Mon site est piraté : que faire, dans l'ordre

Vous ouvrez votre site et il affiche une page que vous n'avez pas écrite. Ou Google vous dit « ce site peut être piraté ». Ou votre hébergeur vous écrit que des mails partent de votre nom. Dans les trois cas, la première réaction est de tout supprimer : c'est exactement ce qui rend la suite plus chère et plus longue.

Voici ce qu'il faut faire, dans l'ordre, sans jargon et sans dramatiser. Ce n'est pas une procédure théorique : c'est la séquence qu'on applique sur un site compromis, et chaque étape a une raison précise.

D'abord : est-ce vraiment un piratage ?

Un site qui affiche une erreur 500, une page blanche ou un certificat expiré n'est pas forcément piraté — c'est souvent une panne d'hébergement, un renouvellement oublié ou une mise à jour ratée. Les signes qui, eux, ne trompent pas :

• Des pages inconnues apparaissent dans Google sous votre nom de domaine (textes en anglais, pages de casino, faux formulaires de connexion).
• Votre site redirige vers une autre adresse, souvent seulement depuis un téléphone.
• Un compte administrateur que vous n'avez pas créé existe dans le back-office.
• Des fichiers ont une date de modification que vous ne vous expliquez pas.
• Votre hébergeur signale des envois de mails massifs depuis votre compte, ou votre domaine commence à tomber dans les indésirables.
• Search Console affiche « site piraté » ou « contenu trompeur ».

Deux de ces signes suffisent pour appliquer la suite. Un seul signe douteux mérite une vérification, pas une nuit blanche.

1. Ne supprimez rien dans la première heure

Tant que le site est en l'état, il est une scène de crime exploitable : on peut voir quel fichier a été ajouté, à quelle date, et par quel compte. Faites trois choses, vite :

• Des captures d'écran des pages anormales, avec l'adresse visible dans la barre du navigateur.
• Une copie complète des fichiers et de la base de données, par FTP ou via le gestionnaire de fichiers de l'hébergeur. Même infectée, cette copie sert de référence.
• Une note datée : ce que vous avez vu, quand, et ce que vous venez de faire. Trois lignes suffisent.

Supprimer la page de phishing fait disparaître la preuve de comment elle est arrivée — et c'est cette information qui évite la rechute trois semaines plus tard.

2. Changez les mots de passe, en commençant par l'hébergement

Pas seulement celui de l'administration du site. Dans cet ordre : hébergement, FTP/SFTP, base de données, administration du site, puis les boîtes mail liées au domaine. Un accès FTP oublié est la porte d'entrée la plus courante, et il donne tout : fichiers, base, mails.

Activez la double authentification partout où elle existe, et vérifiez qu'aucune règle de transfert automatique n'a été ajoutée sur vos boîtes mail (une copie silencieuse de vos messages est un grand classique).

3. Prévenez l'hébergeur, même si le site remarche

Un hébergeur peut isoler le compte, bloquer les envois de mails sortants qui plombent votre réputation et vous dire si d'autres sites du compte sont touchés. Ce mail prend cinq minutes et évite que le problème revienne par un voisin de mutualisé. Demandez aussi explicitement : « y a-t-il eu des connexions FTP ou des envois inhabituels, et sur quelles dates ? »

4. Sauvegardez l'état actuel avant de nettoyer

Une sauvegarde faite après le piratage n'est pas une sauvegarde : c'est une copie du problème. Avant de toucher quoi que ce soit, récupérez une sauvegarde antérieure au piratage — hébergeur, sauvegarde automatique, export manuel. Si vous n'en avez pas, gardez celle d'aujourd'hui et notez-le : c'est cette absence qui décidera entre nettoyer et reconstruire.

5. Cherchez par où c'est entré

Sans cette étape, le nettoyage est cosmétique. Les quatre causes réelles, par fréquence observée :

• Une extension ou un module non mis à jour (le cas le plus courant sur WordPress) : une faille connue, corrigée depuis des mois, exploitable automatiquement.
• Un thème ou un module « gratuit » téléchargé hors dépôt officiel, qui contient déjà une porte dérobée avant même l'installation.
• Un mot de passe faible ou réutilisé, ou un accès FTP qui traîne depuis des années.
• Une tâche planifiée inconnue (cron) qui réinstalle le code malveillant quelques heures après chaque nettoyage. C'est ce qui donne l'impression que « ça revient tout seul ».

