Votre site internet affiche une page qui n'est pas la vôtre, redirige vos visiteurs ailleurs, ou Google le signale comme dangereux ? Qu'il soit sous WordPress, PrestaShop, Joomla, Wix ou développé sur mesure, un site piraté ou défacé se traite de la même manière : vite, et dans le bon ordre. Appelez le 06 14 87 10 94, je prends le dépannage en charge de bout en bout, à distance partout en France et sur place dans l'Yonne.
Votre site tourne sous WordPress ? Les symptômes et les premiers réflexes ci-dessous restent valables, mais WordPress a ses propres failles (extensions, thèmes « nulled », wp-login.php) et mérite un traitement dédié : allez directement sur site WordPress piraté, que faire en urgence pour le détail complet CMS par CMS. Ce guide-ci couvre tous les autres cas : CMS e-commerce (PrestaShop), CMS généraliste (Joomla, Drupal), créateur de site (Wix) et développement sur mesure.
« Piraté » et « défacé » ne décrivent pas tout à fait la même chose, et la différence compte pour comprendre ce qui vous arrive. Un défacement, c'est la partie visible : votre page d'accueil est remplacée par un message, une signature de groupe, une revendication. Un piratage silencieux, lui, ne change rien à ce que vous voyez : il détourne votre site en coulisses pour rediriger les visiteurs de Google, envoyer du spam ou héberger des pages frauduleuses. Dans les deux cas, une porte est restée ouverte, et c'est elle le vrai sujet.
Défacement ou piratage silencieux : comment reconnaître le vôtre
Le défacement ne laisse aucun doute : la page est visiblement remplacée. Le piratage silencieux, beaucoup plus fréquent, se repère à d'autres signes :
- Votre site renvoie vers un autre site, pharmacie, paris en ligne, contenu pour adultes, surtout depuis un résultat Google ou depuis un mobile, alors qu'il s'affiche normalement quand vous le visitez directement.
- Google ou votre navigateur affiche un écran rouge « Site trompeur » ou « Ce site risque d'endommager votre ordinateur ». Votre trafic s'effondre du jour au lendemain.
- Des pages inconnues sortent dans Google à votre nom, souvent en langue étrangère ou autour de produits de contrefaçon. Une recherche site:votredomaine.fr les révèle immédiatement.
- Votre hébergeur vous alerte d'un envoi massif d'e-mails ou d'une surconsommation de ressources, et menace de suspendre le compte.
- Des accès administrateur que vous n'avez pas créés apparaissent, ou vous ne pouvez plus vous connecter du tout.
Le test le plus simple : ouvrez votre site depuis un téléphone, en navigation privée, via un lien Google plutôt qu'en tapant l'adresse. Beaucoup d'infections sont programmées pour ne se déclencher que là, précisément pour rester invisibles au propriétaire.
Les bons réflexes, dans l'heure
L'enjeu des premières heures est double : stopper l'exposition de vos visiteurs et conserver les traces qui diront par où l'attaquant est passé.
- Coupez l'accès public si vous le pouvez, page de maintenance, suspension temporaire chez l'hébergeur, pour ne plus exposer vos visiteurs ni laisser le défacement nuire à votre image.
- Faites une copie complète de l'état actuel, même infecté (fichiers et base de données). Contre-intuitif, mais c'est votre filet de sécurité et la matière du diagnostic.
- Changez tous les mots de passe : administration du site, FTP/SFTP, base de données, espace client de l'hébergeur et messagerie rattachée. Un identifiant volé sert à revenir.
- Récupérez les journaux d'accès auprès de l'hébergeur pendant qu'ils sont encore disponibles : ils datent l'intrusion et pointent souvent la faille.
- Ne communiquez pas dans la panique. Si des données personnelles ont pu être exposées, notez l'heure et les faits : cela compte pour vos obligations RGPD, mais la déclaration se prépare, elle ne s'improvise pas.
Ce qu'il ne faut surtout pas faire
- Supprimer les fichiers suspects à l'aveugle. On détruit les preuves et on laisse presque toujours la porte dérobée en place : le site est repiraté en quelques jours.
- Restaurer une sauvegarde sans l'analyser. Si elle est postérieure à l'intrusion, elle contient le malware ; et si la faille n'est pas corrigée, la réinfection n'est qu'une question de temps.
