Site piraté ? Que faire pendant les 24 premières heures
Site piraté ? Gardez votre calme. Signes, 24 premières heures pas à pas, nettoyage, alertes des moteurs de recherche et protections pour ensuite.
Équipe rabbitclipPublié: 8 min de lecture
En bref
Si vous soupçonnez que votre site a été piraté, gardez votre calme et suivez une séquence : retirez le site de la vue du public si nécessaire, conservez une copie de son état actuel et des journaux sans rien supprimer, changez vos mots de passe d'hébergement, de panneau d'administration, de base de données et de messagerie depuis un appareil sain, prévenez votre hébergeur, et seulement ensuite restaurez à partir d'une sauvegarde saine ou faites nettoyer par un expert. Tout supprimer dans la précipitation efface les traces qui montrent comment l'attaquant est entré, et invite la même intrusion à se reproduire par la même brèche.
Un piratage ne ressemble pas toujours à une page d'accueil défigurée. Il est souvent discret : des liens cachés sont ajoutés, les visiteurs sont redirigés vers une autre adresse, ou le serveur sert à envoyer du spam. Connaître les signes, c'est la moitié de la première étape.
Vous trouverez ci-dessous les signes, ce qu'il faut faire dans les 24 premières heures et dans quel ordre, comment se déroule le nettoyage, comment traiter une alerte d'un moteur de recherche, et quelles protections il vous faut ensuite.
Comment savoir que mon site a été piraté ?
Le signe évident est une page modifiée ou un message de rançon. Les signes discrets sont toutefois plus fréquents. Si votre titre apparaît dans les résultats de recherche avec un contenu étranger que vous n'avez pas écrit, si des visiteurs sur leur téléphone sont renvoyés vers un autre site, ou si le navigateur indique que le site peut être nuisible, la situation est sérieuse.
Il existe d'autres signes : un utilisateur inconnu dans le panneau d'administration, une extension que vous n'avez jamais installée, une alerte de ressources ou un avis de spam de votre hébergeur, des clients qui vous disent avoir reçu des e-mails que vous n'avez pas envoyés. Un signe n'est pas une preuve, mais si plusieurs apparaissent ensemble, supposez le pire et agissez avec soin.
- Des titres ou des descriptions dans les résultats de recherche que vous n'avez pas écrits
- Des visiteurs redirigés vers un autre site
- Une alerte de site nuisible du navigateur ou du moteur de recherche
- Un utilisateur ou une extension inconnus dans le panneau d'administration
- Le serveur qui ralentit sans raison, ou une alerte de votre hébergeur
Que faire pendant les 24 premières heures, et dans quel ordre ?
L'objectif est d'abord d'arrêter les dégâts, ensuite de protéger les preuves, puis de reprendre le contrôle. Placer le site derrière une page de maintenance évite d'exposer les visiteurs à du code malveillant. Ensuite, sans rien modifier, copiez l'état actuel des fichiers et de la base de données dans un endroit séparé, et conservez aussi les journaux d'accès du serveur. Trouver comment l'attaquant est entré dépend de ces journaux.
Changez ensuite les mots de passe, mais depuis un appareil sain. L'attaque a pu partir de votre propre ordinateur, analysez-le donc aussi. Choisissez des valeurs impossibles à deviner, une différente pour chaque compte ; le générateur de mots de passe de notre site peut vous y aider. Enfin, écrivez à votre hébergeur ; il peut vérifier si d'autres comptes du serveur ont été touchés.
- Placer le site derrière une page de maintenance temporaire
- Conserver telles quelles une copie des fichiers, de la base de données et des journaux d'accès
- Changer les mots de passe d'hébergement, de panneau d'administration, de base de données, de FTP et de messagerie depuis un appareil sain
- Noter les utilisateurs administrateurs et les extensions inconnus, et les désactiver
- Prévenir votre hébergeur
- Analyser votre propre ordinateur à la recherche de logiciels malveillants
Restaurer une sauvegarde suffit-il, et comment se fait le nettoyage ?
Une sauvegarde n'aide que si elle date d'avant le piratage. Si du code malveillant s'est installé il y a des mois, la sauvegarde elle-même est infectée ; avant de restaurer, vous devez donc savoir laquelle est saine. La restauration seule ne suffit pas non plus : si la brèche utilisée par l'attaquant reste ouverte, il reviendra par le même chemin.
Un nettoyage en règle suit cet ordre : le contenu est transféré sur une sauvegarde saine ou une installation neuve du logiciel, le logiciel, le thème et les extensions sont mis à jour, ceux qui ne servent pas sont supprimés, les comptes administrateurs sont examinés, et c'est seulement alors que vous rouvrez le site. Si vous avez un doute à un moment quelconque, il est plus prudent d'inspecter d'abord une copie ailleurs, puis de la mettre en ligne.
Comment retire-t-on une alerte d'un moteur de recherche ou d'un navigateur ?
