Les signes qui doivent vous alerter
Un site piraté ne ressemble pas toujours à un site cassé. Souvent, il s’affiche presque normalement, car le pirate a intérêt à rester discret. Il se sert de votre site pour envoyer vos visiteurs ailleurs, publier des pages de publicité ou envoyer des e-mails indésirables.
Le signe le plus fréquent est la redirection : un visiteur clique sur votre site et arrive sur une page de casino, de faux médicaments ou de faux cadeaux. Parfois, cela n’arrive que depuis Google, ou seulement sur téléphone. C’est pour cela que vous ne le voyez pas forcément vous-même.
D’autres signes doivent vous alerter : des pages que vous n’avez jamais créées, des résultats Google avec des mots étrangers sous votre nom, un compte administrateur inconnu, un site soudain très lent. Un message de Google indiquant « Ce site a peut-être été piraté », ou un e-mail de votre hébergeur qui suspend votre site, sont des alertes à prendre très au sérieux.
Vérifier sans paniquer
Commencez par une recherche Google : tapez « site: » suivi de votre adresse, par exemple « site:mon-entreprise.fr ». Parcourez les résultats. Si vous voyez des pages en japonais, des titres de produits que vous ne vendez pas ou des textes sans rapport avec votre métier, votre site a très probablement été compromis. Testez aussi votre site sur votre téléphone, en passant par une recherche Google plutôt qu’en tapant l’adresse : c’est souvent dans ces conditions que la redirection se déclenche.
Si vous avez accès à la Search Console, l’outil gratuit de Google qui suit votre site, ouvrez la rubrique consacrée aux problèmes de sécurité. Google y signale les piratages qu’il a détectés. Dans votre tableau de bord WordPress, regardez aussi la liste des utilisateurs et celle des extensions installées.
Une extension, c’est un module qu’on ajoute à WordPress pour lui donner une fonction, comme un formulaire ou une galerie. Si vous en trouvez une que vous ne connaissez pas, ou un utilisateur que vous n’avez pas créé, notez-le, sans rien supprimer pour l’instant.
Les premiers gestes à faire tout de suite
Changez tous vos mots de passe, et pas seulement celui de WordPress. Il faut aussi changer celui de votre espace hébergeur, celui de l’accès aux fichiers du site et celui de la base de données, qui stocke vos contenus. Choisissez des mots de passe longs et différents pour chacun.
Prévenez votre hébergeur. Il peut souvent vous dire quand et comment le piratage a eu lieu, et certains proposent une aide au nettoyage. Demandez-lui aussi s’il dispose d’une sauvegarde ancienne, antérieure au piratage.
Si votre site contient un formulaire ou des comptes clients, pensez aussi aux données. Des adresses e-mail ou des coordonnées ont pu être lues. Selon les cas, vous devrez prévenir les personnes concernées, ainsi que la CNIL dans les 72 heures.
Ne supprimez pas tout dans la précipitation. Les fichiers modifiés par le pirate permettent de comprendre par où il est entré. Sans cette information, vous risquez de remettre en ligne un site qui sera piraté à nouveau quelques jours plus tard.
Nettoyer le site et refermer la porte
Le nettoyage consiste à retirer tout ce que le pirate a ajouté : fichiers, pages, comptes, extensions. La solution la plus sûre est souvent de repartir d’une sauvegarde saine, antérieure au piratage, puis de tout mettre à jour aussitôt. Sans sauvegarde, il faut inspecter le site fichier par fichier, ce qui demande un vrai savoir-faire.
Une fois le site propre, refermez la porte par laquelle le pirate est entré. Mettez à jour WordPress, votre thème et toutes vos extensions. Supprimez les extensions dont vous ne vous servez plus, car même désactivées, elles peuvent rester une porte d’entrée.
Si Google affichait un avertissement, demandez-lui de réexaminer votre site depuis la Search Console. Après vérification, l’alerte disparaît. Un piratage peut aussi faire chuter votre site dans les résultats : le guide mon site n’apparaît pas sur Google vous aide à retrouver votre place.
Prévenir plutôt que réparer
La grande majorité des piratages passe par une faille connue dans une version ancienne de WordPress ou d’une extension. Les mises à jour corrigent ces failles. Un site mis à jour régulièrement est donc bien plus difficile à pirater.
Limitez le nombre d’extensions et choisissez-les parmi celles qui sont maintenues et largement utilisées. Utilisez des mots de passe solides, et activez la double authentification si possible : en plus du mot de passe, un code envoyé sur votre téléphone est demandé à chaque connexion.
Enfin, faites des sauvegardes régulières, stockées en dehors de votre site. Le jour où un problème survient, elles vous évitent de tout perdre. Ma maintenance, à 200 €/an, comprend justement des sauvegardes régulières.
Si votre site est trop ancien pour être remis d’aplomb, ou si les piratages se répètent, il est peut-être temps de vous poser la question d’une refonte. Que vous soyez dans l’Yonne ou ailleurs, vous pouvez me décrire la situation : je vous dirai ce qui est possible.
Questions fréquentes
Un pirate peut-il s'intéresser à un petit site comme le mien ?
Oui. La plupart des attaques sont automatiques : des robots testent des milliers de sites à la recherche d'une faille, sans se soucier de leur taille.
Supprimer le site et le remettre suffit-il ?
Non, si vous remettez la même version. La faille sera toujours là, et le pirate reviendra. Il faut nettoyer, mettre à jour et refermer la porte.
Mes clients risquent-ils quelque chose ?
Ils peuvent être redirigés vers des sites malveillants. C'est pourquoi il faut agir vite, et prévenir vos clients si des données ont pu être exposées.