- Réinstaller le site par-dessus en espérant écraser l'infection. Les portes dérobées se logent dans les extensions, les fichiers envoyés et la base, pas seulement dans le cœur du logiciel.
- Ignorer l'alerte Google. Tant que le réexamen n'est pas demandé, l'avertissement reste et votre référencement continue de chuter.
Comment j'interviens, quel que soit votre site
La technologie de votre site change les outils, pas la méthode. Que vous soyez sur un CMS courant ou sur un développement maison, le déroulé est le même :
- Diagnostic. Sauvegarde de l'existant, analyse des fichiers modifiés, de la base de données, des comptes et des journaux serveur. J'identifie la nature de l'attaque et sa date probable.
- Nettoyage. Suppression du contenu de défacement, du code injecté, des pages parasites, des comptes frauduleux et, le point décisif, de toutes les portes dérobées laissées pour revenir.
- Correction de la faille d'entrée. Sans elle, le reste ne sert à rien : mise à jour du CMS, du thème et des modules, suppression de ce qui est abandonné, durcissement des accès et des droits serveur.
- Remise en ligne et contrôle. Vérification que le site est sain vu de l'extérieur, y compris pour un visiteur venu de Google et sur mobile.
- Levée de l'alerte Google. Demande de réexamen dans la Search Console et suivi jusqu'à la disparition de l'avertissement.
- Compte rendu. Ce qui s'est passé, par où l'attaquant est entré, ce qui a été corrigé, et ce qu'il faut faire pour que ça ne recommence pas.
Si votre site tourne sous WordPress, le détail de la désinfection et des failles propres à ce CMS est traité à part : voyez que faire quand un site WordPress est piraté. Et s'il est trop ancien ou trop endommagé pour être sauvé proprement, je vous le dis franchement, et on le reconstruit à neuf sur un hébergement sécurisé plutôt que de rafistoler l'irréparable.
Par CMS : ce qui change concrètement dans le nettoyage
La méthode générale est la même partout, mais les points de contrôle et les pièges diffèrent selon la technologie. Voici l'essentiel pour les cas les plus fréquents hors WordPress :
PrestaShop (e-commerce)
Les modules tiers et les thèmes « premium » téléchargés hors du marketplace officiel sont la porte d'entrée la plus fréquente. Point spécifique : vérifiez les tables de configuration et les comptes employés (back-office), souvent ciblés pour injecter des moyens de paiement frauduleux ou détourner les commandes. Les clés API et identifiants de paiement doivent être régénérés après nettoyage, pas seulement les mots de passe admin.
Joomla et Drupal
Les extensions et modules communautaires non maintenus sont le vecteur numéro un, comme sur WordPress. La différence tient à la structure des templates et des composants : un code malveillant se loge souvent dans un fichier de template personnalisé plutôt que dans le cœur du CMS, ce qui le rend plus difficile à repérer sans comparer avec une installation saine de référence.
Wix et les créateurs de site en SaaS
Ces plateformes hébergées limitent fortement l'accès aux fichiers serveur : un piratage « classique » par injection de fichier y est rare. Les cas rencontrés concernent surtout un compte éditeur compromis (mot de passe faible ou réutilisé, absence de double authentification) ou une usurpation via un domaine mal sécurisé. Le réflexe prioritaire est donc de sécuriser l'accès au compte avant tout, et de contacter le support de la plateforme en parallèle.
Site statique (HTML) ou développement sur mesure
Sans CMS, la faille vient presque toujours soit des identifiants FTP/SFTP, soit d'un formulaire mal filtré (contact, upload) exploité pour déposer un script. Le diagnostic se concentre sur les journaux serveur et la date de modification des fichiers : un fichier récent que personne n'a déposé volontairement est le signal le plus fiable.
Combien ça coûte, et en combien de temps
Désinfection d'un site piraté ou défacé : à partir de 290 €. Site nettoyé, faille corrigée, remis en ligne. Le prix dépend de l'ampleur : vous avez un devis clair après le diagnostic, offert, avant qu'on commence.
Ce tarif couvre l'intégralité de ce qui est décrit plus haut, diagnostic, nettoyage, correction de la faille, remise en ligne, demande de réexamen à Google et compte rendu. Deux cas sortent du forfait, et je vous préviens avant : un site compromis depuis des mois avec des milliers de pages de spam indexées, qu'il vaut souvent mieux reconstruire ; et un accès trop limité (pas de SFTP ni de base) qui ne permet qu'un nettoyage partiel.
