Les 5 étapes essentielles pour récupérer votre site web piraté rapidement

En cas de piratage de votre site web, il est crucial d’agir sans paniquer : limitez les dégâts, isolez le site, réinitialisez tous les accès, restaurez depuis une sauvegarde saine, éliminez le code malveillant et mettez en place des mesures de sécurité durables. Durant les premières 24 heures, l’objectif est d’empêcher l’accès du pirate, protéger vos visiteurs et vos données, éviter d’envoyer de mauvais signaux aux moteurs de recherche et remettre en ligne votre site de manière vérifiée.

Le piratage d’un site ne consiste pas uniquement à remplacer la page d’accueil par une image étrange. La plupart des hackers préfèrent rester discrets : ils génèrent des pages de spam, modifient les formulaires de paiement, créent des comptes administrateur, insèrent des codes de redirection dans la base de données ou utilisent votre serveur pour l’envoi massif d’emails. Ainsi, la récupération ne se limite pas à supprimer des fichiers. Il faut une intervention méthodique qui conserve les preuves, vérifie la propreté et empêche toute récurrence.

Ce guide décrit les 5 premières étapes d’urgence à suivre en cas de piratage, avec des explications accessibles mais suffisamment techniques pour une mise en œuvre rapide. Que votre site soit sous WordPress, une solution maison, un e-commerce ou une plateforme corporate, les mêmes principes s’appliquent : isolez, coupez les accès, retournez à une source propre, vérifiez, renforcez.

Signes que votre site web a été piraté

Un piratage ne se manifeste pas toujours par une panne visible. Certains attaques restent invisibles pendant des semaines. Si vous constatez l’un des signes suivants, considérez-le comme un incident de sécurité et non une simple erreur technique :

• Apparition de titres liés au jeu, médicaments, crypto ou contenus adultes sous votre site dans les résultats Google.
• Avertissements de site dangereux, phishing ou connexion non sécurisée dans le navigateur.
• Impossibilité d’accéder au panneau d’administration ou présence de comptes admin inconnus.
• Augmentation soudaine du trafic CPU, RAM, disque ou d’envois d’emails sur le serveur.
• Modifications inattendues dans .htaccess, index.php, wp-config.php ou fichiers de thème.
• Redirection des visiteurs vers des domaines suspects.
• Envois massifs d’e-mails depuis votre hébergement sans votre consentement.
• Désactivation des plugins de sécurité ou suppression des logs.

Par exemple, un blog qui reçoit normalement 2 000 visites par jour et qui génère soudainement 30 000 requêtes, est généralement victime de bots, attaques de force brute ou scripts malveillants. De même, un thème passant de 10 Mo à 80 Mo en quelques jours peut indiquer la présence de fichiers de backdoor.

Les 30 premières minutes après le piratage : preuves et contrôle avant panique

Votre premier réflexe ne doit pas être la suppression de tout. Effacer des fichiers au hasard peut détruire les traces de l’attaque, compliquer le nettoyage et vous mener à restaurer une mauvaise sauvegarde. Commencez par faire une « photo » de la situation : notez date, heure, alertes reçues, URLs touchées, comptes suspects, dernières modifications et logs d’hébergement. Ces informations sont précieuses pour le support technique ou un expert en sécurité.

Pour les sites traitant des données personnelles, d’e-commerce ou de membres, il est essentiel de documenter l’incident. Identifiez les données potentiellement affectées, le début de l’attaque et les IP ayant tenté des accès. Si vous êtes hébergé sur Hostragons, donnez au support le nom de domaine, le dossier impacté, la période concernée et les messages d’erreur pour accélérer l’intervention. Pour en savoir plus sur le choix de l’hébergement, consultez Offres d'hébergement web sécurisé.

Étape 1 : Isolez votre site et limitez les dégâts

La première action d’urgence consiste à empêcher le pirate ou le code malveillant de causer davantage de dommages. Cela revient à fermer la vanne de gaz avant d’éteindre un incendie. Il n’est pas forcément nécessaire de couper totalement le site, mais il faut protéger vos visiteurs contre les redirections malveillantes, faux formulaires de paiement ou fichiers infectés.

Activez le mode maintenance ou restreignez l’accès temporairement

Avec WordPress, vous pouvez activer une page de maintenance, sur un site custom, retourner un code 503 temporaire ou ouvrir l’accès uniquement à certaines IP. Le code 503 indique aux moteurs de recherche que le site est temporairement indisponible, ce qui est préférable à un 404 ou une page vide. Si le site distribue du malware ou fait du phishing, il vaut mieux le couper complètement.

• Ne laissez pas le panneau d’administration accessible à tous : appliquez des restrictions IP.
• Désactivez temporairement l’exécution de PHP dans les dossiers d’upload.
• Si l’envoi d’emails est détourné, coupez l’accès SMTP.
• Si la page de paiement est touchée, coupez temporairement le POS virtuel et les intégrations de paiement.

