Nettoyage de site WordPress piraté
Intervention prioritaire. Forfait de 460 € HT, deux mois de surveillance compris.
Comment je nettoie votre site
Des pages de casino à la place des vôtres dans Google, une redirection vers un site louche, la page rouge « site dangereux » dans le navigateur. Et souvent, c'est quelqu'un d'autre qui vous l'a appris.
Vous ne perdrez pas votre site. J'en ai remis une vingtaine en état, le contenu était toujours là.
Je coupe la redirection et le spam
Avant même de chercher d'où ça vient. En général, c'est fait dans l'heure : vos visiteurs retombent sur vos pages, et plus personne n'est envoyé nulle part. Je vérifie le site comme Google le voit, pas comme vous le voyez.
Je sauvegarde l'état piraté et je cherche la porte d'entrée
La sauvegarde du site tel qu'il est permet de comprendre ce qui s'est passé, et c'est une preuve si vous portez plainte. La porte d'entrée, on ne la trouve pas toujours : dans ce cas je ferme toutes les portes possibles plutôt qu'une seule.
Je réinstalle depuis les sources officielles
Le cœur de WordPress, le thème s'il vient d'un éditeur, toutes les extensions : ce qui est réinstallé n'a plus besoin d'être lu. Je ne restaure pas une vieille sauvegarde à la place du site : on ne sait presque jamais depuis quand il est infecté, et sur une boutique, restaurer c'est perdre des commandes.
Je lis ce qui reste et je nettoie la base de données
Votre thème sur mesure, vos extensions spécifiques, les médias, la configuration, le .htaccess, fichier par fichier. Puis la base : contenus injectés, redirections, tâches planifiées qui réinstallent l'infection, comptes inconnus.
Je change tous les accès et je vérifie l'hébergement
Mots de passe, clés de sécurité WordPress (ce qui déconnecte tout le monde, pirate compris), FTP, base de données, panneau d'hébergement. Et les autres sites du compte, les tâches planifiées du serveur, les boîtes mail, les sous-domaines oubliés.
Je remets le site en ligne, compte rendu à la clé
Dans un état sain, même partiel, et je finis le nettoyage derrière. Vous recevez ensuite un compte rendu lisible par quelqu'un qui n'est pas développeur, parce que c'est souvent à votre direction ou à vos clients qu'il faudra l'expliquer.
Où se cachent les infections
Très souvent, le pirate ne montre le spam qu'à Google, ou qu'aux visiteurs qui arrivent depuis Google. Vous, qui tapez l'adresse directement, vous voyez votre site normal et vous vous dites que c'est réglé. Ça ne l'est pas.
Un piratage, ce n'est jamais un fichier à supprimer. C'est une porte d'entrée, du code déposé à plusieurs endroits pour pouvoir revenir, et une charge utile (le spam, la redirection) qui est la seule partie visible. Si on enlève le visible et qu'on laisse le reste, le site est réinfecté dans la semaine. Les endroits où j'ai déjà trouvé du code pirate :
- Dans les médias : des fichiers PHP là où rien ne devrait s'exécuter, et des faux fichiers qui imitent ceux de WordPress, au mauvais endroit.
- Dans une extension légitime : une seule ligne ajoutée au milieu de milliers, ou une extension « must-use » invisible dans votre liste.
- Dans la base de données : des contenus injectés, des scripts dans les options, des tâches planifiées qui réinstallent l'infection toutes les nuits.
- Dans la configuration et les accès : des règles de redirection dans le .htaccess, des comptes administrateur que personne n'a créés, des accès FTP en plus.
- En dehors de WordPress : des tâches planifiées sur le serveur, des boîtes mail qui envoient du spam, de faux fichiers de validation Google, et un vieux site de test oublié dans un sous-domaine qui sert de base arrière.
C'est pour ça qu'un scanner automatique ne suffit pas. Il trouve le spam, il rate la porte dérobée. Je lis le code.
Faire disparaître le spam de Google
Nettoyer le site, c'est la moitié du travail. L'autre moitié, c'est Google, qui a indexé des centaines d'adresses qui ne sont pas les vôtres et continue à les montrer pendant des semaines si on ne fait rien.
- Les adresses pirates répondent « parti pour de bon » (une erreur 410), pas une redirection vers votre accueil : c'est ce qui les fait sortir de l'index le plus vite.
- Le plan de site est régénéré et resoumis, pour que Google reparcoure vos vraies pages en priorité.
- Le réexamen est demandé dans la Search Console une seule fois, quand le site est vraiment propre : une demande refusée allonge tout. La page rouge du navigateur se lève en général quelques jours après.
- Les propriétaires de la Search Console sont vérifiés : les pirates s'y ajoutent souvent pour soumettre leur propre plan de site. Si vous n'en avez pas, j'en crée une avec vous.
Pourquoi mon site ?
Rarement parce que quelqu'un vous en voulait. Les piratages de sites WordPress sont automatisés : des robots cherchent une extension avec une faille connue, un mot de passe faible, un vieux site de test oublié, et entrent partout où ça passe. Le vôtre était sur leur chemin.
Ce qu'ils en font ensuite : du spam dans Google à votre place, des redirections, parfois un faux formulaire. Si le site stocke des données personnelles (clients, inscrits, candidatures), on vérifie pendant le nettoyage si elles ont pu être exposées, et je vous dis ce qu'il en est.
