintienne votre site aussi bien protégé que possible face à des menaces qui changent en permanence. Cette stratégie n’est pas une opération ponctuelle mais un processus continu, qui demande une attention régulière et des moyens.

Le balayage régulier des vulnérabilités et le test d’intrusion comptent parmi les éléments les plus importants d’une sécurité proactive, car ils permettent de repérer et de refermer les failles avant que des attaquants ne les exploitent. Le balayage peut être confié à des outils automatisés qui contrôlent votre site à intervalles réguliers et signalent ce qu’ils trouvent, tandis que le test d’intrusion est un exercice plus profond : un spécialiste tente d’entrer dans votre site par les méthodes qu’emploierait un véritable attaquant, afin d’identifier les vulnérabilités que l’automatisation laisse passer.

Le contrôle des accès et la gestion des droits forment un autre point critique, souvent ignoré : chaque utilisateur de votre site ne devrait détenir que les permissions minimales nécessaires à son travail, et personne ne devrait se servir d’un compte administrateur pour les tâches quotidiennes comme la publication de contenu ou la modération des commentaires. Ce principe, appelé principe de moindre privilège, limite considérablement les dégâts possibles si l’un des comptes vient à être compromis.

La supervision de la sécurité et l’analyse des journaux constituent un processus continu qui permet de repérer tôt une activité suspecte et de réagir avant qu’elle ne devienne un piratage à part entière. Cela suppose de relire régulièrement les journaux d’accès du serveur, de surveiller les tentatives de connexion échouées, de contrôler l’intégrité des fichiers — ce qui vous alerte si l’un d’eux est modifié à votre insu — et d’analyser le trafic réseau à la recherche de comportements inhabituels pouvant signaler une attaque ou une fuite de données.

Rédiger un plan de réponse à incident est une autre étape importante que beaucoup de dirigeants de PME négligent, en se disant qu’elle ne concerne que les grands groupes ; en réalité, toute organisation qui dépend de sa présence en ligne devrait disposer d’un document décrivant ce qu’il faut faire en cas de piratage, qui est responsable de chaque étape, comment communiquer avec les clients et les partenaires et comment rétablir un fonctionnement normal au plus vite. L’existence d’un tel plan raccourcit fortement le temps de réaction et évite les gestes désordonnés en pleine crise. Une partie de ces choix se joue dès la commande du site — nous avons écrit un article distinct sur les erreurs qui coûtent le plus cher à ce moment-là.

Aide professionnelle : quand il est temps de faire appel à des spécialistes

Un propriétaire de site peut mener lui-même beaucoup des étapes décrites ici, mais il existe des situations où l’aide professionnelle n’est pas seulement conseillée : elle est nécessaire pour garantir une remise en état complète et sûre. Si le piratage a été particulièrement complexe, si le site est compromis de nouveau après un nettoyage, si une fuite touchant des données personnelles de clients est soupçonnée, ou si vous n’avez tout simplement ni les connaissances techniques ni le temps de dérouler chaque étape, il vaut la peine d’envisager de faire appel à des spécialistes en cybersécurité ou de vous tourner vers des services spécialisés de sécurité de sites web.

Les services de sécurité professionnels, Sucuri, Wordfence ou MalCare par exemple, proposent à la fois des outils de nettoyage automatisés et l’intervention d’experts, et beaucoup assurent aussi une supervision et une protection continues après la remise en état. Leur coût est généralement bien inférieur aux pertes que provoque une compromission qui dure : trafic perdu, confiance des clients entamée, conséquences juridiques possibles en cas de fuite de données, et temps passé à tenter de régler seul un problème sans les connaissances suffisantes.

Si votre site traite des données personnelles et qu’une fuite s’est produite, vous pouvez également être tenu d’informer la CNIL et les personnes concernées en application du règlement général sur la protection des données (RGPD) ou d’autres textes applicables ; dans ce cas, il est particulièrement important de documenter tout le processus de remise en état et de conserver les preuves des mesures prises.