Rester calme et activer le plan d’urgence
Un site piraté est stressant, mais agir méthodiquement réduit les dégâts. Ne paniquez pas : notez l’heure et les symptômes (page défigurée, redirections, fichiers inconnus, bruteforce, notifications d’hébergeur).
Conserver les preuves
-
Prenez des captures d’écran datées et téléchargez les pages compromises.
-
Exportez les logs d’accès et d’erreurs (serveur web, PHP, base de données) si disponibles.
-
Sauvegardez une copie complète du site et de la base de données en l’état, stockée séparément.
Ces éléments sont utiles pour l’analyse, les rapports et éventuellement les autorités. Ne réécrivez pas les logs originaux.
Limiter l’exposition immédiatement
-
Si possible, mettez le site en maintenance ou affichez une page statique informant d’une maintenance pour les clients.
-
Changez l’accès FTP/SFTP, SSH, bases de données et les comptes d’hébergement depuis un poste sain. Ne changez pas les mots de passe depuis un poste compromis.
-
Révoquez et régénérez les clés API et tokens exposés.
-
Si l’attaque implique du spam ou des envois malveillants, arrêtez la tâche cron ou le job incriminé.
Contacter l’hébergeur ou un professionnel
Informez immédiatement l’hébergeur : ils peuvent isoler le compte, fournir des logs et proposer une quarantaine. Si vous n’êtes pas confiant, faites appel à un prestataire expert en réponse aux incidents (ou à Securantis si vous utilisez nos services) pour limiter les erreurs.
Identifier un poste sain pour les actions critiques
Avant de changer des secrets, choisissez un poste de travail propre : système à jour, antivirus, connexion réseau fiable. Évitez les Wi‑Fi publics.
Rechercher le point d’entrée
Étapes d’investigation :
-
Vérifiez les journaux pour IPs suspectes, tentatives de brute force et accès à des routes inhabituelles.
-
Inspectez les fichiers modifiés récemment (timestamps) et les fichiers uploadés.
-
Pour WordPress : contrôlez les plugins et thèmes récemment mis à jour ou non maintenus, réinitialisez les comptes admin inconnus et vérifiez wp-config.php.
-
Pour PrestaShop 1.7–9 : vérifiez override, modules tiers, controllers personnalisés et le fichier settings.inc.php.
Ne tentez pas d’éliminer l’attaquant sans comprendre le vecteur ; cela peut laisser des portes ouvertes.
Restaurer depuis une sauvegarde vérifiée
-
Préférez une sauvegarde antérieure à l’incident et déjà testée. Ne restaurez pas une sauvegarde potentiellement compromise.
-
Restaurez d’abord en environnement de staging si possible, analysez et vérifiez que la vulnérabilité n’est pas réintroduite.
-
Après restauration, changez tous les secrets (mots de passe, clés API) et révoquez les sessions actives.
Corriger la cause et durcir le site
-
Appliquez les mises à jour CMS, plugins, thèmes et dépendances.
-
Supprimez ou remplacez les extensions non maintenues.
-
Mettez en place l’authentification multi‑facteur pour les comptes administrateurs.
-
Restreignez les permissions fichiers (least privilege) et les comptes utilisateurs.
-
Configurez un WAF (web application firewall) et limitez les tentatives de connexion (rate limiting).
Surveillance et communication
-
Activez la journalisation et la surveillance continue (fichiers, intégrité, alertes de connexion).
-
Informez les utilisateurs si des données personnelles ont été compromises, en respectant les obligations légales (RGPD, notifications). Préparez un message clair et factuel.
-
Programmez un audit post‑incident pour tirer des leçons et améliorer la réponse.
Checklist pratique
-
Captures d’écran et export de logs
-
Isolation du site (maintenance/quarantaine)
-
Changement des accès depuis un poste sain
-
Contact hébergeur / prestataire
-
Identification du point d’entrée
-
Restauration depuis sauvegarde testée
-
Mises à jour et suppression d’extensions non fiables
-
MFA et permissions restreintes
-
Surveillance renforcée et rapport post‑incident
Conclusion
Réagir à un site piraté exige méthode : préserver les preuves, réduire l’exposition, restaurer une sauvegarde saine, corriger la cause et surveiller. En cas d’incertitude, faites appel à des professionnels. Les sauvegardes régulières, les mises à jour et le principe du moindre privilège restent vos meilleures défenses.