Site piraté ? Respirez. Voici le plan, dans l'ordre.
Redirections bizarres, avertissement rouge de Google, pages qui parlent de casino ou de pharmacie, admin inaccessible : votre site est probablement compromis. C'est fréquent. Ça se répare. Le diagnostic démarre sous 24 h ouvrées, et vous savez exactement quoi faire, y compris quand la suite relève d'un autre acteur : vous repartez avec le bon contact.
D'abord : comment savoir si votre site a été piraté
Les signes qui ne trompent pas : votre site redirige vers des pages que vous n'avez jamais créées ; Google affiche « Ce site est peut-être piraté » sous votre nom ou un écran rouge d'avertissement ; la Search Console vous a envoyé une alerte de sécurité ; des pages en langue étrangère ou pleines de liens apparaissent dans vos résultats de recherche ; votre admin refuse vos identifiants ; vos clients reçoivent des emails étranges venant de vous. Un seul de ces signes suffit pour agir. Plusieurs, et chaque heure compte. Prestataire injoignable en parallèle ? La page prestataire injoignable : la marche à suivre traite ce second front.
Site WordPress piraté, que faire : les six premières heures, dans l'ordre
Que votre site tourne sous WordPress, PrestaShop ou un développement sur-mesure, les signes et les gestes sont les mêmes. WordPress revient simplement plus souvent dans les demandes reçues, et sa porte d'entrée la plus fréquente est une extension qui n'a plus été mise à jour, ou un compte administrateur au mot de passe réutilisé. Les six gestes ci-dessous valent pour tous les cas.
- Notez ce que vous voyez (captures d'écran, heure) : ça servira au diagnostic et à la plainte
- Changez immédiatement vos mots de passe critiques depuis un appareil sain : messagerie d'abord, puis hébergeur, registrar, admin
- Ne supprimez rien : un site « nettoyé » à la hâte détruit les traces et prépare la réinfection
- Prévenez votre hébergeur : il peut isoler le site sans le vider
- Si des données personnelles sont concernées : notification CNIL sous 72 h, et dépôt de plainte sous 72 h pour préserver la couverture assurance (loi LOPMI)
- Le réflexe public : 17Cyber, le guichet en ligne de cybermalveillance.gouv.fr, vous oriente en quelques questions ; le CSIRT Grand Est répond aux entreprises de la région
Ces gestes tiennent en une heure et conditionnent tout le reste. L'attaquant a choisi l'heure d'entrée. L'heure de sortie, c'est vous qui la choisissez.
Prévenir vos clients : quand, comment, avec quels mots
Faut-il prévenir vos clients ? La question arrive toujours en second et pèse autant que le nettoyage. Deux cas. Si des données personnelles sont concernées (même un simple fichier d'emails), le RGPD tranche pour vous : informer les personnes lorsque le risque est élevé, en plus de la notification CNIL sous 72 h. Si rien n'indique de fuite, la question devient commerciale : vos clients ont-ils pu voir le site compromis, recevoir un email étrange, cliquer sur une redirection ? Si oui, mieux vaut qu'ils l'apprennent par vous que par leur antivirus. Le bon message tient en trois points, dans cet ordre : ce qui s'est passé (factuel, sans jargon ni minimisation), ce qui est en cours (site isolé, nettoyage en cours, date de retour estimée), ce que vous devez faire (ne pas cliquer sur tel type d'email, changer tel mot de passe si vous aviez un compte). Un message court, signé du dirigeant, envoyé une fois ; il se rédige avec vous pendant que le nettoyage tourne, parce que la communication de crise fait partie de l'intervention.
L'hébergeur qui traîne, l'assurance qui attend
Deux acteurs peuvent ralentir votre sortie de crise. L'hébergeur, d'abord : certains isolent le site en quelques heures, d'autres laissent un ticket ouvert pendant des jours. La méthode appliquée chez vous : une demande écrite datée et précise (isoler sans supprimer, fournir les journaux), une relance à échéance nommée, et si rien ne bouge, une restauration ailleurs. La copie de l'état compromis est faite dès le premier jour, votre remise en ligne n'attend pas leur bon vouloir. L'assurance, ensuite : si vous avez un contrat cyber (ou un volet cyber dans votre multirisque professionnelle, vérifiez-le), déclarez le sinistre sans attendre la fin du nettoyage : les délais de déclaration sont courts, et la plainte déposée sous 72 h conditionne l'indemnisation depuis la loi LOPMI. Le rapport d'intervention documente ce que l'assureur demandera : chronologie, étendue, mesures prises. Vous ne remplirez pas le dossier seul. Retour d'expérience, pas un avis juridique.
