Votre site a été piraté. Ce qu’il faut faire dans l’heure.

La réponse courte

Un site piraté, c’est un site dans lequel quelqu’un a introduit du code, des pages ou des utilisateurs sans votre autorisation. Pour une petite entreprise, il s’agit presque toujours d’un WordPress avec une extension ou un thème qui n’est pas à jour, ou d’un mot de passe qui a fuité. La réparation tient en trois étapes : refermer la porte par laquelle les pirates sont entrés, nettoyer tout ce qu’ils ont laissé et demander à Google de réexaminer le site. Si l’on se contente d’effacer ce qui se voit, le problème revient.

Comment le repérer

• Des redirections vers du spam. Vous ouvrez votre site depuis Google ou sur votre mobile et vous atterrissez sur une page de paris, de médicaments ou de faux gains. Parfois, cela ne se produit que depuis Google, ou que sur mobile. C’est pourquoi vous ne voyez rien, alors que vos clients, si.
• L’avertissement de Google. Dans les résultats, la mention « Il est possible que ce site ait été piraté » apparaît sous votre site, ou Chrome affiche un écran rouge avant d’y entrer.
• Des pages qui ne sont pas les vôtres. Vous cherchez « site: » suivi de votre nom de domaine et des pages apparaissent en japonais, au nom de fausses marques ou pour des produits que vous ne vendez pas.
• Du spam envoyé depuis votre nom de domaine. Vous recevez des retours d’e-mails que vous n’avez jamais envoyés, ou vos clients vous disent recevoir de votre part des messages étranges. Parfois, c’est le site. D’autres fois, c’est une boîte e-mail dont le mot de passe a fuité ou quelqu’un qui usurpe votre nom de domaine.
• Des utilisateurs que personne n’a créés. Des administrateurs inconnus apparaissent dans votre WordPress.

Que faire en urgence, dans la première heure

• Changez les mots de passe de l’administration du site, de l’hébergement, du FTP et de la messagerie, depuis un ordinateur dont vous êtes sûr qu’il est sain.
• Demandez à votre hébergeur une sauvegarde antérieure à l’attaque, et s’il a remarqué quelque chose. Beaucoup conservent des sauvegardes sur plusieurs jours.
• Déclarez le site dans la Search Console s’il ne l’est pas encore et ouvrez le rapport sur les problèmes de sécurité. Google y montre ce qu’il a trouvé, avec des exemples d’adresses touchées.
• Notez ce que vous voyez et depuis quand : captures d’écran, adresses vers lesquelles le site redirige et dates. Cela sert au nettoyage comme au réexamen par Google.
• Auditez votre site en 20 secondes depuis la page d’accueil. Si la page d’accueil charge des scripts tiers que vous n’avez pas ajoutés, les vérifications le signalent.

Ce qu’il vaut mieux éviter

• N’ouvrez pas les pages infectées dans votre navigateur habituel. Google le déconseille dans son aide. Pour voir ce qu’elles affichent, on utilise l’outil d’inspection d’URL de la Search Console.
• N’effacez pas seulement ce que vous voyez. Supprimer la redirection sans refermer la porte d’entrée, c’est nettoyer pour qu’ils reviennent. Il reste en général une porte dérobée cachée dans un fichier.
• Ne restaurez pas une sauvegarde sans autre précaution. Si elle date d’une période où la faille existait déjà, ils reviennent. On restaure la sauvegarde, puis on met tout à jour et on corrige ce qui a cédé.
• Ne payez pas ceux qui promettent de faire disparaître l’avertissement de Google en quelques heures. C’est Google qui le retire, quand il réexamine le site et le trouve sain. Méfiez-vous aussi des extensions miracles qui « nettoient tout » en un clic.
• Ne demandez pas le réexamen trop tôt. Google demande de nettoyer toutes les pages, pas seulement les exemples du rapport. Il demande aussi de ne pas envoyer de nouvelle demande tant que la précédente est en attente.

Nettoyer un site WordPress piraté

Google propose un guide pour les sites piratés et explique le réexamen dans l’aide du rapport sur les problèmes de sécurité. Voici ce que je fais, dans l’ordre :

• Une copie de tout l’existant, en l’état, avant de toucher à quoi que ce soit.
• Trouver par où les pirates sont entrés : extension, thème, mot de passe ou serveur. Sans cela, le site se réinfecte.
• Nettoyer les fichiers, la base de données et les utilisateurs. Supprimer les pages qu’ils ont créées.
• Tout mettre à jour, supprimer le superflu et protéger l’accès à l’administration.
• Vérifier de l’extérieur que le site ne redirige plus, depuis un mobile et depuis Google.
• Demander le réexamen dans la Search Console en expliquant ce qui s’est passé et ce qui a été fait.
• Laisser en place une surveillance active : alerte Telegram si le site tombe, si le certificat va expirer ou si le nom de domaine arrive à échéance.

Quand faire appel à quelqu’un

Si le site est de nouveau infecté après le nettoyage, si vous ne trouvez pas par où les pirates sont entrés ou si Google affiche déjà l’avertissement, le problème est plus profond qu’il n’y paraît. Chaque jour avec l’avertissement, ce sont des gens qui voient votre nom à côté du mot « piraté » et qui n’entrent pas.

Parfois, mieux vaut quitter WordPress

Un vieux WordPress, chargé d’extensions et que personne ne met à jour, finit par être de nouveau piraté. Si le site est simple, il vaut parfois mieux le refaire en site statique, sans administration ni base de données à attaquer, avec chaque ancienne adresse redirigée vers la nouvelle. Cela s’étudie au cas par cas, et c’est annoncé avant de commencer. Si, en plus, le site affiche des erreurs ou ne se charge plus ou si les formulaires ne vous parviennent pas, tout est réglé en même temps.

Si vous préférez ne pas vous en occuper

Dites-moi ce que vous voyez, depuis quand et avec quoi votre site est construit. Je vous dis ce qui s’est passé et ce qu’il faut pour le nettoyer et le sécuriser, avec un prix fixe avant de commencer. Ce que je ne peux pas promettre, c’est le moment où Google retirera l’avertissement. C’est Google qui en décide, lorsqu’il réexamine le site. Je travaille à distance et en français avec des entreprises hors d’Espagne. Je ne me bats pas sur le prix : je mise sur la qualité et la rapidité.

Questions