Côté délai, tout dépend de la profondeur de l'infection, pas de la taille du site : un défacement récent et localisé se traite couramment dans la journée. Un point d'honnêteté : une fois le site propre et l'alerte levée, le référencement remonte progressivement, sur quelques semaines. C'est l'attente qui coûte cher, pas la réparation.
Par où les attaquants entrent (et ce n'est pas qu'une affaire de WordPress)
Dans l'immense majorité des cas, l'intrusion n'a rien de ciblé : un robot scanne le web en continu et exploite une faille connue. Les portes les plus fréquentes :
- Un CMS, un thème ou un module non mis à jour. La cause numéro un, tous systèmes confondus : les failles sont publiées, et exploitées parfois quelques heures après.
- Un mot de passe faible ou réutilisé. Les attaques automatisées sur les pages de connexion tournent en permanence. Un gestionnaire de mots de passe règle la question.
- Un formulaire ou un champ mal filtré (injection SQL, envoi de fichier), surtout sur du développement sur mesure laissé sans maintenance.
- Des identifiants FTP volés sur un poste infecté, qui donnent un accès direct aux fichiers.
- Un hébergement mutualisé mal cloisonné, où l'infection d'un site voisin contamine le vôtre.
Après le nettoyage : ne pas y revenir
Un site piraté est presque toujours un site laissé seul. Ce qui évite la récidive n'a rien de spectaculaire : des mises à jour appliquées régulièrement, des sauvegardes automatiques testées, des accès propres et une surveillance qui prévient avant que ça casse. C'est exactement ce que couvre un contrat d'infogérance, et c'est très largement moins cher qu'un second dépannage d'urgence. Si l'attaque a dépassé le site et touché vos postes ou vos fichiers, ce n'est plus le même sujet : voyez plutôt que faire face à un rançongiciel.
Questions fréquentes
Mon site affiche une page de pirate à la place de la mienne, c'est grave ?
C'est un défacement : spectaculaire, mais pas forcément le plus profond des piratages. L'urgence est de couper l'affichage public, de conserver l'état pour le diagnostic, puis de trouver et refermer la porte d'entrée. Remettre simplement votre page ne suffit pas : sans correction de la faille, le défacement revient.
Mon site n'est pas sous WordPress, intervenez-vous quand même ?
Oui. La désinfection suit la même logique sur PrestaShop, Joomla, Drupal, un site vitrine en HTML ou un développement sur mesure. Seuls les outils et les points de contrôle changent. Pour un cas WordPress précis, j'ai une page dédiée.
Quelle différence avec votre guide WordPress ?
Même méthode d'ensemble (diagnostic, nettoyage, correction de la faille, levée de l'alerte Google), mais les outils et les failles typiques diffèrent : extensions et thèmes « nulled » côté WordPress, modules et templates côté PrestaShop/Joomla/Drupal, compte éditeur côté Wix. Si vous êtes sous WordPress, direction le guide dédié pour le détail CMS par CMS.
Google a bloqué mon site, est-ce définitif ?
Non. Une fois le site nettoyé, on demande un réexamen dans la Search Console : l'avertissement est généralement levé en quelques jours.
Combien de temps pour remettre un site piraté en ligne ?
Un cas récent et localisé se traite souvent dans la journée. Une compromission ancienne et profonde demande davantage. Vous avez une estimation précise après le premier diagnostic, qui est offert.
Faut-il tout refaire après un piratage ?
Rarement. Un site se nettoie et se restaure dans la plupart des cas. La reconstruction ne s'impose que s'il était déjà ancien, non maintenable, ou trop endommagé pour garantir un résultat sain, et on vous le dit avant, devis à l'appui.
Mon hébergeur ne peut-il pas s'en charger ?
Certains restaurent une sauvegarde, ce qui remet le site en ligne sans corriger la faille : l'infection revient. D'autres facturent un nettoyage automatisé. Le diagnostic de la porte d'entrée, lui, reste rarement inclus.
Votre site est détourné ou défacé pendant que vous lisez ces lignes. Plus tôt on coupe, moins il y a à réparer. Désinfection à partir de 290 €, diagnostic offert : 06 14 87 10 94 ou décrivez-moi votre situation, je réponds vite. (Tous les tarifs : voir la grille.)