Votre site internet a été piraté et vous vous demandez que faire : d'abord préserver l'état du site, ensuite nettoyer, enfin fermer la porte d'entrée. Nous supprimons le code malveillant et les web shells, identifions le chemin utilisé par l'attaquant, changeons tous les accès, vérifions la sauvegarde par une vraie restauration et demandons à Google de retirer l'avertissement. Vous récupérez un site sain et un rapport écrit sur l'incident.

Les signes d'un site piraté

L'attaquant cherche souvent à exploiter le site le plus longtemps possible et cache donc ses modifications. Le piratage est alors découvert par un tiers : Google, l'hébergeur, un client.

Les signes les plus fréquents :

  • Google affiche « Ce site a peut-être été piraté » dans les résultats, ou le navigateur bloque la page ;
  • les visiteurs sur mobile sont redirigés vers un autre site, alors que le site paraît normal sur ordinateur ;
  • la Search Console signale des milliers de nouvelles pages en langue étrangère ;
  • un compte administrateur inconnu apparaît dans le CMS ;
  • l'hébergeur suspend l'hébergement pour envoi de spam ou surcharge ;
  • la page d'accueil est remplacée par un message de revendication. Cybermalveillance.gouv.fr appelle cela une défiguration : l'altération par un pirate de l'apparence d'un site internet.

Avant notre intervention : laisser les traces intactes

Dans les premières heures, l'essentiel est de garder la preuve de ce qui s'est passé. La copie de l'état compromis est le seul moyen de retrouver la faille.

Jusqu'à notre arrivée, gardez fichiers, base de données et journaux tels quels. Restaurer une ancienne sauvegarde par-dessus le site en ligne ou réinstaller le CMS efface les traces dont nous avons besoin. Ne payez aucune rançon. Changez les mots de passe de l'hébergement et du CMS depuis un ordinateur qui n'est pas concerné.

Qui prévenir et dans quels délais

Les démarches dépendent des données touchées. Le tableau ci-dessous reprend les obligations et recommandations officielles, avec leur source.

Démarche Délai Qui est concerné Source
Notification à la CNIL dans les meilleurs délais, si possible 72 heures responsable du traitement, si la violation présente un risque pour les personnes article 33 du RGPD, CNIL
Documentation interne de la violation toujours tout responsable du traitement, même sans notification article 33.5 du RGPD, CNIL
Information des personnes concernées dans les meilleurs délais en cas de risque élevé pour leurs droits et libertés article 34 du RGPD
Plainte au plus tôt, preuves à l'appui la victime Cybermalveillance.gouv.fr
Alerte à l'hébergeur dès la découverte le titulaire de l'hébergement Cybermalveillance.gouv.fr

La notification à la CNIL passe par son téléservice, réservé aux responsables de traitement. Si toutes les informations ne sont pas disponibles dans les 72 heures, la CNIL accepte une notification en deux temps : une première notification, puis un complément. Votre entreprise notifie ; nous lui fournissons la chronologie tirée des journaux et la liste des données que l'attaquant pouvait atteindre.

Ce que nous faisons pour réparer le site

Nous ramenons le site à un état sain vérifiable et fermons le chemin utilisé par l'attaquant. Tant que la cause reste ouverte, le même chemin reste disponible pour une deuxième intrusion.

Le travail suit cet ordre :

  1. Préserver. Copie complète des fichiers, de la base de données et des journaux du serveur avant toute modification.
  2. Contenir. Mode maintenance ou blocage des chemins malveillants, selon ce qui gêne le moins votre activité.
  3. Comparer. Fichiers du cœur, des extensions et des thèmes comparés aux originaux de l'éditeur ; tout fichier modifié ou ajouté est listé.
  4. Supprimer le malware. Web shells, comptes inconnus, tâches planifiées, code injecté dans la base, pages de spam, redirections.
  5. Trouver la faille. Lecture des journaux du serveur web et des connexions, dates des fichiers, composants obsolètes, droits d'accès.
  6. Renouveler les secrets. Mots de passe, clés d'API, clés de salage et clés SSH que l'attaquant a pu lire.
  7. Tester la restauration. Une sauvegarde saine est restaurée sur un environnement séparé pour prouver qu'elle fonctionne.