Ce qui se passe ensuite pour vous
La remise en état suit toujours le même protocole. Diagnostic complet : comment ils sont entrés, depuis quand, ce qui a été touché. Sauvegarde de l'état compromis, pour les traces. Nettoyage complet, faille colmatée, puis remise en ligne sur des bases saines. Demande de réexamen auprès de Google, avec la sortie de blacklist et la récupération SEO qui va avec. Un point sur vos obligations NIS2 si votre entreprise est concernée. Et un rapport final en français lisible : ce qui s'est passé, ce qui a été fait, ce qui change ensuite. Si le socle est trop ancien pour être sauvé, la refonte du site sur des bases saines est chiffrée avant, jamais imposée. Si l'attaque dépasse le site (postes de travail chiffrés, serveurs internes touchés), vous le savez immédiatement et vous êtes orienté vers un spécialiste de la réponse à incident, dont ceux de l'écosystème présenté sur la page cybersécurité à Mulhouse (le périmètre cybersécurité complet est écrit). Ce métier a ses acteurs, et vous repartez avec leur nom. Et parce que la porte d'entrée reste presque toujours un clic, la même suite vous sera proposée qu'à tous : une session de sensibilisation des équipes, pour que la prochaine tentative meure dans une boîte mail.
Les délais qui comptent,
dans l'ordre.
Site piraté :
vos questions, dans l'ordre d'urgence.
Les signes classiques : redirections vers des sites inconnus, avertissement « Ce site est peut-être piraté » dans Google, alerte de sécurité dans la Search Console, pages ou liens que vous n'avez pas créés, admin inaccessible, emails étranges envoyés à vos contacts. Un seul signe justifie un diagnostic, réalisé sous 24 h ouvrées. Si le doute porte sur un email reçu par vos équipes plutôt que sur le site, la sensibilisation phishing traite ce cas.
Ne supprimez rien : l'accès se récupère par la base de données ou l'hébergeur, et un nettoyage précipité détruit les traces. Changez d'abord vos mots de passe critiques (messagerie, hébergeur) depuis un appareil sain, prévenez votre hébergeur, et faites diagnostiquer. C'est une intervention standard : diagnostic, nettoyage, colmatage, remise en ligne. Une fois le site propre, la maintenance sécurisée (mises à jour, MFA, sauvegardes testées) évite la rechute.
Le diagnostic est facturé de façon forfaitaire et annoncé avant toute intervention ; une remise en état complète se situe généralement entre 1 500 et 6 000 € selon l'étendue : nettoyage, colmatage, sortie de blacklist Google et rapport compris. Si le site doit être reconstruit, vous le savez avant, chiffres à l'appui, avec le budget d'une création de site web livrée durcie dès la conception.
Non. C'est la position unanime des autorités (ANSSI, cybermalveillance.gouv.fr) : payer ne garantit rien et finance la suite. Les bons réflexes : isoler, porter plainte sous 72 h (condition de couverture assurance depuis la loi LOPMI), notifier la CNIL si des données personnelles sont touchées, et restaurer depuis des sauvegardes saines. Si vos systèmes internes sont chiffrés, passez par 17Cyber (cybermalveillance.gouv.fr) ou le CSIRT Grand Est : c'est le territoire des spécialistes de la réponse à incident, dont ceux présentés sur la page cybersécurité à Mulhouse.
Non. Une fois le site nettoyé et la faille colmatée, une demande de réexamen est soumise via la Search Console. Google annonce un réexamen en quelques jours ; personne n'a la main sur son calendrier, et les positions se rétablissent ensuite progressivement. Le risque principal est le nettoyage superficiel : Google re-blackliste un site réinfecté, et la sortie devient plus longue à chaque récidive. La récupération SEO après incident fait partie de l'intervention.
Si des données personnelles sont concernées, oui. Le RGPD impose d'informer les personnes en cas de risque élevé, en plus de la notification CNIL sous 72 h. Sinon, la question est commerciale : s'ils ont pu voir le site compromis ou recevoir un email suspect, mieux vaut qu'ils l'apprennent par vous. Le message qui fonctionne a trois points : ce qui s'est passé, ce qui est en cours, ce que vous devez faire. Il se rédige avec vous pendant le nettoyage. Si votre entreprise entre dans le champ de NIS2, l'incident se notifie aussi à l'ANSSI : voir NIS2, êtes-vous concerné.
Cela dépend de votre contrat : beaucoup de multirisques professionnelles incluent désormais un volet cyber, souvent méconnu. Deux réflexes : déclarer le sinistre sans attendre la fin du nettoyage, car les délais de déclaration sont courts, et déposer plainte sous 72 h, condition d'indemnisation depuis la loi LOPMI. Le rapport d'intervention fournit la chronologie et l'étendue des dégâts que l'assureur demandera, et le durcissement qui suit (double authentification, sauvegardes testées) pèse souvent au renouvellement du contrat : voir la sécurisation de site web.
Chaque heure compte :
écrivez maintenant.
Écrivez avec ce que vous observez (captures bienvenues). Diagnostic sous 24 h ouvrées, plan d'action clair, et si votre cas dépasse le périmètre web, le bon contact pour la suite.
hello@s-media.fr · Mulhouse, 68100 · Si votre cas dépasse le périmètre web, vous repartez avec le bon contact