Site WordPress piraté : que faire dans les premières heures, et dans quel ordre
Sommaire
Introduction
Il est neuf heures, votre site affiche une page que vous n'avez pas écrite, ou Google vient d'avertir vos visiteurs qu'il y a un problème. La question n'est pas technique : vous voulez savoir par quel bout prendre la journée.
La réponse tient en six gestes, et leur ordre compte davantage que leur contenu : couper l'accès au public, reprendre la main sur les accès, dater l'intrusion, restaurer un point antérieur, prévenir les bonnes personnes, puis demander à Google de réexaminer le site. Deux inversions suffisent à transformer un incident d'une journée en incident de trois semaines.
Cet article ne vous apprend pas à savoir si vous êtes concerné, c'est le sujet des sept signes d'un site WordPress piraté que nous avons traité juste avant celui-ci. Ici, le doute est déjà levé et il reste à agir.
Rien de ce qui suit ne demande une compétence de développeur et rien n'exige de signer avec qui que ce soit : les six gestes sont les vôtres, y compris si vous restez sur WordPress.
La première heure : couper, sans rien effacer
Le premier réflexe du dirigeant est de chercher la cause, et c'est le seul moment de la journée où ce réflexe est mauvais. Tant que le site répond, il continue de servir à vos visiteurs et à Google ce que l'intrus y a mis : la coupure vient avant le diagnostic.
Couper ne veut pas dire supprimer. Mettre le site en maintenance, c'est-à-dire afficher une page d'attente unique à la place de toutes les autres, suffit à arrêter la diffusion sans toucher au contenu.
Pourquoi la page de maintenance passe avant le reste
Une page d'attente qui dure quelques heures ne pèse rien sur votre référencement, et il vaut mieux qu'elle renvoie un code d'indisponibilité temporaire plutôt qu'une page introuvable. Ce que vous ne voulez pas, c'est qu'elle s'installe des semaines : passé ce délai, Google finit par retirer les pages qu'il ne peut plus lire, et ce que signifie demander à Google de ne pas indexer une page devient alors un sujet en soi.
Si vous ne savez pas produire cette page, votre hébergeur a presque toujours un interrupteur de maintenance dans son tableau de bord, et un appel à son support suffit. L'important est la minute où le site cesse de répondre, pas l'élégance de ce qui s'affiche à la place.
Dans la même heure, prenez des captures d'écran de tout ce qui vous a alerté, même maladroites. Elles tiennent lieu de constat si un assureur, un client ou un prestataire vous demande plus tard ce qui s'est passé.
Reprendre la main sur vos accès, et dans quel ordre
Une intrusion laisse presque toujours derrière elle un moyen de revenir, et ce moyen est le plus souvent un accès parfaitement légitime. Changer les mots de passe est donc le deuxième geste, mais l'ordre dans lequel vous les changez décide de son efficacité.
La boîte mail passe avant le site
Tous les formulaires de réinitialisation du monde envoient leur lien à une adresse électronique, et cette adresse est la vraie clé de votre site. Si elle est compromise, changer le reste est inutile : l'intrus redemandera un lien et reprendra la main.
Commencez donc par l'adresse qui reçoit ces liens, puis par le compte de votre hébergeur, puis par les comptes d'administration du site, dans cet ordre précis. Cette hiérarchie est aussi la raison pour laquelle une adresse professionnelle attachée à votre domaine vaut mieux qu'une adresse personnelle ouverte il y a dix ans.
Les accès que l'on oublie presque toujours
Le compte de transfert de fichiers, l'accès à la base de données et les comptes des prestataires passés sur le site depuis des années font partie du lot. Un ancien stagiaire oublié compte autant qu'une porte laissée ouverte par l'intrus.
Profitez de ce passage pour relever les comptes d'administration que vous ne reconnaissez pas, et notez-les avant de les retirer. Ce relevé servira à l'étape suivante, celle qui consiste à dater l'intrusion.
