En bref : si votre site a été piraté, la première chose à faire est de ne rien supprimer. Changez les mots de passe de WordPress, de l’hébergement et du FTP, gardez une copie du site tel qu’il est et prévenez la personne qui le gère. Il faut ensuite comprendre par où l’attaque est entrée : enlever le malware sans refermer la faille, c’est le moyen le plus sûr de se faire pirater de nouveau quelques jours plus tard.
Nous l’écrivons en tant que studio qui suit plus de 200 sites. Les exemples portent sur WordPress, mais le raisonnement vaut pour n’importe quel site.
Comment savoir si mon site a été piraté ?
Un site piraté ne se voit pas toujours depuis la page d’accueil. En général, l’attaquant veut s’en servir sans se faire remarquer : pour envoyer les visiteurs ailleurs, publier des pages de spam ou envoyer des e-mails. Les signes les plus courants :
- des redirections bizarres : ceux qui arrivent depuis Google atterrissent sur des sites de paris, de médicaments ou de faux gains, alors que vous, en tapant l’adresse, voyez le site normal ;
- des pages dans des langues que vous n’avez pas dans les résultats de Google (cherchez « site:votredomaine.fr » et regardez ce qui sort) ;
- l’avertissement du navigateur « Site trompeur » ou « Le site que vous allez ouvrir contient des logiciels malveillants » ;
- un e-mail de Google Search Console qui signale des problèmes de sécurité ;
- l’hébergeur qui suspend le site ou bloque l’envoi des e-mails pour trafic suspect ;
- des administrateurs que vous ne connaissez pas, des plugins que vous n’avez pas installés, des fichiers aux noms étranges dans le dossier du site.
Un seul de ces signes suffit pour traiter le site comme compromis tant que le contraire n’est pas prouvé.
Que faire dans les premières heures
Les premiers gestes décident de la facilité du nettoyage. Dans l’ordre :
- Changez les mots de passe : administrateurs WordPress, panneau de l’hébergement, FTP ou SFTP, base de données si vous le pouvez. Si vous utilisez le même mot de passe ailleurs, changez-le aussi.
- Gardez une copie du site tel qu’il est, fichiers et base de données, même infectée. Elle sert à comprendre ce qui s’est passé, pas à la remettre en ligne.
- Vérifiez les sauvegardes : combien vous en avez, de quand elles datent, où elles sont stockées. Une sauvegarde sur le même serveur peut être infectée elle aussi.
- Prévenez l’hébergeur : il a souvent déjà vu quelque chose dans les journaux et peut vous dire si le problème touche d’autres sites sur le même espace.
- Ouvrez Google Search Console et regardez le rapport Problèmes de sécurité : il indique ce que Google a trouvé et sur quelles pages.
Si le site vend en ligne, envisagez de le mettre en maintenance pendant le travail : mieux vaut une journée hors ligne que des clients envoyés sur un site d’arnaque.
Ce qu’il ne faut pas faire
|
À éviter |
Pourquoi |
|---|---|
|
Supprimer des fichiers au hasard |
On perd les traces qui disent par où l’attaque est entrée |
|
Réinstaller WordPress, et c’est tout |
Le code malveillant se cache souvent dans la base de données et le dossier des médias, et la faille reste ouverte |
|
Restaurer la dernière sauvegarde sans la vérifier |
Si l’attaque est ancienne, la sauvegarde peut être infectée aussi |
|
Installer cinq plugins de sécurité d’un coup |
Le site ralentit et le diagnostic se complique, sans rien enlever |
|
Demander tout de suite à Google de réexaminer le site |
Si le nettoyage n’est pas complet, la demande est refusée et tout recommence |
Comment supprimer un malware d’un site WordPress
Un nettoyage bien fait compte quatre étapes, et la première est la plus importante.
1. Analyse
On part de la copie du site : analyse des fichiers et de la base de données, comparaison du cœur de WordPress, des thèmes et des plugins avec les versions d’origine, contrôle des utilisateurs et des journaux du serveur. Le but est de trouver la porte d’entrée : le plus souvent un vieux plugin avec une vulnérabilité connue, un mot de passe faible ou volé, un autre site piraté sur le même hébergement.
2. Nettoyage
On retire les fichiers ajoutés par l’attaque, le code injecté dans les fichiers existants et celui caché dans la base de données (dans les options, les articles, les utilisateurs). Le cœur, le thème et les plugins sont réinstallés depuis les sources officielles au lieu d’être corrigés à la main. S’il existe une sauvegarde saine d’avant l’attaque, on regarde s’il vaut mieux repartir de là et récupérer à part les contenus et les commandes arrivés ensuite.
3. Fermeture de la faille
Le plugin vulnérable est mis à jour ou remplacé, on change de nouveau les mots de passe et les clés de sécurité de WordPress, on supprime les accès inutiles, on corrige les droits des fichiers et la version de PHP. Sans cette étape, le nettoyage ne tient pas longtemps.
4. Google et l’hébergeur
Une fois le site propre, on demande à Google de le réexaminer depuis la Search Console avec le bouton Demander un examen, en expliquant ce qui a été trouvé et ce qui a été fait. Google indique lui-même que l’examen peut prendre de quelques jours à quelques semaines ; une fois validé, l’avertissement « site dangereux » disparaît. Les pages de spam restées dans les résultats se retirent à part. Si l’hébergeur avait suspendu le site ou les e-mails, on lui montre que le problème est réglé.
On ne peut pas toujours tout récupérer. Un site très compromis, sans sauvegarde, avec un thème modifié à la main au fil des années, il vaut parfois mieux le reconstruire à partir des contenus. On le sait après l’analyse, pas avant.
Comment éviter que cela recommence
La plupart des sites que nous voyons piratés deux fois ont le même problème : ils ont été nettoyés, mais personne ne les a suivis ensuite. Ce qui compte vraiment tient en peu de points :
- des mises à jour régulières de WordPress, des thèmes et des plugins, testées d’abord sur une copie du site (préproduction) ;
- moins de plugins, et seulement des plugins maintenus : un plugin abandonné, c’est une porte qui reste ouverte ;
- des mots de passe uniques et la double authentification pour ceux qui administrent le site ;
- un système qui bloque les tentatives d’intrusion avant qu’elles n’atteignent WordPress ;
- des sauvegardes automatiques stockées hors du serveur, avec des restaurations testées : ce sont elles qui permettent de revenir à l’état d’avant l’attaque ;
- une surveillance avec des alertes si le site change ou tombe.
C’est le travail que nous décrivons dans la note sur la maintenance WordPress et que nous faisons avec notre maintenance WordPress.
Ce qu’il faut demander à celui qui nettoie le site
- Vous me dites par où l’attaque est entrée, ou seulement ce que vous avez enlevé ?
- Vous avez refermé la faille ou seulement nettoyé les fichiers ?
- Vous avez aussi vérifié la base de données et les autres sites sur le même hébergement ?
- Qui demande le réexamen à Google, et qui suit la réponse ?
- Vous me donnez le prix avant de commencer, après avoir regardé le site ?
Chez nous, cela se passe ainsi : d’abord une analyse, puis nous vous disons ce que nous avons trouvé et combien coûte le nettoyage, avant de commencer. Si nous suivons déjà le site en maintenance, le malware facile à repérer est retiré dans le cadre du forfait ; les cas complexes, ou les sites que nous ne suivons pas, passent sur devis. Les détails sont sur la page site WordPress piraté.
Ortica, c’est deux personnes, Riccardo et Davide, sur le web depuis 2016 : celui qui vous répond est celui qui travaille sur votre site, sans intermédiaires.
