Site web piraté : que faire dans les premières heures

Un site piraté se traite dans l'ordre : isoler le site pour stopper les dégâts, changer immédiatement tous les mots de passe d'administration, restaurer une sauvegarde propre antérieure à l'incident, identifier et corriger la faille exploitée, puis évaluer si des données personnelles ont été compromises pour respecter l'obligation de notification RGPD si nécessaire. Agir dans cet ordre évite de restaurer le site pour qu'il soit repiraté immédiatement.

Le vrai problème : la panique fait perdre du temps utile

Découvrir que son site est piraté déclenche souvent une réaction de panique qui pousse à agir dans le désordre : supprimer des fichiers au hasard, changer le contenu affiché sans comprendre la cause, ou au contraire ne rien faire par peur d'aggraver la situation. Ces deux extrêmes sont contre-productifs. La bonne nouvelle, c'est que la grande majorité des piratages de sites (surtout sur les CMS comme WordPress) suivent des schémas connus et se résolvent avec une procédure méthodique, sans expertise de très haut niveau.

L'urgence réelle n'est pas de tout réparer en une heure, c'est de stopper la propagation des dégâts : empêcher le contenu malveillant de continuer à s'afficher, éviter que l'attaquant garde un accès, et éviter que Google indexe des pages frauduleuses qui pénalisent durablement le référencement du site.

La checklist à suivre dans l'ordre

1. Mettre le site hors ligne ou en mode maintenance immédiatement, pour stopper l'exposition du contenu malveillant aux visiteurs et aux robots de Google.
2. Changer tous les mots de passe d'administration : CMS, hébergement, base de données, FTP, et nom de domaine si l'accès à ce niveau est en doute. Un mot de passe compromis réutilisé ailleurs doit être changé partout.
3. Révoquer les accès suspects : comptes administrateurs créés sans votre validation, clés API ou tokens inconnus, applications tierces connectées non reconnues.
4. Identifier l'étendue des dégâts : pages modifiées, fichiers ajoutés, redirection injectée, base de données altérée. Une comparaison avec la dernière sauvegarde propre aide à circonscrire précisément ce qui a changé.
5. Restaurer une sauvegarde antérieure à l'incident, en vérifiant qu'elle est effectivement propre (une sauvegarde prise après l'infiltration initiale peut déjà contenir la faille ou le code malveillant).
6. Identifier et corriger la cause : plugin obsolète, mot de passe faible, faille connue non corrigée. Sans cette étape, le risque de répétition reste élevé.
7. Mettre à jour l'ensemble du site (CMS, thèmes, plugins) avant remise en ligne définitive.
8. Évaluer l'impact sur les données personnelles et déclencher si nécessaire la procédure de notification RGPD.
9. Surveiller le site dans les jours suivants pour confirmer qu'aucun accès résiduel n'a été conservé par l'attaquant.

L'obligation RGPD de notification en cas de fuite de données

Si le piratage a exposé des données personnelles de vos utilisateurs ou clients (emails, adresses, mots de passe, informations de paiement), le RGPD impose une procédure précise, pas une option :

• Notification à la CNIL sous 72 heures après la découverte de la violation, sauf si le risque pour les personnes concernées est jugé négligeable.
• Information des personnes concernées si la violation présente un risque élevé pour leurs droits et libertés (par exemple des mots de passe ou données bancaires exposés).
• Documentation de l'incident, même sans notification obligatoire : nature de la violation, données concernées, mesures prises. Cette documentation peut être demandée en cas de contrôle ultérieur.

Un piratage qui ne touche que l'apparence du site (defacement, redirection) sans accès aux données ne déclenche pas cette obligation, mais l'analyse de l'étendue réelle des dégâts doit être menée avant de l'écarter trop vite.

Identifier la cause pour éviter la répétition

Les causes les plus fréquentes de piratage sur un site professionnel restent des failles connues et évitables : plugin ou thème obsolète, mot de passe faible ou réutilisé, absence d'authentification à deux facteurs sur l'administration, ou hébergement mutualisé compromis via un autre site du même serveur. Un audit rapide de ces points après incident permet le plus souvent d'identifier la porte d'entrée sans expertise poussée.

Ce qui ralentit inutilement la remise en ligne

• Restaurer une sauvegarde sans vérifier qu'elle est antérieure à l'infiltration, ce qui réintroduit la faille.
• Remettre le site en ligne avant d'avoir changé tous les mots de passe, laissant un accès ouvert à l'attaquant.
• Ignorer les logs du serveur, qui contiennent souvent des indices précis sur la méthode d'intrusion.
• Ne pas prévenir l'hébergeur, qui peut disposer d'informations utiles (autres sites touchés sur le même serveur, alertes déjà détectées de son côté).

Ce qu'il faut retenir

• La procédure suit un ordre précis : isoler, changer les accès, restaurer une sauvegarde propre, corriger la cause, évaluer l'impact sur les données.
• Restaurer une sauvegarde sans identifier la cause expose à un nouveau piratage rapide, parfois via la même faille.
• Une fuite de données personnelles impose une notification à la CNIL sous 72 heures et, selon le risque, une information des personnes concernées.
• La majorité des piratages de sites exploitent des failles connues (plugin obsolète, mot de passe faible), pas des attaques sophistiquées.
• Une sauvegarde récente et testée est l'élément qui accélère le plus la remise en ligne après incident.

Questions fréquentes

Dois-je fermer complètement mon site le temps de résoudre le problème ? Souvent oui, temporairement. Le mode maintenance ou hors ligne empêche le contenu malveillant de continuer à s'afficher ou d'être indexé pendant que vous traitez l'incident.

Faut-il prévenir la CNIL en cas de piratage ? Uniquement si des données personnelles ont été compromises. Le RGPD impose alors une notification sous 72 heures, et une information aux personnes concernées si le risque pour elles est élevé.

Puis-je restaurer le site sans savoir comment il a été piraté ? C'est risqué : si la faille n'est pas corrigée, le site peut être repiraté rapidement, parfois via la même méthode. Identifier la cause avant remise en ligne évite de reproduire l'incident.

Combien de temps prend la remise en ligne d'un site piraté ? Avec une sauvegarde propre récente et une cause identifiée rapidement, la remise en ligne peut se faire en quelques heures. Sans sauvegarde exploitable, cela peut prendre plusieurs jours.

En résumé

Un site piraté n'est pas une fatalité irréversible : une procédure méthodique (isoler, sécuriser les accès, restaurer, corriger la cause) permet le plus souvent une remise en ligne en quelques heures à quelques jours. La meilleure préparation reste en amont, avec des sauvegardes régulières et testées qui rendent cette checklist beaucoup plus rapide à exécuter. La formule site web par abonnement VeryAppi inclut la surveillance et les sauvegardes qui limitent l'impact d'un incident de ce type.