Au moindre doute sur un accès, changez-le quand même : aucun de ces changements ne casse un site qui fonctionne. Le seul effet secondaire est une demi-journée de réglages pour remettre vos propres outils en service.
Dater l'intrusion avant de restaurer quoi que ce soit
C'est l'étape que presque tout le monde saute, et c'est celle qui décide de tout le reste. Restaurer une sauvegarde postérieure à l'intrusion remet en ligne un site déjà compromis, et vous aurez tout refait pour rien.
Dater ne demande aucun outil : il suffit de trouver le plus ancien élément anormal et de regarder quand il est apparu. Une page inconnue, un compte d'administration que vous n'avez pas créé, un fichier modifié un dimanche à quatre heures du matin donnent une date de première trace.
Ce que vous cherchez dans vos sauvegardes
Vous cherchez la dernière copie dont vous êtes certain qu'elle est antérieure à cette date, et non la plus récente. La plupart des hébergeurs conservent une à quatre semaines de copies quotidiennes, ce qui laisse peu de marge quand la trace la plus ancienne remonte à deux mois.
Si aucune copie n'est assez ancienne, la question change de nature et devient celle du prochain article de cette série, nettoyer ou repartir d'une base propre. Retenez simplement, à ce stade, que l'absence de copie saine est le facteur qui fait pencher la balance.
Les trois gestes qui ruinent la suite
Supprimer les fichiers suspects avant d'avoir noté leur date efface la seule information qui permettait de choisir une sauvegarde. Réinstaller le site par-dessus lui-même écrase les mêmes traces, et restaurer avant d'avoir changé les accès vous ramène au point de départ en quelques heures.
Un quatrième geste, plus rare, consiste à demander une restauration à son hébergeur sans lui préciser la date voulue. Vous récupérez alors la copie la plus récente, c'est-à-dire la plus probablement compromise.
Restaurer un point antérieur, à quelles conditions
La restauration n'est pas le premier geste, c'est le quatrième, et elle n'a de sens qu'une fois les trois précédents faits. Elle suppose une copie datée d'avant l'intrusion, des accès déjà changés et un site encore hors ligne.
L'ordre qui évite une seconde intrusion
Restaurez d'abord, mettez à jour ensuite, et ne rouvrez au public qu'en dernier. Entre la restauration et la réouverture, une demi-heure de vérification suffit : page d'accueil, formulaire de contact, deux ou trois pages de contenu, et la liste des comptes d'administration.
Une copie antérieure fait aussi disparaître les contenus publiés depuis, et c'est la contrepartie la plus désagréable de l'opération. Mieux vaut récupérer ces textes à la main depuis le site compromis que renoncer à une sauvegarde saine pour les garder.
Si votre hébergeur propose la restauration en un clic, demandez-lui par écrit la date exacte de la copie qu'il va remettre en place. Cette précaution vous évite de découvrir après coup une copie trop récente.
Une fois le site rouvert, gardez-le sous surveillance pendant une semaine plutôt que de refermer le dossier le soir même. Une seconde apparition dans les jours qui suivent signifie qu'un accès est resté ouvert, et rien d'autre.
Qui prévenir, dans quel ordre, et avec quels mots
Votre hébergeur vient en premier, parce qu'il voit des choses que vous ne voyez pas et qu'il peut couper plus vite que vous. Le reste dépend de ce qui a été exposé, pas de la gravité ressentie sur le moment.
Si le site collecte des données personnelles, et un simple formulaire de contact y suffit, l'incident entre dans le champ du règlement général sur la protection des données. Ce texte prévoit une notification à l'autorité de contrôle dans un délai de soixante-douze heures lorsque la violation présente un risque pour les personnes concernées, et une information de ces personnes dans les cas les plus sérieux.
Nous ne sommes pas juristes et cet article ne remplace pas un avis juridique : le périmètre exact de cette obligation se vérifie auprès de l'autorité compétente de votre pays. Ce qui est certain, c'est que le délai court à partir du moment où vous avez connaissance de l'incident, pas à partir du jour où vous avez fini de réparer.