Conservez les logs et l’état actuel des fichiers

Pendant l’isolement, sauvegardez les logs d’accès, logs d’erreurs, historiques FTP et actions du panneau de contrôle. La majorité des attaques exploitent une extension obsolète, un mot de passe FTP faible, un compte admin compromis ou une mauvaise permission d’écriture. Sans logs, il devient difficile de trouver la cause racine, ce qui expose à une nouvelle attaque après nettoyage.

Pensez aussi à télécharger les fichiers sur votre ordinateur pour les analyser dans un environnement sécurisé (avec antivirus). Si votre panneau d’hébergement propose des options de sauvegarde, gardez une copie de l’état du site pour analyse uniquement, pas comme sauvegarde propre. Pour des stratégies de sauvegarde régulière, consultez solutions d'hébergement avec sauvegarde automatique.

Étape 2 : Réinitialisez tous les accès, mots de passe et clés

Beaucoup de propriétaires changent seulement le mot de passe admin après un piratage. Mais le point d’accès du pirate peut être FTP, base de données, panneau d’hébergement, clé SSH, compte email, token API ou intégration tierce. La deuxième étape consiste à réinitialiser tous les identifiants de manière exhaustive.

Quels mots de passe faut-il changer ?

• Mot de passe du panneau de contrôle d’hébergement.
• Mots de passe FTP, SFTP et utilisateurs SSH.
• Mot de passe utilisateur base de données et paramètres de connexion.
• Comptes administrateur CMS et tous les comptes éditeurs.
• Comptes email, notamment ceux utilisant votre nom de domaine.
• Clés API, tokens des systèmes de paiement, accès CDN et DNS.
• Clés d’accès pour Git, déploiement, automatisation et sauvegarde.

Un mot de passe solide doit comporter au moins 16 caractères, être unique et difficile à deviner. Utiliser le même mot de passe sur plusieurs plateformes expose votre site lors de fuites de données. Activez la double authentification (2FA) partout où c’est possible, surtout pour les comptes admin. Le 2FA réduit considérablement l’impact d’une attaque de force brute.

Supprimez les comptes suspects et terminez les sessions actives

Dans votre CMS, ne vous contentez pas de désactiver les utilisateurs inconnus : notez leur rôle, date de création et actions réalisées, puis supprimez-les. Sur WordPress, vous pouvez renouveler les clés de sécurité pour terminer toutes les sessions. Sur un site custom, nettoyez la table des sessions. Pour un e-commerce, vérifiez en priorité les comptes ayant des droits de gestion.

Par exemple, un pirate peut accéder à un ancien compte éditeur et charger une web shell via une extension. Si vous ne changez que le mot de passe admin, le compte éditeur reste actif. Vérifiez donc la matrice des droits, limitez les rôles admin et éditeur inutiles. La sécurité du nom de domaine, DNS et SSL doit aussi être assurée : voir Gestion de nom de domaine et sécurité DNS et solutions de certificats SSL.

Étape 3 : Restaurez depuis une sauvegarde propre ou mettez en quarantaine les zones infectées

La méthode la plus rapide et sûre consiste à restaurer une sauvegarde vérifiée, prise avant l’attaque. L’essentiel est de s’assurer qu’elle est vraiment propre. Une sauvegarde d’hier peut être infectée si l’attaque a commencé il y a une semaine. Analysez donc la date des sauvegardes, les logs et les changements de fichiers ensemble.

Comment choisir une sauvegarde saine ?

Déterminez d’abord la première apparition des signes d’infection. Par exemple, si une alerte Google Search Console date du 12 mars, mais que les logs serveur montrent des requêtes POST suspectes le 5 mars, la sauvegarde du 12 mars n’est pas fiable. Analysez celles du 4 mars ou avant. Passez la sauvegarde au crible d’un scan de sécurité avant restauration.

• La date de sauvegarde doit être antérieure à l’apparition de l’attaque.
• Il ne doit pas y avoir de comptes admin inconnus.
• Vérifiez l’intégrité des fichiers : comparez les fichiers core du CMS avec le package officiel.
• Recherchez dans la base de données des iframes cachés, code base64, scripts suspects et contenu spam.
• Après restauration, effectuez toutes les mises à jour logicielles.

Que faire si vous n’avez pas de sauvegarde ?

Sans sauvegarde propre, soyez plus minutieux : déplacez le site sur un environnement de staging ou temporaire, mettez en quarantaine les fichiers suspects, rechargez les fichiers core du CMS depuis la source officielle, remplacez thèmes et extensions par des versions propres. Le dossier d’upload est souvent le repaire des pirates ; vérifiez les fichiers .php, .phtml, .phar.