Une fois le site nettoyé, l'alerte peut ne pas disparaître d'elle-même. Les outils pour webmasters des moteurs de recherche vous signalent qu'un problème de sécurité a été détecté, et une fois le problème corrigé, vous devez demander un nouvel examen. La demande se fait avec une courte explication de ce qu'était le problème et de la façon dont vous l'avez corrigé. Les délais d'examen varient, aucun calendrier ne peut donc être promis.
En attendant, nettoyez les pages étrangères restées dans les résultats de recherche : les adresses que vous n'avez pas créées devraient disparaître, et le plan du site devrait être propre. Une fois les pages malveillantes supprimées, il faut du temps pour qu'elles cessent d'apparaître dans la recherche.
Quelles erreurs commet-on le plus souvent dans la panique ?
La première est de tout supprimer sans faire de copie, ce qui fait perdre la trace de l'attaquant. La deuxième est de ne réparer que la page d'accueil et de laisser la porte dérobée, si bien que l'attaquant revient une semaine plus tard. La troisième est de changer les mots de passe depuis le même ordinateur, qui peut lui-même être compromis.
La quatrième est de cacher l'incident. Si des données de clients ont pu être touchées, une obligation de notification peut apparaître ; c'est une question juridique et vous devriez interroger un juriste. Sur un site qui détient des données personnelles, tenez-en compte dès le premier jour.
- Supprimer avant de copier
- Corriger le symptôme visible sans fermer la brèche
- Changer les mots de passe depuis un appareil peut-être compromis
- Ne pas évaluer avec un juriste l'éventualité d'une exposition de données de clients
Quand est-ce un mauvais choix de nettoyer soi-même ?
Sur un petit site avec une seule installation et une sauvegarde saine, la tâche est souvent faisable. Mais sur un site contenant des données de clients, un parcours de paiement ou un système d'adhésion, ou si vous ne trouvez pas où se cache le code malveillant, s'en charger seul est un choix risqué. Un mauvais nettoyage laisse des restes et le même incident se reproduit.
Dans ces cas, adressez-vous au support de sécurité de votre hébergeur ou à l'équipe qui a construit le site. Trouver le chemin qu'a emprunté l'attaquant fait autant partie du travail que le nettoyage. Toute réparation faite avant de l'avoir trouvé n'est que provisoire.
Quelles protections empêchent que cela se reproduise ?
Les protections sont ennuyeuses mais efficaces. Gardez le logiciel, les thèmes et les extensions à jour et supprimez ceux que vous n'utilisez pas. Utilisez des mots de passe forts et uniques et une vérification en deux étapes sur les comptes administrateurs, et ne donnez à chaque personne que l'accès dont elle a besoin. Conservez les sauvegardes hors du serveur, dans un endroit séparé, et faites-les régulièrement.
Il est aussi utile de vérifier le site de l'extérieur de temps en temps avec des analyses. Les en-têtes de sécurité et une couche de pare-feu réduisent la surface d'attaque. Aucune ne garantit un risque nul ; le but est de rendre une attaque plus difficile et de se rétablir rapidement quand elle survient.
- Mises à jour régulières et suppression des extensions inutilisées
- Mots de passe forts et uniques et vérification en deux étapes
- Moindre privilège : chacun n'obtient que l'accès dont il a besoin
- Sauvegardes régulières et testées, conservées hors du serveur
- Un pare-feu et des en-têtes de sécurité
La règle pour les 24 premières heures après un piratage est simple : arrêter, conserver, changer les mots de passe, signaler, revenir depuis une copie saine et fermer la brèche. Un nettoyage précipité laisse la brèche ouverte. L'étape suivante consiste à mettre en place des mises à jour régulières et une routine de sauvegarde hors du serveur. Si vous souhaitez que nous examinions ensemble la sécurité de votre site, nous serons heureux d'échanger lors d'un entretien de découverte avec rabbitclip.
Questions fréquentes
Dois-je mettre mon site hors ligne tout de suite s'il est piraté ?
Si les visiteurs sont exposés à du code malveillant ou à des redirections, une page de maintenance temporaire est raisonnable. Mais ne supprimez aucun fichier avant d'en avoir fait une copie.
Mon hébergeur nettoiera-t-il le site à ma place ?
Cela dépend de l'entreprise et de votre formule. Certains proposent une assistance ou un service payant, d'autres ne regardent que le côté serveur. Demandez par écrit ce qu'ils feront et ce qu'ils ne feront pas.
J'ai nettoyé le site, mais l'alerte figure toujours dans les résultats de recherche. Que faire ?
Signalez dans les outils pour sites du moteur de recherche que le problème de sécurité est corrigé et demandez un nouvel examen. Aucun délai exact de retrait ne peut être promis.
Et si des coordonnées de clients ont été volées ?
Il peut exister une obligation de notification concernant les données personnelles ; c'est une question juridique, consultez donc un juriste sans attendre. Il est aussi raisonnable de conseiller aux utilisateurs concernés de changer leur mot de passe.
Si j'ai une sauvegarde, le piratage est-il réglé ?
Non. Une sauvegarde ne fait que ramener le contenu. Si la brèche utilisée par l'attaquant reste ouverte, le site peut être repris, d'où la nécessité de mises à jour et de changements de mots de passe.