Vos clients viennent ensuite, et une phrase factuelle vaut mieux qu'un silence : vous avez constaté un incident, le site est en maintenance, vous les rappelez dans la journée. Le silence crée la rumeur bien plus efficacement que l'annonce.
Si vous travaillez avec une agence ou un développeur, prévenez-le avant de toucher à quoi que ce soit, même si la relation s'est distendue. Il connaît l'historique du site et fera gagner des heures sur la datation.
Faire lever l'avertissement affiché par Google
Quand Google a signalé le site, la remise en ligne ne suffit pas : l'avertissement affiché aux visiteurs reste jusqu'à ce que vous demandiez un réexamen. Cette demande se dépose dans l'onglet de sécurité de la Search Console, et elle n'a de sens qu'après le nettoyage.
Le délai de réponse se compte en jours plutôt qu'en heures, et une demande déposée sur un site encore compromis repart avec un refus. Rien n'empêche, en attendant, de relancer l'exploration de vos pages en soumettant à nouveau votre plan de site, un geste que le guide du sitemap XML décrit pas à pas.
Ce que la demande de réexamen ne fait pas
Elle ne restaure pas vos positions, elle retire un avertissement. Les pages indexées que l'intrus avait ajoutées mettent plusieurs semaines à sortir de l'index, et c'est le cours normal des choses.
Décrivez dans la demande ce que vous avez fait, en trois lignes et sans jargon : ce que vous avez constaté, la date de la copie restaurée, les accès changés. Une demande rédigée en langage clair passe aussi bien qu'une autre.
Pendant la coupure, votre activité continue ailleurs
Un site en maintenance n'est pas une entreprise fermée, et c'est le moment de se souvenir que votre fiche d'établissement, vos réseaux et votre ligne téléphonique fonctionnent toujours. Beaucoup d'appels arrivent sans jamais passer par le site.
Mettez un mot sur votre fiche d'établissement et sur vos réseaux, avec le numéro à appeler, et vous perdez beaucoup moins de demandes qu'en laissant la page d'attente parler seule. C'est aussi ce qui explique le poids de cette fiche dans les recherches de proximité, un terrain que le référencement local traite en détail.
Les clients qui avaient un rendez-vous ou une commande en ligne se préviennent nominativement, un par un. Un message la veille vaut mieux qu'un client devant une porte fermée.
La semaine suivante : qui regarde le site désormais
L'incident est clos quand plus personne n'y pense, et c'est précisément là qu'il recommence. La question qui reste n'est pas de savoir si WordPress est mauvais, mais qui porte la veille et les mises à jour de votre site le mois prochain.
Trois organisations existent et chacune se défend. Vous tenez tout vous-même, vous confiez la maintenance à un prestataire, ou vous passez sur un socle où l'éditeur porte les mises à jour à votre place.
La première tient parfaitement, et des dirigeants la tiennent pendant des années, à condition de s'en occuper tous les mois sans exception. C'est la condition qui saute la première quand l'activité s'intensifie.
La troisième a sa contrepartie, qu'il serait malhonnête de passer sous silence : vous dépendez d'un éditeur unique, vous ne décidez pas du calendrier des évolutions, et une application métier sur mesure n'y est pas à sa place. Pour un site vitrine, une boutique de taille raisonnable ou un site de prise de rendez-vous, cette contrepartie ne se voit jamais.
C'est le choix que nous faisons avec Wix pour la grande majorité de nos clients, parce que la charge de sécurité quitte le dirigeant sans quitter personne. Le travail change de main, il ne disparaît pas.