La propreté de la base de données est aussi cruciale que celle des fichiers. Les redirections malveillantes peuvent être cachées dans les paramètres du site, widgets, options de thème ou contenus d’article. Pour les grandes bases, recherchez les expressions script, iframe, eval, atob, base64_decode, gzinflate, shell_exec et document.location. Attention, tout code base64 n’est pas malveillant : une suppression erronée peut casser le site. Faites toujours une copie de la base avant toute intervention.

Étape 4 : Nettoyez le code malveillant, mettez à jour et corrigez la faille

Restaurer votre site ne suffit pas. Si vous ne trouvez pas comment le pirate est entré, il pourra revenir par la même faille. Cette quatrième étape vise à finir le nettoyage, corriger les vulnérabilités et ajuster les configurations.

Checklist pour le système de fichiers

• Listez les fichiers modifiés récemment et analysez les changements inattendus.
• Comparez les fichiers core du CMS avec la version officielle.
• Vérifiez les dossiers d’upload pour la présence de fichiers exécutables.
• Inspectez les fichiers cachés (.user.ini, .htaccess), souvent utilisés pour des redirections.
• Réduisez les permissions : en général 644 pour les fichiers, 755 pour les dossiers.
• Supprimez thèmes, extensions, vieilles archives zip et dossiers de test inutiles.

Sur WordPress, désinstallez les extensions inutilisées, ne les laissez pas simplement désactivées. Un vieux plugin slider, formulaire ou gestionnaire de fichiers peut rester sur le serveur et présenter un risque. Les thèmes « nulled » ou extensions sans licence sont souvent truffés de backdoors : un gain économique immédiat qui peut ruiner votre réputation et exposer les données clients.

Ordre des mises à jour

Commencez par mettre à jour le système core, puis le thème, puis les extensions. Si votre version de PHP est obsolète, testez la compatibilité et migrez vers une version récente et supportée. En 2026, les sites sur de vieilles versions de PHP sont extrêmement vulnérables. Côté hébergement, privilégiez PHP à jour, comptes isolés, sauvegarde régulière et firewall. Pour en savoir plus, consultez Hébergement web Hostragons.

Vérifiez aussi que votre certificat SSL est valide. Un SSL ne protège pas contre le piratage, mais chiffre les échanges et limite les effets des faux formulaires. Sur les pages de connexion, paiement et inscription, SSL est indispensable. Pour le choix des certificats, consultez acheter un certificat SSL.

Étape 5 : Vérifiez, surveillez et protégez durablement avant la remise en ligne

Dernière étape : confirmer que le site est vraiment sain et éviter toute répétition du problème. Si cette étape est négligée, les alertes peuvent réapparaître quelques jours après la remise en ligne. La vérification concerne à la fois l’aspect technique et les processus métiers.

Contrôles avant la remise en ligne

• Testez la page d’accueil, login, paiement et URLs populaires sur différents appareils.
• Vérifiez les rapports de sécurité et actions manuelles dans Google Search Console.
• Inspectez le sitemap et le fichier robots.txt.
• Analysez les logs serveur pour des erreurs répétées 404, 500, POST et tentatives de login.
• Vérifiez la réputation d’envoi d’emails ; si vous êtes sur une blacklist, lancez la procédure de retrait.
• Testez les formulaires de paiement, contact et upload de fichiers.

Si Google ou les navigateurs ont marqué votre site comme dangereux, demandez une réévaluation après nettoyage. Décrivez précisément les actions menées : suppression d’un vieux gestionnaire de fichiers, renouvellement des mots de passe admin, désactivation de l’exécution PHP dans le dossier d’upload, etc. Évitez les explications vagues.

Mesures de protection durable

La sécurité n’est pas une action ponctuelle, mais un processus continu. Même pour un site corporate de taille modeste, un plan de maintenance mensuel réduit drastiquement le risque. Au minimum : vérification hebdomadaire des mises à jour, sauvegarde quotidienne, politique de mot de passe fort et surveillance des logs. Pour les sites à fort trafic : WAF, CDN, protection avancée contre les bots et scans externes sont recommandés.

Pour une entreprise, définissez aussi clairement qui fait quoi : qui met à jour, qui vérifie les sauvegardes, qui reçoit les alertes, qui passe le site en mode maintenance en cas d’incident ? Répondez à ces questions avant le problème, pour que l’équipe applique le plan sans panique.

Étapes complémentaires pour le SEO, la réputation et la confiance utilisateur

Même après un nettoyage technique, il reste des mesures SEO à prendre. Les pirates génèrent souvent des milliers d’URLs de spam ; si elles sont indexées, il faut les traiter via codes 404, 410 ou une stratégie de redirection adaptée. Rediriger tous les spams vers la page d’accueil n’est pas toujours pertinent, Google peut y voir un signal de mauvaise qualité.