Je ne communique pas sur les sites que je nettoie. Et si quelqu'un s'occupait déjà du vôtre, on peut très bien travailler ensemble.
Ce que ça coûte
Le nettoyage et la remise en ligne d'un site WordPress, c'est 460 € HT, quelle que soit la durée de l'intervention. Vous avez déjà eu votre mauvaise surprise de la semaine. Deux cas sortent du forfait, et je vous le dis avant de commencer :
- Plusieurs sites touchés sur le même hébergement : chaque site est une intervention.
- Un site trop ancien pour être remis d'aplomb (WordPress ou PHP qu'on ne peut plus mettre à jour, thème abandonné) : je chiffre une remise à niveau à part, et on décide ensemble.
Si votre hébergeur a suspendu le compte, c'est dans le forfait : je travaille avec lui pour rouvrir, en général il suffit de lui montrer ce qui a été fait.
Que ça ne recommence pas
Un site nettoyé sans suivi se refait pirater : chaque semaine, des failles sont publiées sur des extensions WordPress. Ce que je mets en place en sortant, inclus dans le forfait :
- Mises à jour de sécurité automatiques sur le cœur et les extensions.
- Verrous sur les fichiers : PHP interdit dans les médias, modification des fichiers interdite depuis l'administration.
- Comptes réduits aux personnes qui en ont besoin, nominatifs, avec une double authentification quand le site le permet.
- Ménage : extensions, thèmes, sites de test et sous-domaines inutilisés supprimés, pas seulement désactivés.
- Sauvegarde quotidienne en dehors de l'hébergement.
Un nettoyage n'est pas fini quand le site est remis en ligne. Il est fini quand le site a tenu. Le forfait couvre donc les deux mois qui suivent : le site est dans mes outils, je vois les mises à jour en attente, les failles publiées et sa disponibilité, et s'il est réinfecté pendant cette période, je m'en occupe.
Au bout des deux mois, vous décidez. Soit le site continue en maintenance, et c'est ce que font la plupart des sites que j'ai nettoyés. Soit vous reprenez la main, et le compte rendu dit ce qu'il faut maintenir, et à quel rythme.
Questions fréquentes
Comment savoir si mon site WordPress est piraté ?
Des résultats Google qui ne sont pas les vôtres (casino, pharmacie, contrefaçon, souvent en langue étrangère), des redirections vers d'autres sites, un avertissement de sécurité dans le navigateur ou dans Google Search Console, un mail de votre hébergeur, un site très lent ou inaccessible, des comptes administrateur que vous ne connaissez pas, une chute brutale du trafic.
Je vois mon site normalement, mais Google montre du spam. Il est piraté ?
Oui. Le pirate ne montre le spam qu'aux robots de Google ou aux visiteurs venant de Google, pour durer plus longtemps. C'est le cas le plus courant.
Qu'est-ce que je fais en attendant ?
- Ne supprimez pas les fichiers suspects vous-même : on perd la trace de l'intrusion, et parfois le site avec.
- Ne restaurez pas une vieille sauvegarde sans savoir depuis quand le site est infecté : elle l'est peut-être aussi.
- Ne changez pas uniquement le mot de passe WordPress : une porte dérobée s'en passe très bien.
- Ne demandez pas tout de suite un réexamen à Google : refusé, il retarde le suivant.
- Ne payez rien à quelqu'un qui vous contacte en prétendant avoir piraté le site, ou proposant de le réparer.
Vous pouvez par contre couper le site ou le mettre en maintenance si vous savez le faire. Si vous ne savez pas, dites-le-moi, je le fais en premier.
Est-ce que mes visiteurs ou mes clients sont en danger ?
Le plus souvent, non : le pirate utilise votre site pour son référencement ou pour rediriger du trafic, pas pour atteindre vos visiteurs. Il arrive qu'un site soit utilisé pour diffuser un faux formulaire ou un logiciel malveillant, et dans ce cas on coupe immédiatement. Je vous dis ce qu'il en est dès le premier regard.
Est-ce que des données ont fuité ?
Si le site stocke des données personnelles (clients d'une boutique, inscrits, candidatures), on vérifie pendant le nettoyage si elles ont pu être exposées. Si c'est le cas, je vous le dis, et je vous donne les éléments pour faire ce que la réglementation demande.
Vous trouvez toujours par où ils sont entrés ?
Non. Les journaux du serveur ne remontent souvent que quelques jours, et le piratage date parfois de plusieurs semaines. Quand la porte d'entrée reste inconnue, je ferme toutes celles qui pourraient l'être : mises à jour, accès, comptes, fichiers exécutables, autres sites du compte.
Est-ce que c'est ma faute ?
Non. Dans la grande majorité des cas, une extension avait une faille connue et la mise à jour n'est pas passée à temps. La question utile, c'est qui s'en occupe à partir de maintenant.
Mon site n'est pas sous WordPress, vous intervenez ?
Non, uniquement WordPress et WooCommerce.
Votre site est piraté ?
Pour ce type d'intervention, le plus simple est de m'appeler : c'est urgent, et on gagne du temps à en parler de vive voix. 06 84 20 46 42. Sinon, envoyez-moi l'adresse du site, ce que vous constatez, et depuis quand.
