Votre site WordPress a été piraté : les 24 premières heures
Du pourriel dans vos résultats de recherche, un avertissement rouge dans le navigateur, des redirections que vous n’avez pas créées. Quoi faire la première journée — dans le bon ordre — pour que le site soit nettoyé une fois, pas trois.
Les signes sont généralement l’un de trois : un avertissement rouge dans le navigateur des visiteurs, des mots-clés indésirables sous votre site dans Google, ou des visiteurs redirigés vers un endroit que vous n’avez jamais configuré. Peu importe la forme, la première journée détermine si le site sera nettoyé une fois ou réinfecté à répétition.
Première heure : préserver, ne pas supprimer dans la panique
Faites une copie complète du site tel qu’il est — fichiers et base de données — avant de modifier quoi que ce soit. Cela semble contre-intuitif, mais cette copie est votre preuve. Sans elle, impossible de savoir comment ils sont entrés ou ce qu’ils ont touché.
Ne commencez pas encore à supprimer les fichiers suspects. Vous effaceriez la piste, et vous en oublieriez presque certainement.
De la première à la quatrième heure : confiner
- Changez tous les mots de passe : administrateurs WordPress, panneau d’hébergement, base de données, FTP/SFTP, et le compte courriel lié au domaine.
- Cherchez des comptes administrateurs que vous n’avez pas créés, et retirez-les.
- Mettez le site en maintenance s’il attaque activement les visiteurs, pour ne pas servir de maliciel pendant que vous travaillez.
De la quatrième à la douzième heure : trouver le point d’entrée
C’est l’étape que la plupart des services rapides sautent, et la raison pour laquelle les sites sont réinfectés en quelques semaines.
- Comparez les fichiers avec des copies propres du cœur de WordPress, des thèmes et des extensions pour voir exactement ce qui a changé.
- Examinez les journaux d’accès autour du moment où les problèmes ont commencé.
- Listez chaque extension et thème avec sa version, et vérifiez chacun contre les vulnérabilités connues. Les extensions abandonnées sont souvent en cause.
De la douzième à la vingt-quatrième heure : nettoyer correctement
- Remplacez le cœur, les extensions et les thèmes à partir de sources fraîches et fiables plutôt que de tenter de désinfecter les fichiers sur place.
- Retirez les portes dérobées — souvent de petits fichiers PHP dans les dossiers de téléversement, ou déguisés sous des noms plausibles.
- Fouillez la base de données à la recherche de scripts injectés et de contenu indésirable.
- Retirez ou mettez à jour ce qui les a laissés entrer. S’il s’agit d’une extension abandonnée, remplacez-la.
Ensuite : rétablir votre réputation
Une fois le site véritablement propre, demandez un réexamen dans Google Search Console, demandez le retrait des autres listes de blocage, et nettoyez les pages indésirables indexées sous votre domaine.
Après coup
La plupart des compromissions que nous voyons remontent à un entretien qui a cessé. Des mises à jour selon un calendrier, le retrait des extensions inutilisées, des mots de passe uniques et robustes avec authentification multifacteur, et des sauvegardes hors d’atteinte du serveur web préviennent la grande majorité des récidives.
Pour le portrait complet, voir Google avertit les visiteurs que notre site est dangereux. Le nettoyage et l’entretien relèvent de notre pratique WordPress.
- WordPress
- Réponse aux incidents
- Maliciel