Site WordPress hacké : les causes fréquentes

Sur WordPress, les causes habituelles sont des extensions et thèmes non mis à jour, des mots de passe réutilisés et une interface d'administration exposée sans double authentification. Dans l'OWASP Top 10:2025, ces causes relèvent des catégories Software Supply Chain Failures, Authentication Failures et Security Misconfiguration.

L'ANSSI recommande, pour un CMS, de limiter au strict nécessaire les extensions et les thèmes, d'utiliser des composants activement maintenus et d'activer l'authentification multifacteur pour les administrateurs. Après le nettoyage, nous appliquons ces mesures : suppression des extensions abandonnées, éditeur de fichiers du tableau de bord désactivé, MFA pour chaque compte administrateur, droits d'écriture du serveur limités aux dossiers qui en ont besoin.

L'avertissement de Google

L'avertissement dans les résultats et dans le navigateur reste en place jusqu'à ce que le propriétaire demande un réexamen dans la Search Console et que Google juge le site sain. D'après Google, un réexamen prend de quelques jours à quelques semaines.

Google demande que le problème soit corrigé sur toutes les pages et que la demande décrive le problème, les mesures prises et le résultat. Une demande envoyée trop tôt retarde le réexamen suivant et peut, selon Google, faire classer le site comme récidiviste. Nous envoyons donc la demande après notre contrôle final et suivons la réponse.

Ce que vous recevez

Le travail se termine par un site sain et un document que vous pouvez transmettre à votre direction, votre assureur ou la CNIL.

  • Un site et un serveur nettoyés, avec la faille fermée.
  • De nouveaux mots de passe et clés, remis par un canal convenu.
  • Une sauvegarde vérifiée par restauration, avec la date et le contenu restauré.
  • Un rapport : par où l'attaquant est entré, ce qui a été touché, ce que nous avons fait, ce qu'il reste à faire.
  • La demande de réexamen auprès de Google, si un avertissement était affiché, et sa réponse.

Ce dont nous avons besoin

Nous avons besoin d'un accès et d'un interlocuteur qui décide. Concrètement : l'accès à l'hébergement ou au serveur, un compte administrateur du CMS, l'accès à la Search Console, les sauvegardes existantes et une lettre de cadrage (scope letter) signée, qui précise les systèmes que nous pouvons toucher et ceux qui restent hors périmètre.

Les limites de la prestation

Nous nettoyons, analysons et renforçons. La notification à la CNIL, la plainte et l'information de vos clients restent du ressort de votre entreprise. Nous ne sommes ni une autorité ni des enquêteurs, et l'avis juridique sur votre responsabilité vient de votre avocat. Personne ne peut garantir qu'un site ne sera plus jamais attaqué. Sur une plateforme sans accès au serveur, le travail se limite aux comptes, scripts, intégrations et DNS, et la lettre de cadrage le précise.

Les risques d'un nettoyage par extension, par chatbot ou en urgence

Un nettoyage rapide fait souvent disparaître le symptôme visible et laisse la porte dérobée. Les cas typiques : une sauvegarde restaurée qui contenait déjà le malware, des journaux supprimés qui auraient montré l'entrée, des mots de passe changés depuis un poste lui-même infecté.

Une extension de nettoyage travaille depuis l'installation compromise et voit mal le code placé hors du CMS. Un chatbot n'a pas accès à vos journaux. Un prestataire sans périmètre écrit répond rarement de ce qui arrive après son passage. Nous travaillons sous contrat, avec un périmètre fixe ; chaque constat est vérifié par une personne et un contrôle final clôt la mission.

Coût et cocontractant

Chaque réparation reçoit un prix ferme dans la lettre de cadrage, après un court échange. Les principaux facteurs sont le nombre de sites, l'ampleur de l'infection et l'état des sauvegardes.

Les missions de sécurité sont conclues avec INNOVA CONSULT LTD., Ottawa, Ontario (Corporations Canada, numéro de société 1522612). Le rapport vous appartient.

Pages liées

Sources (vérifiées le 23/10/2026)

Maksym Stepanenko, fondateur de Marketing MIX. Dernière vérification : 23 octobre 2026.