Les trois fenêtres de temps, et ce qui se joue dans chacune
Fenêtre | Ce que vous faites | Pourquoi maintenant | Ce que cela évite |
Première heure | Site en maintenance, captures d'écran | La diffusion continue sinon | Visiteurs exposés, signalement aggravé |
Première heure | Accès changés, messagerie en premier | L'intrus revient par un accès légitime | Une seconde intrusion le lendemain |
Dans la journée | Datation de la première trace | La date choisit la sauvegarde | Restaurer un site déjà compromis |
Dans la journée | Restauration d'une copie antérieure | Les accès sont déjà changés | Un nettoyage qui ne tient pas |
Dans la journée | Hébergeur prévenu, puis les clients | Le délai de notification court déjà | Une obligation découverte trop tard |
Dans la semaine | Demande de réexamen, suivi de l'index | L'avertissement ne tombe pas seul | Un site propre mais signalé |
Le mois suivant | Attribution de la veille mensuelle | L'oubli est la cause suivante | Le même incident un an après |
Ce qu'en dit un client, anonymisé
Une entreprise de services installée en région, cliente chez nous depuis la refonte de son site, avait vécu l'épisode deux ans plus tôt avec son ancien prestataire. Son dirigeant avait tout fait dans le mauvais ordre, et de parfaite bonne foi.
« J'ai supprimé les fichiers bizarres le matin, j'ai remis la sauvegarde de la veille l'après-midi, et le surlendemain c'était revenu. Personne ne m'avait dit que cette sauvegarde contenait déjà le problème, ni que mon adresse électronique était le vrai trou. »
Son site est aujourd'hui sur un socle dont il ne porte plus les mises à jour, et il n'a pas eu à revivre cette journée. Ce qui a changé n'est pas sa prudence, c'est la répartition du travail.
Questions fréquentes
Faut-il couper le site tout de suite, même si tout semble fonctionner ?
Oui, dès lors que vous avez un signe sérieux, parce qu'un site qui répond continue de diffuser ce qu'on y a mis. Une page de maintenance de quelques heures seulement ne laisse aucune trace durable sur votre référencement.
Quel délai faut-il prévoir pour remettre le site en ligne ?
Une journée suffit quand une sauvegarde saine existe et que les accès sont repris proprement. Sans copie antérieure à l'intrusion, le délai se compte en jours et la question devient celle du nettoyage ou de la reconstruction.
Peut-on restaurer la sauvegarde la plus récente pour aller plus vite ?
C'est l'erreur la plus fréquente, parce que la copie la plus récente est très souvent postérieure à l'intrusion. La seule copie utile est celle dont vous êtes certain de la date, antérieure à la première trace relevée.
Faut-il prévenir ses clients, au risque d'inquiéter tout le monde ?
Oui quand des données personnelles ont pu être exposées, et une phrase factuelle y suffit. Le silence se retourne contre vous le jour où un client découvre l'incident par un autre chemin.
Est-ce qu'un incident de ce type fait perdre définitivement son référencement ?
Non dans la très grande majorité des cas, à condition de ne pas laisser le site compromis en ligne pendant des semaines. Les positions reviennent, les pages ajoutées par l'intrus sortent de l'index, et la perte reste temporaire.
Faut-il un prestataire pour appliquer cette marche à suivre ?
Non, les six gestes se font avec un accès à votre hébergeur et à la Search Console, sans logiciel à installer. Un prestataire devient utile après l'incident, pour que personne n'ait à revivre cette journée.
Repartir sur une base que vous ne portez plus seul
Lacky est une agence web spécialisée sur Wix depuis 2014, partenaire au niveau Légende, et travaille à distance partout en France et en Belgique. Sa fiche publique la présente comme une agence certifiée Wix depuis janvier 2014 et recense les projets livrés ainsi que les avis des clients qui les ont commandés.
Décrivez-nous votre activité et vos objectifs, nous vous établissons un devis détaillé sous 24h pour votre nouveau site vitrine Wix, un site dont vous ne porterez ni les mises à jour ni la sécurité. Envoyez-nous votre demande et nous vous répondons avec un plan de reprise clair, sans engagement.
Nous intervenons par visioconférence et par téléphone, ce qui raccourcit les délais plutôt que de les allonger.
