Site web piraté en France : que faire en urgence ?
Si votre site web est piraté en France, l'urgence est dans cet ordre : isoler le site avec l'aide de l'hébergeur, conserver les preuves, évaluer les données touchées, porter plainte, puis nettoyer et corriger la faille avant la remise en ligne. Ne supprimez rien avant d'avoir copié. Pour une PME, le premier point d'entrée public est 17Cyber, pas le CERT-FR.
Cette marche à suivre reprend pour l'essentiel la fiche réflexe de Cybermalveillance.gouv.fr sur la défiguration de site, le dispositif public d'assistance aux victimes. Je propose ce type d'intervention, je ne suis donc pas neutre, mais chaque étape ci-dessous renvoie à sa source publique.
Que faire dans la première heure : hébergeur et isolement
La fiche officielle demande de débrancher la machine touchée d'Internet. Sur un hébergement que vous ne gérez pas vous-même, cela passe en pratique par votre hébergeur : appelez-le, dites que le site est compromis et demandez la mise hors ligne ou la restriction d'accès, ainsi que la conservation de ses journaux. Ouvrez un ticket écrit, même si vous téléphonez : il datera vos démarches.
Ensuite, conservez. La fiche cite les journaux du pare-feu, du proxy et des serveurs touchés, les captures d'écran, et une copie intégrale de la machine attaquée. Sur un hébergement mutualisé, vous n'aurez pas accès à tout cela : téléchargez au moins les fichiers, la base de données et les journaux disponibles, puis notez l'heure de chaque constat. Le réflexe de tout effacer pour faire disparaître la page défigurée détruit justement ce dont vous aurez besoin pour trouver la faille.
CERT-FR, ANSSI, 17Cyber : qui appeler selon votre cas
La recherche « CERT-FR ANSSI » revient souvent, alors clarifions. Le CERT-FR, rattaché à l'ANSSI, traite techniquement les incidents de l'administration, des opérateurs d'importance vitale et des entités essentielles et importantes. Il oriente les PME, ETI, collectivités et associations vers les CSIRT territoriaux et 17Cyber, service proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr. Le CERT-FR précise aussi qu'il ne reçoit pas les plaintes.
| Interlocuteur | Pour quoi | Quand |
|---|---|---|
| Hébergeur | Mise hors ligne, journaux, copies | Tout de suite |
| 17Cyber et CSIRT territorial | Diagnostic et orientation d'une PME | Dès le constat |
| CERT-FR | Administration, opérateurs et entités concernés | Si vous entrez dans son périmètre |
| CNIL | Violation de données personnelles présentant un risque | Dans les meilleurs délais, 72 heures au plus si possible |
| Police, gendarmerie, procureur | Plainte, avec les preuves | Une fois les preuves réunies |
| Prestataire qualifié | Analyse, nettoyage, correction | Avant toute remise en ligne |
Données personnelles et plainte : deux obligations à ne pas oublier
Si le site contient des comptes clients, des commandes ou des formulaires, posez-vous vite la question des données. La CNIL demande une notification dans les meilleurs délais, avec une notification initiale possible dans les 72 heures lorsque la violation présente un risque pour les personnes, complétée ensuite. Si le risque est élevé, les personnes concernées doivent aussi être informées. En cas de doute, elle conseille de notifier.
Pour la plainte, la fiche indique le commissariat, la brigade de gendarmerie ou un courrier au procureur de la République, en apportant toutes les preuves disponibles. Votre assureur peut aussi avoir des exigences de délai : relisez votre contrat le jour même.
Nettoyage d'un site web compromis : ne pas se tromper d'ordre
Un nettoyage réussi commence par une question : par où l'attaquant est-il entré ? La fiche cite un mot de passe d'administration faible ou par défaut, une mauvaise configuration, ou une faille connue non corrigée. Sans réponse à cette question, supprimer les fichiers malveillants ou restaurer une sauvegarde laisse la porte ouverte.
La sauvegarde utilisée doit dater d'avant la compromission, ce qui n'est pas forcément la plus récente. C'est pourquoi WordPress conseille de conserver des copies datées dans le temps. Avant la remise en ligne, la fiche demande de corriger les failles et de changer tous les mots de passe : administrateurs, base de données, accès au serveur et comptes de messagerie liés.
Si Google signale votre site, la Search Console affiche la liste des fichiers suspects dans le rapport Problèmes de sécurité, d'où vous pouvez demander un examen une fois le site corrigé. Ne le faites qu'après le nettoyage complet.
Quand confier le dossier à quelqu'un d'autre
Si l'attaque touche tout votre réseau, vos postes ou votre messagerie, et non le seul site, il vous faut un spécialiste de la réponse à incident : le diagnostic de Cybermalveillance.gouv.fr peut vous mettre en relation avec un professionnel. Un développeur web comme moi est pertinent quand le problème est circonscrit au site ou à l'application : chercher la faille, reconstruire proprement, durcir la configuration.
Une fois la crise passée, le vrai sujet devient la prévention, avec des mises à jour et des sauvegardes réellement testées. Je ne peux pas promettre qu'un site ne sera plus jamais attaqué, personne ne le peut. Si vous avez besoin d'aide maintenant, écrivez-moi en décrivant ce que vous voyez. Pour la suite, voyez mon offre de maintenance.