Vous venez de découvrir que votre site redirige vers un casino, affiche une page inconnue ou que Google le signale comme dangereux. La première heure compte : ce que vous faites maintenant détermine si le nettoyage sera simple ou s'il faudra tout reprendre. Ce guide liste les gestes à faire dans l'ordre. Pour la remise en état elle-même, notre rubrique dépannage oriente vers la bonne démarche selon ce que vous observez.
Minute 0 à 10 : constater sans rien toucher
Le réflexe naturel est de supprimer tout de suite ce qui paraît anormal. C'est souvent une erreur : vous effacez les indices qui permettraient de comprendre par où l'attaquant est entré, et donc de fermer la porte.
- Faites des captures d'écran de ce que vous voyez : page modifiée, redirection, alerte du navigateur, e-mail de l'hébergeur. Notez l'heure.
- Notez l'adresse exacte des pages touchées et depuis quel appareil vous les voyez (ordinateur, téléphone, depuis Google ou en tapant l'adresse). Certaines infections ne se montrent qu'à une partie des visiteurs.
- Ne lancez pas de « nettoyage automatique » avec une extension avant d'avoir fait une copie.
Minute 10 à 25 : faire une copie de l'état actuel
Avant toute modification, sauvegardez le site tel qu'il est, infection comprise :
- Les fichiers du site, par FTP ou via le gestionnaire de fichiers de l'hébergeur.
- La base de données, par l'export de phpMyAdmin ou l'outil de sauvegarde de l'hébergeur.
- Si possible, les journaux d'accès du serveur (logs), souvent disponibles dans l'espace client pendant quelques jours seulement.
Rangez cette copie à part, hors de l'hébergement. Elle sert à analyser l'attaque, à revenir en arrière si un nettoyage se passe mal, et de preuve si vous portez plainte ou sollicitez votre assurance.
Minute 25 à 40 : couper les accès de l'attaquant
Changez les mots de passe, depuis un ordinateur sain, dans cet ordre :
- L'espace client de l'hébergeur (c'est la clé de tout le reste).
- Les accès FTP et SFTP.
- Le mot de passe de la base de données (pensez à le reporter dans le fichier de configuration du site, sinon le site s'arrête).
- Les comptes administrateurs du site. Profitez-en pour regarder la liste des utilisateurs : un compte administrateur que vous ne connaissez pas est un signe clair. Nous en parlons sur notre page compte administrateur inconnu.
- La boîte e-mail liée au site, car elle permet souvent de réinitialiser tout le reste.
Activez la double authentification partout où c'est proposé.
Minute 40 à 50 : décider de laisser le site en ligne ou non
Il n'y a pas de réponse unique :
- Si le site redirige vos visiteurs vers des sites dangereux, propose de faux téléchargements ou collecte des paiements, mettez-le en maintenance. Vous protégez vos clients et vous limitez le risque d'alerte Google.
- Si l'infection est discrète (pages de spam visibles seulement dans Google, par exemple), le laisser en ligne quelques heures le temps du diagnostic est généralement acceptable.
- Si votre boutique est touchée, coupez au minimum le paiement en ligne tant que le doute subsiste.
Ne supprimez pas le site : une mise en maintenance suffit, et vous gardez les traces.
Minute 50 à 60 : prévenir les bonnes personnes
- Votre hébergeur, s'il ne vous a pas déjà écrit. Il peut avoir des journaux plus complets et doit savoir que vous traitez le problème, ce qui évite parfois une suspension.
- Votre prestataire web, si vous en avez un.
- Cybermalveillance.gouv.fr, le dispositif public d'assistance, qui publie une fiche pratique sur la sécurité des sites internet et oriente vers des prestataires.
- La CNIL, si des données personnelles (clients, apprenants, inscrits à une newsletter) ont pu être consultées ou volées : la notification doit intervenir dans les 72 heures après la découverte, lorsque la violation présente un risque pour les personnes.
- Votre assureur, si vous avez une garantie cyber ou une responsabilité civile professionnelle qui la couvre. Lisez les conditions : certaines exigent une déclaration rapide.
Ce qu'il ne faut pas faire
- Restaurer une vieille sauvegarde sans vérifier : elle contient peut-être déjà la porte dérobée, et le site sera de nouveau infecté dans quelques jours.
- Se contenter de supprimer le fichier malveillant visible : la plupart des infections laissent plusieurs points d'entrée. C'est une cause fréquente de sites qui se réinfectent après nettoyage.
- Payer une rançon si un message vous le demande : rien ne garantit la restitution, et cela vous désigne comme une cible qui paie.
- Demander tout de suite le réexamen à Google : tant que le site n'est pas propre, la demande sera refusée et la suivante prendra plus de temps. Voyez notre article pour lever l'alerte site dangereux une fois le nettoyage terminé.
Et après la première heure
Une fois les accès coupés et la copie faite, vient le nettoyage proprement dit : identifier la porte d'entrée, supprimer les fichiers et les injections en base, mettre à jour, durcir, puis faire lever les alertes. Selon le cas, cela relève du nettoyage express à 190 € (WordPress standard, infection courante) ou du nettoyage complet à 350 € (infection profonde, boutique, base de données touchée). Le prix est annoncé après un diagnostic gratuit, TVA non applicable.
Pour un avis rapide : 04 82 53 39 32 ou lois.armand@hinsight.org, ou le formulaire de diagnostic gratuit.
Sources
- Cybermalveillance.gouv.fr, fiche pratique sur la sécurité des sites internet
- CNIL, notifier une violation de données personnelles