Dans Search Console, vérifiez les pages indexées, problèmes de sécurité, actions manuelles et sitemaps. Après suppression du contenu malveillant, soumettez à nouveau le sitemap, mais uniquement après avoir vérifié que les pages de spam ont disparu. Si des titres malveillants apparaissent lors de requêtes sur votre marque, demandez explicitement une recrawl des pages propres.

Côté utilisateurs, communiquez de manière transparente mais sans générer de panique. Si des données personnelles, infos de paiement ou comptes membres sont potentiellement touchés, respectez vos obligations légales et procédures RGPD. Pour un simple site vitrine, la gestion sera différente ; pour un e-commerce ou un site avec comptes, l’étendue de l’incident doit être évaluée avec professionnalisme.

Erreurs fréquentes à éviter lors de la récupération

Certaines erreurs dans la gestion du piratage peuvent causer plus de dégâts que l’attaque elle-même. La plus courante est de considérer le problème résolu dès la remise en ligne. Un fichier backdoor oublié permet au pirate de revenir. Autre erreur : restaurer une sauvegarde sans vérification. Une sauvegarde infectée remet en ligne le code malveillant.

• Ne pas faire de sauvegarde avant le nettoyage.
• Supprimer seulement le fichier malveillant visible sans chercher la cause racine.
• Continuer à utiliser des extensions ou thèmes obsolètes.
• Donner un accès admin complet à tous les utilisateurs.
• Effacer ou écraser les logs sans analyse.
• Supposer qu’un site avec SSL est entièrement sécurisé.
• Télécharger thèmes et extensions depuis des sources non fiables ou gratuites.

Des permissions de fichiers trop larges facilitent aussi l’attaque. Donner un accès 777 peut sembler une solution rapide, mais c’est un risque majeur en production. Appliquez toujours le principe des droits minimaux, et limitez l’écriture aux dossiers strictement nécessaires.

Résumé rapide des actions d’urgence

Pour une récupération efficace après piratage, respectez l’ordre : isolez le site, réinitialisez tous les accès, restaurez ou nettoyez soigneusement, corrigez la faille et vérifiez avant la remise en ligne. Cette approche réduit les risques techniques, ainsi que les pertes SEO et de réputation.

Avec Hostragons, vous pouvez renforcer la résilience de votre site grâce à un hébergement sécurisé, des certificats SSL, une gestion de domaine et des solutions de sauvegarde. Pour revoir la structure d’hébergement de votre site, commencez par Packages d'hébergement Hostragons et Vérification de domaine et gestion de nom de domaine. Avant d’acheter, rappelez-vous que votre priorité doit être le bon équilibre entre rapidité, sécurité, sauvegarde et support.

FAQ : Questions fréquentes sur la gestion d’un site piraté

Dois-je retirer mon site immédiatement en cas de piratage ?

Si votre site distribue du code malveillant, redirige les utilisateurs ou affecte les formulaires de paiement, limitez immédiatement l’accès. Pour des cas moins graves, activez le mode maintenance (503) ou restreignez l’accès par IP. L’objectif est de protéger les visiteurs tout en signalant aux moteurs de recherche que la situation est temporaire.

Restaurer une sauvegarde propre suffit-il ?

Non. Une sauvegarde propre permet une récupération rapide, mais si la cause du piratage n’est pas identifiée, votre site peut être à nouveau compromis. Après restauration, changez tous les mots de passe, effectuez les mises à jour, vérifiez les permissions et corrigez la faille de l’extension, du thème ou de la configuration.

Le piratage peut-il faire perdre le référencement SEO de mon site ?

Si l’incident est court et bien géré, la perte SEO n’est pas forcément définitive. Mais des pages de spam indexées, une alerte de sécurité Google ou une fermeture prolongée du site peuvent impacter le ranking. Après nettoyage, vérifiez Search Console, demandez une réévaluation et supprimez les URLs de spam.

Pourquoi mon site WordPress est-il piraté plusieurs fois ?

Les causes fréquentes de piratage répété sont des fichiers backdoor oubliés, des extensions obsolètes, des mots de passe faibles, des comptes admin inutiles, des permissions incorrectes et des sauvegardes infectées. Ne vous contentez pas de supprimer le code visible : faites une analyse de cause racine et renouvelez tous les accès.

Le choix de l’hébergement impacte-t-il la sécurité ?

Oui. Un hébergement avec comptes isolés, PHP à jour, sauvegardes régulières, firewall, scan de malware, support réactif et compatibilité SSL améliore la sécurité. L’hébergement seul ne supprime pas tous les risques, mais réduit l’exposition et accélère la récupération.