Un client vous appelle : en cliquant sur votre site, il s’est retrouvé sur une page de pharmacie en ligne. Vous avez probablement un site WordPress piraté. D’autres signes trompent rarement : Chrome affiche un grand écran rouge avant votre page d’accueil, ou un administrateur nommé « wpsupport » apparaît sans que personne chez vous ne l’ait créé.
Respirez. Ce que vous faites dans la prochaine heure compte plus que la vitesse à laquelle vous le faites.
Ne commencez pas par tout effacer
Le premier réflexe, c’est souvent de supprimer le site, de réinstaller WordPress ou de restaurer la sauvegarde d’hier. Évitez-le.
Effacer, c’est détruire les traces qui permettent de comprendre par où l’attaquant est entré. Sans cette information, vous refermez la porte d’en avant et vous laissez celle d’en arrière ouverte. Et la sauvegarde d’hier contient peut-être déjà le code malveillant, puisque bien des infections dorment pendant des jours ou des semaines avant de se manifester.
Avant de toucher au site, faites deux choses rapides. Prenez des captures d’écran de ce que vous voyez (la redirection, l’avertissement, le compte suspect). Notez l’heure à laquelle vous avez constaté le problème et la personne qui l’a signalé. Ces détails serviront à votre hébergeur, et peut-être plus tard à votre registre d’incidents.
Site WordPress piraté : les gestes de la première heure
- Avertissez votre hébergeur. Il a accès aux journaux du serveur, peut voir quels fichiers ont été modifiés récemment et sait souvent reconnaître une infection courante en quelques minutes. Chez nous, ouvrez un billet en précisant que le site est compromis; c’est une personne de l’équipe qui vous répond, en français.
- Mettez le site hors ligne ou en mode maintenance si la page redirige vos visiteurs ou leur propose des téléchargements. Mieux vaut un site fermé une heure qu’un client qui installe un logiciel malveillant à partir de votre adresse.
- Changez les mots de passe, en partant du plus puissant : le panneau de contrôle de l’hébergement, l’accès FTP ou SFTP, la base de données, puis chaque compte administrateur WordPress. Faites-le à partir d’un ordinateur que vous savez sain.
- Allez dans Utilisateurs et supprimez tout administrateur que vous ne reconnaissez pas. Vérifiez aussi les comptes existants : un attaquant peut modifier l’adresse courriel d’un vrai compte pour en garder le contrôle.
- Changez les clés de sécurité de WordPress dans le fichier wp-config.php. Ça déconnecte immédiatement toutes les sessions ouvertes, y compris celle de l’attaquant.
- Changez le mot de passe de la boîte courriel liée au compte administrateur. Si elle est compromise, l’attaquant n’a qu’à demander une réinitialisation pour revenir.
Ça représente une quarantaine de minutes de travail pour quelqu’un qui connaît ses accès. Si vous ne savez pas où sont vos accès, c’est la première chose à régler après la crise.
Ensuite : trouver la porte d’entrée
Une fois les accès verrouillés, il faut comprendre comment l’attaquant est entré. Sur les sites de PME, on retombe presque toujours sur l’une de ces trois causes.
Une extension ou un thème pas à jour
C’est le scénario classique. Une faille est publiée dans une extension populaire, des robots balaient Internet à la recherche des sites qui ont encore l’ancienne version, et le vôtre en fait partie. Regardez dans Extensions s’il y a des mises à jour en attente depuis longtemps. Les extensions abandonnées par leur auteur, qui n’ont pas reçu de mise à jour depuis des années, sont encore plus risquées.
Un thème ou une extension « premium » téléchargé gratuitement
Les versions piratées d’extensions payantes contiennent régulièrement une porte dérobée. Si votre site en utilise une, supprimez-la et achetez la licence, ou remplacez-la.
Un mot de passe faible ou réutilisé
Un administrateur avec un mot de passe court, ou le même que celui d’un compte qui a fuité ailleurs. La double authentification aurait bloqué l’attaque. Nous l’expliquons dans notre article sur l’authentification à deux facteurs.
Nettoyer un site WordPress ou restaurer une sauvegarde?
Une fois la porte d’entrée connue, deux options s’offrent à vous.
Restaurer une sauvegarde est la voie la plus propre si vous pouvez dater l’infection. L’hébergeur vous aide à trouver la dernière sauvegarde saine. Vous perdez ce qui a été ajouté depuis (commandes, articles, soumissions de formulaire), donc notez-le avant. Puis vous appliquez immédiatement toutes les mises à jour, sinon le site sera réinfecté par la même faille.
Nettoyer à la main devient nécessaire quand l’infection est trop ancienne pour qu’une sauvegarde saine existe. Il faut alors remplacer les fichiers de WordPress par des copies officielles, réinstaller les extensions à partir de leur source, puis inspecter le dossier des téléversements et la base de données à la recherche de code injecté. C’est un travail de technicien. Si vous n’avez jamais ouvert un fichier PHP, ne vous lancez pas là-dedans un vendredi soir.
Dans les deux cas, terminez par une analyse complète avec un outil de sécurité, et surveillez le site de près pendant les jours qui suivent.
Si Google a signalé votre site
Quand Google détecte un site piraté, il peut afficher un avertissement dans Chrome et dans ses résultats de recherche. Une fois le site nettoyé, connectez-vous à Google Search Console, ouvrez la section Problèmes de sécurité et demandez un examen. Sans cette demande, l’avertissement peut rester affiché plus longtemps que nécessaire. Si vous n’avez jamais configuré Search Console, faites-le maintenant : c’est gratuit, et c’est souvent par là qu’on apprend le problème en premier.
Votre site contenait des renseignements personnels?
Si vos formulaires conservaient des noms, des courriels ou des numéros de téléphone, ou si votre boutique gère des comptes clients, un site web piraté représente probablement un incident de confidentialité au sens de la Loi 25. Vous devez l’inscrire dans votre registre et évaluer le risque de préjudice pour les personnes touchées. Selon la gravité, la Commission d’accès à l’information et ces personnes doivent être avisées. Nous avons expliqué ces obligations dans notre article sur la Loi 25 et les sites web.
Sécurité WordPress : pour que ça ne se reproduise pas
Un site WordPress piraté une fois attire souvent une deuxième tentative. Voici ce qu’on recommande, sans compromis :
- des mises à jour appliquées chaque semaine, pas chaque trimestre;
- la double authentification sur tous les comptes administrateurs;
- des sauvegardes quotidiennes conservées pendant plusieurs semaines, pour pouvoir remonter avant une infection discrète;
- un pare-feu au niveau du serveur, qui bloque les attaques avant qu’elles atteignent WordPress.
Sur nos serveurs, OPShield surveille 24/7, les sauvegardes sont quotidiennes et les mises à jour WordPress font partie des forfaits actuels.
Votre site vient d’être piraté et vous êtes chez un autre hébergeur? Écrivez-nous pour en parler. Une fois le site propre, la migration vers nos serveurs est gratuite.