Un site compromis se répare, mais dans l'ordre : constater, isoler, nettoyer, refermer la porte. Le nettoyage seul ne sert à rien si la porte reste ouverte — c'est la raison pour laquelle tant de sites sont réinfectés dans la semaine.
Les signes
| Ce que vous constatez | Ce que cela indique |
|---|---|
| Des pages ou des liens que vous n'avez pas écrits | Injection de contenu, souvent invisible pour vous et visible des moteurs |
| Le site renvoie ailleurs, mais seulement depuis un moteur de recherche | Redirection conditionnelle : elle épargne l'administrateur |
| Un avertissement du navigateur ou d'un moteur | Le site est déjà signalé publiquement |
| Des comptes d'administration inconnus | Un accès a été créé pour durer |
| Des fichiers récents que vous ne reconnaissez pas | Dépôt de code hostile |
| Une hausse brutale de consommation | Le site sert à autre chose qu'à vous |
| Vos messages sont massivement rejetés | Le domaine est utilisé pour des envois |
Les quatre gestes, dans l'ordre
- Constater et noter. Date, pages touchées, adresses concernées. Ne supprimez rien avant d'avoir regardé : ce qui reste sert à comprendre par où c'est entré.
- Isoler. Mettez le site hors ligne ou en maintenance. Un site compromis nuit à ses visiteurs et à sa propre réputation à chaque minute qui passe.
- Nettoyer. Restaurer une copie antérieure saine, puis mettre à jour immédiatement.
- Refermer. Changer tous les mots de passe, supprimer les comptes inconnus, retirer ce qui ne sert pas.
Pourquoi restaurer ne suffit pas
La faille exploitée est presque toujours antérieure à l'intrusion : elle se trouve donc aussi dans la sauvegarde. Restaurer sans mettre à jour revient à réinstaller la porte ouverte.
Choisissez une date antérieure aux premiers signes, puis, dans la foulée et avant toute remise en ligne :
- mettez à jour le système de gestion de contenu, le thème et toutes les extensions ;
- changez le mot de passe de tous les comptes d'administration ;
- changez le mot de passe de la base de données et reportez-le dans le fichier de configuration ;
- changez les identifiants de transfert de fichiers ;
- supprimez les extensions et thèmes inutilisés — un thème désactivé reste un fichier accessible sur le serveur.
Une extension abandonnée par son auteur ne recevra jamais de correctif. Ce n'est pas un logiciel gratuit : c'est une dette.
Nous prévenir
Signalez-le nous, même si vous savez faire. Un site compromis ne concerne pas que vous : il peut servir à attaquer des tiers, à envoyer du courrier frauduleux, ou consommer les ressources partagées de la machine.
Nos conditions générales prévoient qu'un service puisse être suspendu lorsque l'urgence l'impose, pour protéger les autres clients et l'infrastructure. Un client qui signale lui-même son incident est toujours dans une meilleure position qu'un client chez qui on le découvre.
Dans le ticket, indiquez le domaine, la date des premiers signes, ce que vous avez déjà fait, et si des données personnelles de tiers ont pu être exposées.
Après
- Surveillez le site pendant quelques semaines : les réinfections se produisent tôt.
- Conservez une copie propre hors de l'hébergement — voir Comprendre les sauvegardes.
- Si des données personnelles de vos visiteurs ont pu être exposées, vous avez, en tant que responsable de traitement, des obligations propres au titre du RGPD. Notre politique de confidentialité décrit ce qui relève de nous ; le reste relève de vous.