En bref
La séquence d’actions compte plus que la rapidité brute face à un piratage.
- Isoler le site avant toute analyse, sans exception
- Changer 5 accès critiques, pas uniquement l’admin
- Diagnostiquer via les journaux avant de nettoyer
- Déclarer à la CNIL seulement si des données fuient réellement
Mon site a été piraté, que faire dans l’ordre ? Cette question, on se la pose rarement au calme. On se la pose à 23h, les mains moites, devant une page d’accueil remplacée par une bannière douteuse ou des liens vers des pharmacies en ligne suspectes. Et c’est précisément là que tout se joue : l’ordre des actions détermine si vous perdez trois heures ou trois semaines.
J’ai vu des clients tout réinstaller en panique, sans garder la moindre trace pour comprendre l’origine de l’attaque. Résultat : le site repirate 15 jours après, exactement par la même faille. Mon site a été piraté, que faire dans l’ordre devient alors une question qui se reposera indéfiniment si la méthode n’est pas la bonne dès le départ.
Les 3 erreurs critiques que 80% des victimes commettent
La police française annonce avoir démantelé un réseau ayant compromis près de 15 000 sites via de fausses mises à jour, selon 01net. Ce chiffre donne le vertige, mais il révèle surtout un point commun : la quasi-totalité des victimes a réagi dans le mauvais ordre.
Croire qu’on a le temps d’analyser avant d’agir
Premier réflexe erroné : vouloir tout comprendre avant de couper l’accès au site. Chaque minute en ligne, c’est une minute de visiteurs exposés à un malware ou une redirection frauduleuse. L’analyse vient après l’isolation, jamais avant.
Réinitialiser le site sans isoler la faille d’abord
Restaurer une sauvegarde sans avoir identifié le point d’entrée garantit une chose : la faille reste ouverte. L’attaquant revient, souvent avec la même méthode, parfois sous 48 heures.
Négliger de documenter pour les autorités
Première heure après découverte : l’ordre qui fait la différence
Mon site a été piraté, que faire dans l’ordre durant la première heure ? Voici la séquence que nous recommandons systématiquement, minute par minute.
Minute 1 à 5 : isoler avant tout (mise hors ligne immédiate)
Activez le mode maintenance ou coupez carrément l’accès public via le panneau d’hébergement. L’objectif unique : stopper l’exposition des visiteurs.
Minute 5 à 15 : changer les 5 accès critiques (pas juste le mot de passe admin)
Le mot de passe administrateur du CMS ne suffit jamais. Changez aussi les identifiants FTP, SFTP ou SSH, le mot de passe de la base de données, l’accès à l’espace client de l’hébergeur et les comptes emails liés au domaine.
Minute 15 à 30 : alerter l’hébergeur et stopper les sauvegardes infectées
Diagnostic sans restaurer : comment identifier la source réelle du piratage
Restaurer trop vite, c’est détruire les preuves. Avant toute manipulation de fichiers, consultez ce que le serveur a enregistré.
Consulter les journaux serveur avant de toucher aux fichiers
Les journaux d’accès révèlent les requêtes suspectes, les adresses IP d’origine et les fichiers appelés anormalement. C’est souvent là, et nulle part ailleurs, que se cache la porte d’entrée.
Repérer la date exacte d’intrusion via les timestamps
Chaque fichier modifié porte une date de modification. Comparez-la à vos sauvegardes connues : un fichier daté d’il y a 3 mois alors que vous n’y avez pas touché signale une intrusion ancienne.
Distinguer piratage récent vs infection dormante depuis des mois
Restauration vs nettoyage : le choix qui détermine votre suite
Ce choix structure tout le reste de la récupération. Il ne s’improvise pas.
Quand la restauration est la seule option viable
Si le code source est massivement corrompu ou que la base de données contient des injections SQL généralisées, la restauration depuis une sauvegarde saine antérieure à l’intrusion reste la seule issue rapide.
Comment nettoyer progressivement si vous n’avez pas de sauvegarde saine
Sans sauvegarde, il faut comparer chaque fichier du CMS avec une version officielle téléchargée depuis la source d’origine, fichier par fichier. Un outil comme Sucuri SiteCheck aide à repérer le code injecté, mais la vérification manuelle reste indispensable.
Les cas où faire les deux successivement devient nécessaire
Restaurer une base ancienne puis nettoyer les fichiers récents représente parfois le seul compromis viable quand les sauvegardes couvrent des périodes différentes.
| Situation | Action recommandée |
|---|---|
| Sauvegarde saine disponible | Restauration puis colmatage de la faille |
| Aucune sauvegarde fiable | Nettoyage manuel fichier par fichier |
| Infection ancienne et diffuse | Restauration partielle puis audit complet |
La double authentification et les certificats : ce que la plupart oublient après
Une fois le site nettoyé, on respire. Trop vite. Cette phase détermine si l’histoire se répète.
