Site piraté : que faire, et comment l'éviter ?

Le danger n’est presque jamais le hacker à capuche

Dans les sites piratés que nous avons repris, le coupable n’était jamais un génie du mal. C’était un thème « premium » téléchargé gratuitement, c’est-à-dire une version piratée, installé des années plus tôt. C’était une sauvegarde « temporaire » de trois gigaoctets laissée accessible pendant quatre ans. C’était une extension jamais mise à jour, un compte administrateur oublié, un dossier que plus personne ne regardait. L’économie de quelques dizaines d’euros faite il y a quatre ans qui présente sa facture.

Comment savoir si votre site est piraté

Des pages ou des liens que vous n’avez pas créés, souvent vers des produits douteux. Des redirections vers d’autres sites, parfois seulement depuis Google ou depuis un téléphone. Un avertissement de Google ou de votre navigateur. Un site soudainement lent, ou un hébergeur qui vous alerte sur une consommation anormale. Des e-mails envoyés depuis votre domaine que vous n’avez pas écrits.

Que faire, dans l’ordre

Couper l’accès au site pour arrêter les dégâts, avec une page de maintenance. Sauvegarder l’état actuel, même infecté, pour comprendre ensuite ce qui s’est passé. Restaurer une sauvegarde saine, antérieure à l’intrusion, si vous en avez une, sinon nettoyer fichier par fichier. Changer tous les mots de passe : administration, hébergement, base de données, accès aux fichiers. Mettre à jour le cœur, le thème et les extensions, et supprimer tout ce qui n’est pas utilisé. Puis chercher la porte d’entrée, parce qu’un site nettoyé sans avoir fermé la porte est piraté à nouveau dans la semaine. Enfin, demander à Google de réexaminer le site s’il l’a signalé.

Comment l’éviter

Un site web s’entretient comme des locaux : si personne ne fait jamais le tour du bâtiment, on finit par laisser une porte ouverte sans le savoir. Les habitudes qui protègent ne sont pas techniques : mettre à jour régulièrement, tester avant d’appliquer ; sauvegarder ailleurs que sur le site, et vérifier qu’une sauvegarde se restaure ; n’installer que des thèmes et des extensions achetés à leur éditeur ; supprimer ce qui ne sert plus, comptes compris ; ne jamais laisser de fichier de sauvegarde ou de copie dans un dossier accessible ; et confier le tour du bâtiment à quelqu’un, chaque mois, si vous n’avez pas le temps de le faire.