Site piraté : les signes à vérifier

Si l'un de ces signes apparaît, ne supprimez rien dans la précipitation : une copie de l'état actuel sert ensuite à trouver par où l'intrus est entré.

Pourquoi vous ne voyez rien

Beaucoup de piratages sont faits pour rester invisibles au propriétaire. Google décrit le cas du contenu dissimulé : la page paraît normale, ou vide, quand vous l'ouvrez, alors que le robot de Google y voit des mots et des liens de spam, selon son guide sur les sites piratés. D'autres codes ne redirigent que les visiteurs venus d'un moteur de recherche, ou seulement sur téléphone, jamais quand vous tapez l'adresse vous-même.

C'est pourquoi les vérifications ci-dessous passent par Google et par d'autres appareils, pas seulement par votre navigateur habituel.

Les signes

Un avertissement de Google ou du navigateur

Dans les résultats, Google peut afficher « Il est possible que ce site ait été piraté » ou « Ce site risque d'endommager votre ordinateur ». À l'ouverture, Chrome peut montrer une page d'alerte en plein écran. Ces cas sont traités dans « Ce site a peut-être été piraté » : que faire.

Des redirections inattendues

Un visiteur vous signale qu'il est arrivé sur une boutique étrangère, un site de jeux ou une fausse page de gain. Essayez depuis un téléphone, en données mobiles, et en cliquant sur votre site dans un résultat de Google plutôt qu'en tapant l'adresse.

Des pages que vous n'avez pas créées

Des pages en japonais, des noms de médicaments ou des suites de mots sans sens apparaissent dans Google sous votre domaine. Google décrit ces formes de spam dans son guide : le piratage par mots-clés japonais et le piratage par texte incohérent.

Des comptes et des fichiers inconnus

Un administrateur que personne n'a créé dans WordPress, un fichier PHP dans le dossier des médias, une extension que vous n'avez pas installée.

Des courriels qui partent sans vous

Des correspondants reçoivent des messages que vous n'avez pas écrits, vos courriels finissent soudain en indésirables, ou votre hébergeur vous signale des envois en masse.

Les vérifications, dans l'ordre

1. Cherchez `site:votredomaine.fr` dans Google. La liste montre toutes les pages connues de Google sous votre domaine, y compris celles qu'un pirate aurait ajoutées. Ajoutez un mot de spam pour affiner, comme le propose l'aide de la Search Console : site:votredomaine.fr viagra.
2. Consultez l'état de votre site dans le rapport Transparence des informations sur la Navigation sécurisée, qui indique si Google le considère comme dangereux.
3. Ouvrez la Search Console, si votre site y est déclaré : le rapport Problèmes de sécurité liste ce que Google a détecté, avec des exemples d'adresses. L'outil d'inspection d'URL montre la page telle que Google la voit, ce qui révèle le contenu dissimulé.
4. Vérifiez les comptes de WordPress : dans Utilisateurs, filtrez sur le rôle Administrateur et supprimez tout compte inconnu après en avoir noté le nom.
5. Cherchez les fichiers PHP dans le dossier des médias. Aucun n'y est légitime. Avec un accès SSH, depuis le dossier du site :

find wp-content/uploads -name "*.php"

6. Demandez à votre hébergeur si son antivirus ou ses journaux ont relevé quelque chose sur votre site.

Les commandes qui comparent vos fichiers à ceux de WordPress.org, et la remise en état elle-même, sont dans Nettoyer un site WordPress piraté.

Si le piratage se confirme

• Gardez une copie de l'état actuel, fichiers et base, avant toute correction.
• Changez les mots de passe de l'administration de WordPress, de l'espace client d'hébergement et de la base de données.
• Ne restaurez pas une sauvegarde au hasard : si elle date d'après l'intrusion, elle remet le problème en place.
• Si des données personnelles de vos clients ont pu être consultées ou volées, la CNIL demande de lui notifier la violation dans les meilleurs délais, si possible sous 72 heures, quand elle présente un risque pour les personnes.

Chez Hubspace

Sur nos hébergements, un antivirus analyse vos fichiers chaque jour. S'il trouve quelque chose, nous vous prévenons avec le chemin exact du fichier et la nature de la détection, sans rien supprimer sans votre accord, comme l'explique la page sécurité. Si votre site est touché, notre prestation de nettoyage cherche la porte d'entrée, nettoie, remet le site en ligne et vous remet un rapport écrit ; le premier diagnostic est gratuit.

Questions fréquentes