Mon site est piraté : plan d'action

Un site piraté est désagréable, mais avec un plan d'action fixe, vous le nettoyez et évitez que cela se reproduise. Le plus important : restaurer uniquement une sauvegarde ne suffit pas. Si vous ne savez pas comment l'intrus est entré, la porte reste ouverte.

Comment remarquer que votre site est piraté ?

• Les visiteurs arrivent sur un autre site web, souvent uniquement depuis Google ou uniquement sur téléphone.
• Google affiche pour votre site Ce site est peut-être piraté, ou des pages étranges de votre domaine apparaissent dans les résultats de recherche.
• Votre navigateur ou votre antivirus vous avertit à propos de votre propre site.
• Il y a des fichiers ou des administrateurs dans WordPress que vous ne connaissez pas.
• Vous recevez une notification de notre part, ou Imunify360 a détecté un logiciel malveillant.
• Votre boîte mail envoie du spam, ou vous atteignez soudainement la limite d'envoi (voir Que faire en cas d'utilisation abusive de votre adresse e-mail).

Étape 1 : rester calme et documenter

Ne jetez pas tout immédiatement. Notez ce que vous observez, quand cela a commencé, et faites des captures d'écran. Ces informations vous seront utiles pour trouver la cause, et à nous aussi si vous demandez de l'aide.

Étape 2 : modifier tous les mots de passe

Partez du principe qu'un intrus connaît un mot de passe. Modifiez-les tous, de préférence depuis un autre ordinateur que celui que vous utilisez habituellement, au cas où celui-ci serait infecté :

1. Le mot de passe de Mon WebOké. Le code supplémentaire lors de la connexion y est toujours activé ; si vous souhaitez utiliser une application d'authentification au lieu du code par e-mail, configurez-la dans Mon administration et Identifiants de connexion.
2. Votre mot de passe DA (voir Votre mot de passe DA définir ou modifier). Cela vaut aussi pour le compte FTP par défaut.
3. Les mots de passe des comptes FTP supplémentaires (voir Créer et gérer des comptes FTP). Supprimez les comptes que vous n'utilisez plus.
4. Tous les administrateurs dans WordPress ou votre autre CMS. Supprimez les administrateurs que vous ne connaissez pas.
5. Le mot de passe de l'utilisateur de la base de données (voir Utilisateurs de base de données, droits et mots de passe). Modifiez-le ensuite également dans le fichier de configuration de votre site, comme wp-config.php.
6. Une boîte mail envoie du spam ? Modifiez alors également ce mot de passe (voir Modifier le mot de passe d'une adresse e-mail).

Activez ensuite dans DirectAdmin l'Authentification à deux facteurs (voir Configurer l'authentification à deux facteurs).

Étape 3 : analyser avec Imunify360

Ouvrez dans DirectAdmin, sous Outils, le Imunify360 Plugin. Vous y voyez quels fichiers ont été détectés comme infectés, et vous pouvez relancer une analyse de votre pack. Pour savoir comment cela fonctionne et ce que signifient les notifications, consultez Imunify360 : scanner votre site web contre les malwares.

Étape 4 : découvrir comment l'intrus est entré

Les causes les plus fréquentes, de la plus courante à la plus rare :

1. Logiciel obsolète. Une ancienne version de WordPress, une extension ou un thème avec une faille connue. Vérifiez dans Installatron ou dans WordPress quels éléments sont en retard (voir Mises à jour et mises à jour automatiques).
2. Une extension ou un thème provenant d'une source non fiable. Les versions gratuites d'extensions payantes (nulled) contiennent souvent délibérément une porte dérobée.
3. Un mot de passe divulgué ou faible. Consultez l'Historique de connexion pour voir qui s'est connecté à DirectAdmin et quand (voir Historique de connexion : qui s'est connecté et quand ?).
4. Un ordinateur infecté sur lequel des mots de passe FTP sont enregistrés.

Des endroits utiles où chercher :

• Dans le Gestionnaire de fichiers, triez par date de modification. Les fichiers modifiés au même moment, surtout dans les dossiers d'upload, méritent votre attention.
• Dans le journal d'accès sous Résumé du site & journaux, vous voyez quelles adresses sont fréquemment appelées, souvent avec des requêtes POST vers un seul fichier (voir Résumé du site & journaux : le journal des erreurs et le journal d'accès).

Étape 5 : nettoyer ou restaurer une sauvegarde saine

Vous avez deux possibilités :

• Restaurer une sauvegarde antérieure au piratage. Avec WebOké Backups dans Mon WebOké, vous choisissez vous-même un moment des 30 derniers jours (voir Est-ce aussi possible dans Mon WebOké ? WebOké Backups). Choisissez un moment antérieur à l'apparition des premiers fichiers suspects. Mettez immédiatement tout à jour ensuite (étape 6), car la faille se trouve aussi dans la sauvegarde.
• Nettoyer vous-même. Laissez Imunify360 nettoyer les fichiers infectés, supprimez les fichiers inconnus et réinstallez WordPress et toutes les extensions depuis la source officielle.

Attention : En cas de doute, choisissez d'abord dans WebOké Backups En copie, à côté de l'existant. Rien ne change ainsi à ce qui existe actuellement et vous pouvez comparer tranquillement.

Étape 6 : tout mettre à jour et nettoyer

• Mettez à jour WordPress (ou votre autre CMS), toutes les extensions et les thèmes vers la dernière version.
• Supprimez les extensions et thèmes que vous n'utilisez pas. Même les extensions désactivées peuvent contenir une faille.
• Supprimez les anciennes copies et les installations de test dans des sous-dossiers.
• Utilisez une version PHP actuelle (voir Choisir la version de PHP (Select PHP version)).

Étape 7 : suivi

• Google affiche-t-il un avertissement ? Demandez une nouvelle évaluation dans Google Search Console après le nettoyage.
• Votre boîte mail a-t-elle envoyé du spam ? Consultez Que faire en cas d'utilisation abusive de votre adresse e-mail et Verzenden geweigerd: blacklists en limieten.
• Laissez le Pare-feu applicatif web activé (voir Pare-feu applicatif web).
• Vérifiez de temps en temps, dans les semaines qui suivent, Imunify360 et votre liste d'administrateurs WordPress.

Besoin d'aide ?

Vous n'y arrivez pas, ou il s'agit d'une boutique en ligne avec des données clients ? Créez alors un ticket et indiquez ce que vous avez déjà fait (voir Demander de l'aide : que transmettre au support ?). S'il s'agit de données personnelles, vous devrez peut-être signaler une fuite de données à l'Autorité Persoonsgegevens (l'autorité néerlandaise de protection des données).