Mon site a été piraté que faire dans l'ordre : les erreurs fatales que même les experts commettent
En bref
Un site piraté se traite dans un ordre précis, jamais dans la panique.
- Isoler le site sans détruire les preuves techniques
- Changer tous les accès, pas seulement l'administrateur
- Trouver la faille avant tout nettoyage définitif
- Déclarer à la CNIL si des données ont fuité
Mon site a été piraté, que faire dans l'ordre : c'est la question qui tombe toujours au pire moment, souvent un lundi matin devant une page blanche ou des redirections vers un site douteux. La réponse tient en une règle simple que presque personne ne respecte sous le coup du stress : diagnostiquer avant d'agir. Nous avons vu trop de sites perdre leurs traces d'intrusion parce que leur propriétaire a restauré une sauvegarde en dix minutes, convaincu d'avoir réglé le problème. Il l'a juste reporté de trois semaines.
Cet article suit l'ordre réel des priorités, celui qu'un expert en sécurité applique sur le terrain, pas celui qu'on imagine sous l'effet du stress. Mots de passe, logs serveur, base de données, obligations légales : chaque étape a sa place, et aucune ne doit sauter la précédente.
Arrêtez immédiatement : les 3 réflexes qui aggravent tout
Les actions à ne pas faire après découvrir un piratage
Trois réflexes aggravent systématiquement un piratage. Supprimer les fichiers suspects en premier efface les preuves de l'attaque. Redémarrer le serveur efface les logs temporaires en mémoire. Changer le mot de passe administrateur seul laisse les autres accès grands ouverts, ce qui permet à l'attaquant de revenir par une porte dérobée dans les 48 heures suivant la découverte.
Pourquoi restaurer depuis une sauvegarde peut être un piège
Une sauvegarde restaure le contenu, pas la sécurité. Si la faille d'entrée reste ouverte, qu'il s'agisse d'une extension obsolète ou d'un mot de passe FTP compromis, le site piraté repart pour un tour identique sous 72 heures en moyenne selon les retours de terrain des prestataires en nettoyage de malware. La sauvegarde soigne le symptôme, jamais la cause.
Le mythe du nettoyage complet en 24 heures
L'ordre réel des priorités : diagnostic avant action
Mettre le site hors ligne sans perdre les preuves
Le mode maintenance isole le site des visiteurs sans toucher aux fichiers du serveur. Contrairement à une suppression de compte ou à un arrêt brutal d'hébergement, cette méthode conserve l'intégralité des traces nécessaires à l'étape suivante : l'analyse des journaux.
Consulter les logs avant de toucher à quoi que ce soit
Les logs serveur révèlent l'adresse IP de l'attaquant, l'heure exacte de l'intrusion et le fichier par lequel il est entré. Cette lecture précède toute action de nettoyage, car elle seule permet d'identifier la faille réelle plutôt que de traiter un symptôme visible.
Évaluer l'ampleur réelle de la compromission
Changer les mots de passe : bien au-delà de l'administrateur
Changer les mots de passe se limite trop souvent au compte admin du CMS. C'est une erreur qui coûte cher.
Les 7 accès oubliés que les pirates gardent toujours
Sept accès échappent systématiquement à la vigilance : FTP, SFTP, SSH, base de données, espace client de l'hébergeur, comptes e-mail liés au domaine, et API tierces connectées au site. Un pirate conserve souvent un seul de ces accès en réserve, le temps que la vigilance retombe.
Pourquoi la double authentification n'était pas suffisante
Remettre à zéro les droits d'accès serveur
Nous recommandons de régénérer toutes les clés SSH et de révoquer les anciens tokens d'API. Cette remise à zéro complète des droits d'accès serveur ferme les portes dérobées qu'un simple changement de mot de passe laisse grandes ouvertes.