Sur un site en PHP, comparez les dates de modification des fichiers avec la date des dernières mises à jour : un fichier index.php modifié à 3 h du matin sans intervention de votre part est un début de réponse.

6. Nettoyez, ou repartez d'une sauvegarde saine

Trois stratégies, dans l'ordre de coût croissant :

• Restauration d'une sauvegarde antérieure au piratage, puis mise à jour immédiate de tout ce qui est en retard. La plus rapide quand la sauvegarde existe et que le site n'a pas changé depuis.
• Nettoyage ciblé : retirer les fichiers ajoutés, les comptes inconnus, les tâches planifiées parasites, les injections dans la base. Efficace quand le piratage est récent et limité.
• Reconstruction quand plus de la moitié des fichiers est touchée ou que la base est infectée : réinstaller proprement, réimporter uniquement les contenus vérifiés.

Un point à ne pas rater : remplacer les fichiers ne nettoie pas la base de données. Sur WordPress, l'injection vit souvent dans la base (options, articles, widgets) ; un site « réinstallé » qui redirige encore est un site dont la base n'a pas été traitée.

7. Faites lever l'avertissement côté Google

Après le nettoyage, connectez-vous à Search Console, section « Sécurité et actions manuelles ». S'il y a une action manuelle, elle reste affichée même une fois le site propre : il faut la traiter explicitement et demander un réexamen. Sans cette demande, l'avertissement « ce site peut être piraté » peut rester des semaines dans les résultats, et c'est lui qui coûte des clients, pas le piratage lui-même.

8. Fermez la porte pour de bon

Un site nettoyé sans ces cinq mesures est un site qui sera repris :

• mises à jour automatiques des extensions et du cœur, ou une revue mensuelle datée ;
• sauvegardes automatiques hors du compte d'hébergement, conservées un mois ;
• double authentification sur l'administration et sur le FTP ;
• un mot de passe unique par service, jamais partagé entre la banque, la messagerie et le site ;
• suppression des extensions et des comptes inutilisés — chaque élément dormant est une porte.

Ce qu'il ne faut pas faire

• Payer. Aucune rançon, aucune « société » qui vous appelle après avoir vu votre site en panne : personne n'a de « solution officielle » à vendre par téléphone.
• Tout supprimer immédiatement, y compris la base et les sauvegardes : on perd la preuve et le seul moyen de restaurer.
• Réinstaller en gardant la même base sans l'avoir contrôlée : le problème revient en quelques jours.
• Se dire que « le site n'a pas assez de visites pour intéresser quelqu'un ». Les robots ne visent pas votre audience : ils utilisent votre domaine pour héberger du phishing. Ce qui est en jeu n'est pas votre trafic, c'est votre nom — et les mails de votre entreprise qui finissent en indésirables chez vos clients.

Combien ça coûte, honnêtement

Trois cas, trois budgets, et le troisième est parfois le moins cher :

• Un seul fichier ajouté, site propre par ailleurs : c'est un petit dépannage, à partir de 150 € chez Reparsite.
• Fichiers touchés, base saine : nettoyage, mise à jour complète, fermeture des accès, mise en conformité — c'est une reprise de site à 900 €, avec audit du contenu, corrections et optimisation mobile (voir la grille complète).
• Base infectée et plus de la moitié des fichiers modifiés : la reconstruction coûte souvent moins cher que le nettoyage. Le dire fait perdre une vente et évite un client mécontent — c'est le bon calcul.

Le diagnostic est gratuit et sans engagement : on regarde d'abord les dates de modification, les comptes et la base, puis on annonce un prix avant de toucher au site. Demandez le diagnostic, ou appelez directement si le site est en ligne avec une page de phishing visible — c'est le seul cas où chaque heure compte vraiment.

Les questions qui reviennent

Combien de temps avant que Google enlève l'avertissement ?

Après nettoyage et demande de réexamen, comptez quelques jours à quelques semaines. Le délai dépend de la demande, pas de votre impatience : c'est la raison pour laquelle l'étape 7 ne se saute pas.

Comment savoir si c'est un piratage et pas une panne ?

Une panne touche l'accès au site (erreur, page blanche, certificat). Un piratage ajoute du contenu ou redirige. Si vos pages habituelles existent encore et qu'il y en a d'autres à côté, c'est un piratage.

Faut-il changer d'hébergement ?

Pas par réflexe. Un mutualisé correct avec mises à jour et sauvegardes fait le travail. En revanche, si l'hébergeur ne fournit ni sauvegarde antérieure ni journal de connexions, le changer devient un argument — pas une punition.