Implémenter 2FA sur tous les accès administrateur
La double authentification réduit drastiquement le risque de reprise de contrôle par identifiants volés, même si le mot de passe fuite à nouveau.
Vérifier l’absence de certificats malveillants sur le serveur
Certains attaquants installent de faux certificats SSL pour intercepter du trafic chiffré. Un audit du magasin de certificats du serveur s’impose systématiquement après un incident.
Forcer HTTPS sur l’intégralité du domaine
Obligations légales et déclarations : ce que vous devez faire même si c’est pénible
Mon site a été piraté, que faire dans l’ordre sur le plan légal ? C’est la partie que tout le monde évite, et c’est une erreur.
Évaluer si une notification CNIL s’impose réellement
La CNIL impose une notification sous 72 heures dès lors qu’une violation de données personnelles présente un risque pour les personnes concernées, conformément au RGPD. Pas de fuite avérée de données clients, pas d’obligation automatique, mais la prudence reste de mise.
Contacter Cybermalveillance.gouv.fr et transmettre les preuves
Ce dispositif public gratuit oriente vers des prestataires qualifiés et centralise les signalements, un service distinct de la simple déclaration CNIL.
Notifier vos clients ou utilisateurs : timing et contenu du message
Nous recommandons toujours la transparence rapide plutôt que le silence prolongé : un client prévenu change son mot de passe, un client ignoré découvre la fuite ailleurs et perd confiance définitivement.
Prévention durable : éviter le piratage numéro 2
Un site repiraté dans les 3 mois suivant un premier incident, ce n’est pas la malchance. C’est l’absence d’audit derrière le nettoyage.
Audit de sécurité WordPress complet (plugins, thème, versions)
Chaque extension inactive reste une surface d’attaque. Supprimez les plugins non utilisés, mettez à jour le thème et le cœur du CMS, vérifiez les versions PHP obsolètes auprès de l’hébergeur.
Mettre en place une surveillance proactive des modifications de fichiers
Un outil de détection d’intrusion qui alerte sur toute modification non planifiée d’un fichier serveur constitue la différence entre une attaque stoppée en 10 minutes et une attaque découverte 73 jours plus tard.
Planifier des sauvegardes hors-site et tester leur restauration mensuelle
- Sauvegarde testée régulièrement
- Restauration rapide garantie
- Tranquillité d'esprit réelle
Une sauvegarde jamais testée n'est qu'une promesse non tenue.
Mon site a été piraté que faire dans l’ordre : la méthode qui compte
Mon site a été piraté, que faire dans l’ordre reste la question centrale de toute cette séquence. Isoler, diagnostiquer, choisir entre restauration et nettoyage, sécuriser durablement, déclarer si nécessaire : chaque étape dépend de la précédente. Sauter une case, c’est généralement devoir recommencer. La vraie victoire n’est pas de remettre le site en ligne vite, c’est de le remettre en ligne une seule fois.
FAQ
Quelles sont les 6 méthodes de piratage les plus courantes et comment s’en protéger ?
Les vecteurs dominants restent l’injection SQL, les failles de plugins obsolètes, le brute force sur les mots de passe, le phishing ciblant les administrateurs, les fausses mises à jour de type SocGholish et l’exploitation de ports FTP mal sécurisés. Une mise à jour systématique et une 2FA réduisent la majorité de ces risques.
Qui contacter en priorité en cas de piratage de site professionnel ?
L’hébergeur en premier lieu, puis Cybermalveillance.gouv.fr pour une orientation vers un prestataire qualifié, et enfin la CNIL si des données personnelles de clients sont concernées. Le service 17Cyber de la gendarmerie nationale complète ce dispositif pour les particuliers et petites structures.
Est-ce grave si j’ai cliqué sur un lien de pirate ou visité mon site compromis ?
Cela dépend du contenu du lien. Un simple défaçage visuel expose peu votre poste, mais un script malveillant injecté peut tenter d’exploiter votre navigateur. Un scan antivirus immédiat reste la règle, sans exception.
Comment faire si je me suis fait pirater sans aucune sauvegarde disponible ?
Le nettoyage manuel fichier par fichier devient incontournable, en comparant chaque élément du CMS avec une version officielle téléchargée depuis la source. C’est plus long, mais c’est la seule voie fiable en l’absence de sauvegarde saine.