La décision restauration vs nettoyage : comment vraiment choisir
Quand une sauvegarde n'est qu'une fausse solution
Une sauvegarde datant d'avant l'intrusion constitue une solution fiable uniquement si la faille d'entrée a été identifiée et corrigée au préalable. Dans le cas contraire, elle rétablit un site vulnérable identique à celui qui vient d'être compromis.
Identifier les fichiers malveillants sans les effacer
Avantages
- Préserve les preuves pour un dépôt de plainte
- Permet d'identifier le vecteur d'attaque
- Facilite l'audit de sécurité post-incident
Inconvénients
- Demande plus de temps
- Nécessite des compétences techniques
- Retarde la remise en ligne
La faille d'entrée : la trouver avant de nettoyer
Obligations légales en France : ce que vous devez déclarer
Notification CNIL en cas de données personnelles exposées
La CNIL impose une notification dans les 72 heures lorsque des données personnelles de clients ou visiteurs sont exposées lors d'un piratage. Cette obligation découle du RGPD et s'applique dès qu'un responsable de traitement constate une violation de données, même partielle.
Délai réglementaire et responsabilité civile
Le non-respect du délai de 72 heures expose l'entreprise à des sanctions administratives. La responsabilité civile du propriétaire du site reste engagée si aucune mesure de sécurité raisonnable n'avait été mise en place avant l'incident.
Documenter l'incident pour votre protection juridique
Après la crise : le vrai travail commence
Surveiller les logs pendant 3 mois minimum
Un pirate revient souvent tester une porte qu'il croit encore ouverte. Nous conseillons une surveillance active des logs serveur pendant au moins 3 mois après l'incident, période durant laquelle la majorité des tentatives de récidive sont observées.
Implémenter une vraie infrastructure de sécurité
Un pare-feu applicatif, des sauvegardes automatisées hors serveur et un outil de détection d'intrusion constituent le socle minimal. WordPress, cible privilégiée selon les données du secteur, exige une vigilance renforcée sur ses extensions tierces.
Les mises à jour ne suffisent pas : audit de base
Avantages
- Corrige les failles connues
- Réduit la surface d'attaque
- Maintient la compatibilité du CMS
Qui contacter en cas de piratage de compte ?
L'hébergeur reste le premier contact technique, capable de fournir les logs serveur et de confirmer l'ampleur de la compromission. Le dispositif 17Cyber, mis en place par la Gendarmerie nationale et la Police nationale, propose une assistance gratuite disponible 24 heures sur 24. Pour les données personnelles exposées, la CNIL constitue l'autorité de déclaration obligatoire. Un prestataire spécialisé en nettoyage de malware intervient quand l'ampleur dépasse les compétences internes.
Mon site a été piraté, que faire dans l'ordre : la synthèse qui compte
Mon site a été piraté, que faire dans l'ordre reste une question de méthode plus que de rapidité. Diagnostic d'abord, accès ensuite, faille identifiée avant tout nettoyage, déclaration légale si nécessaire, surveillance après coup. Cet ordre protège mieux qu'une restauration précipitée.
Un site nettoyé sans faille corrigée n'est jamais un site sécurisé, juste un site piraté en sursis.
FAQ : vos questions après un piratage
Quelles sont les 6 méthodes de piratage les plus courantes ?
Injection SQL, faille XSS, attaque par force brute sur les mots de passe, extension obsolète vulnérable, phishing ciblant un administrateur, et exploitation d'un accès FTP mal sécurisé dominent les vecteurs recensés sur les sites compromis.
Est-ce grave si j'ai cliqué sur un lien ?
Cliquer sur un lien malveillant déclenche parfois un téléchargement silencieux ou redirige vers une page de vol d'identifiants. La gravité dépend de l'action effectuée ensuite : changez immédiatement vos mots de passe si un formulaire a été rempli.
Comment faire si je me suis fait pirater ?
Isolez le service concerné, changez tous les mots de passe liés, consultez les logs disponibles, puis signalez l'incident à l'hébergeur ou à la plateforme concernée. Le dispositif 17Cyber accompagne gratuitement les particuliers comme les professionnels.
