Vous découvrez que votre site redirige vers une boutique inconnue, que Google affiche un avertissement rouge devant votre adresse, ou que des pages en langue étrangère sont apparues dans les résultats de recherche.
Les premières heures comptent, mais pas pour la raison qu'on croit. Ce qui coûte cher, ce n'est pas de perdre une heure : c'est d'agir dans le mauvais ordre. La grande majorité des sites que nous reprenons après une compromission ont été réinfectés dans la semaine, parce qu'on avait réparé les dégâts sans refermer la porte.
Ce qu'il ne faut surtout pas faire
Ne supprimez pas les fichiers suspects tout de suite. Ce sont vos seules traces. Sans eux, impossible de comprendre par où l'intrusion est passée donc impossible d'empêcher la suivante.
Ne réinstallez pas WordPress par-dessus. Cela remplace les fichiers du cœur, qui sont rarement le problème, et laisse intacts les endroits où le code malveillant se loge vraiment : extensions, thème, dossier de contenu, base de données.
N'attendez pas de « voir si ça se reproduit ». Un site compromis sert souvent à envoyer du courrier indésirable ou à héberger des pages frauduleuses. Chaque heure abîme la réputation de votre domaine, et cette réputation met des mois à se reconstruire.
L'ordre des opérations
1. Isoler
Mettez le site hors ligne, ou au minimum en page de maintenance. L'objectif est double : arrêter la nuisance envers vos visiteurs, et empêcher l'attaquant de continuer à opérer pendant que vous travaillez.
Si votre site envoie des e-mails, coupez cette capacité en priorité : c'est ce qui détruit le plus vite la réputation de votre domaine.
2. Préserver une copie
Avant de nettoyer quoi que ce soit, faites une copie complète en l'état : fichiers et base de données. C'est votre dossier d'enquête, et c'est aussi ce qui vous permettra de comparer avec une version saine pour repérer ce qui a été modifié.
Gardez-la à part, clairement identifiée comme compromise, pour ne pas la restaurer par erreur.
3. Reprendre le contrôle des accès
Dans cet ordre : mots de passe de l'administration WordPress, de la base de données, du compte d'hébergement, des accès de transfert de fichiers, et des comptes de messagerie associés.
Deux points spécifiques à WordPress, souvent oubliés :
- Régénérez les clés de sécurité du fichier de configuration. Elles invalident toutes les sessions ouvertes, y compris celle de l'attaquant.
- Vérifiez la liste des comptes administrateurs. La création d'un compte discret est la première chose que fait une intrusion réussie, précisément pour survivre au nettoyage.
4. Remettre en ligne depuis une sauvegarde saine
Si vous avez une sauvegarde antérieure à la compromission, c'est la voie la plus sûre. Deux précautions : vérifier qu'elle est réellement antérieure une intrusion peut être restée discrète plusieurs semaines et vérifier qu'elle est exploitable.
C'est le moment où beaucoup découvrent que leur sauvegarde ne fonctionne pas, n'a jamais été testée, ou date d'il y a bien trop longtemps. Si c'est votre cas, cet article explique pourquoi c'est si fréquent.
5. Chercher le point d'entrée
C'est l'étape qu'on saute, et c'est celle qui détermine s'il y aura une seconde fois. Les suspects, par ordre de fréquence :
- une extension ou un thème non mis à jour de très loin la première cause ;
- une extension abandonnée par son auteur, qui ne recevra plus jamais de correctif ;
- un mot de passe administrateur faible ou réutilisé ailleurs ;
- une version de WordPress en retard sur un correctif de sécurité publié, comme la faille wp2shell ;
- plus rarement, une faille chez l'hébergeur ou sur un site voisin d'un serveur mutualisé.
Les journaux d'accès de l'hébergeur, croisés avec la date de modification des fichiers altérés, désignent presque toujours le coupable.
6. Traiter l'obligation légale
Si des données personnelles ont pu être consultées et un simple formulaire de contact en contient, vous devez notifier la CNIL dans les 72 heures, et informer les personnes concernées si le risque pour elles est élevé.
C'est le point que presque personne n'anticipe, et il ne dépend ni de la taille du site ni du nombre de visiteurs. L'obligation pèse sur vous en tant que responsable du traitement.
7. Demander la levée du signalement
Si Google a marqué votre site comme dangereux, la suppression de l'avertissement se demande explicitement depuis la Search Console, après nettoyage. Tant que ce n'est pas fait, l'avertissement reste affiché aux visiteurs même sur un site parfaitement propre.
Pourquoi ça arrive presque toujours de la même façon
Sur les compromissions que nous reprenons, le point d'entrée est presque toujours un composant non mis à jour. Pas une attaque ciblée, pas un pirate qui vous a choisi : un balayage automatisé qui teste des milliers d'adresses à la recherche d'une version vulnérable connue.
C'est une bonne nouvelle, en un sens : cela signifie que le risque se réduit massivement par de l'entretien régulier plutôt que par des outils sophistiqués. C'est exactement ce que couvre notre maintenance de site web mises à jour vérifiées, surveillance, et sauvegardes dont la restauration a été testée.
Après : les trois choses à mettre en place
- Des mises à jour appliquées, avec vérification avant mise en production.
- Une sauvegarde automatique dont vous avez déjà testé la restauration. Une sauvegarde jamais restaurée n'est pas une sauvegarde.
- Une surveillance qui vous prévient avant vos clients.
Un site nettoyé sans point d'entrée identifié n'est pas réparé. Il est en sursis.