Si votre site envoie vos visiteurs vers un casino en ligne ou une page « Vous avez gagné un smartphone », il a été piraté, et c'est urgent. Dans l'heure : mettez-le hors ligne, changez les mots de passe depuis un ordinateur sain, prévenez l'hébergeur et gardez les traces. Le nettoyage vient ensuite, une fois la faille trouvée.
Les signes qui confirment le piratage
Le piège : votre site paraît normal quand vous tapez son adresse. Le code du pirate ne détourne souvent que les visiteurs qui viennent de Google ou d'un téléphone, et épargne ceux connectés à l'administration, donc vous. Pour le vérifier, cherchez votre site sur Google depuis un téléphone, en navigation privée, et cliquez sur le résultat.
Les autres signes :
- une page rouge « Site dangereux » s'affiche dans le navigateur ;
- l'hébergeur vous signale des fichiers suspects, des envois de spam ou une suspension ;
- un compte administrateur inconnu apparaît dans Paramètres avancés > Équipe sur PrestaShop, ou dans Utilisateurs sur WordPress : changez son mot de passe sans le supprimer, c'est une trace ;
- la Search Console (l'outil de suivi gratuit de Google) affiche une alerte « Problèmes de sécurité ».
Si Chrome affiche « Ce site est inaccessible », lisez plutôt les vérifications pour un site inaccessible.
Les gestes de la première heure
- Mettez le site hors ligne. Sur PrestaShop, activez la maintenance (Paramètres de la boutique > Paramètres généraux > Maintenance), puis refaites le test du téléphone. Si la redirection continue (le code agit alors avant PrestaShop), ou sous WordPress, demandez à l'hébergeur de suspendre le site.
- Changez les mots de passe depuis un ordinateur sain : si vos accès ont été volés sur votre poste habituel, les nouveaux le seraient aussi. Commencez par la messagerie et l'espace client de l'hébergeur, qui servent à récupérer les autres, puis le FTP (l'accès aux fichiers) et l'administration. Celui de la base de données est aussi inscrit dans un fichier du site : laissez-le à votre prestataire.
- Prévenez l'hébergeur. Demandez-lui les journaux du serveur (le registre des connexions) et de garder ses sauvegardes, qui s'effacent au fil des jours : la plus ancienne est parfois la seule propre.
- Gardez les traces : l'heure du premier signe et comment vous l'avez vu, des captures de la redirection, de l'alerte, du mail de l'hébergeur et des comptes inconnus.
Ce qu'il ne faut pas faire
- Supprimer des fichiers au hasard. Le code se cache rarement à un seul endroit : réglages du serveur (
.htaccess), thème, base de données, faux module. Supprimer celui que vous voyez laisse les autres en place et efface les dates de modification qui mènent à la faille. - Restaurer une sauvegarde avant d'avoir trouvé la faille. La faille revient avec le site, et le pirate avec elle.
- Payer qui que ce soit, rançon ou « nettoyage » proposé par un inconnu. Cela ne ferme pas la faille et vous désigne comme quelqu'un qui paie.
Quand nous écrire, et quoi envoyer
Écrivez-nous dès le premier signe, sans tout vérifier d'abord : la moitié des demandes reçoivent une première réponse en moins de 4 heures. Envoyez :
- l'adresse du site, sa plateforme et son hébergeur ;
- les traces de la première heure ;
- la dernière intervention sur le site (module ajouté, mise à jour) ;
- qui a eu des accès ces derniers mois, salariés et prestataires.
Les mots de passe, jamais par e-mail : nous convenons d'un canal chiffré.
Si des données clients ont pu être lues
Si le pirate a pu lire la base de données, qui contient les noms, adresses et commandes de vos clients, c'est une violation de données personnelles au sens du RGPD. L'entreprise qui exploite le site doit la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, et informer les personnes concernées si le risque pour elles est élevé.
La notification se fait en ligne et peut être complétée plus tard. Nous fournissons les éléments techniques qu'elle demande : ce qui a été exposé, et depuis quand.
Après le nettoyage
Une fois le code retiré et la faille fermée, changez à nouveau tous les mots de passe, que le code a pu capter entre-temps. Demandez un réexamen dans la Search Console (rapport « Problèmes de sécurité »), puis surveillez les comptes administrateur quelques semaines : une porte dérobée oubliée (un accès caché laissé par le pirate) peut resservir.
Pour que cela ne recommence pas
- Faites les mises à jour du site et des modules : elles ferment des failles que les pirates connaissent aussi. Préparez-les pour éviter une erreur 500 après la mise à jour.
- Retirez les modules que leur éditeur ne suit plus. Un module désactivé laisse ses fichiers sur le serveur : la faille reste exploitable.
- N'envoyez plus d'accès par e-mail : ils dorment des années dans les boîtes mail. Changez-les après chaque intervention extérieure.
- Testez la sauvegarde en la restaurant sur un espace de test : il y manque parfois la base de données.
Notre forfait Socle comprend les mises à jour de sécurité et la sauvegarde quotidienne.