Site piraté : que faire dans les 10 premières minutes, et comment le remettre en ligne propre
Un avertissement dans les résultats Google ou dans le navigateur, des pages ou des liens que vous n'avez jamais publiés, un message de votre hébergeur : le site a probablement été piraté. Les premiers gestes protègent les preuves et limitent les dégâts.
Nous copions l'état infecté, nettoyons le site, trouvons par où l'intrusion est passée, remettons en ligne et préparons avec vous la demande de réexamen à Google. En France comme au Maroc.
Mis à jour le
Le réflexe de tout supprimer
Effacer les fichiers suspects détruit ce qui permet de comprendre comment l'attaquant est entré. La consigne est inverse : copier le site tel qu'il est, avant de toucher à quoi que ce soit.
Un nettoyage qui laisse la porte ouverte
Retirer les pages visibles sans trouver la faille d'origine, c'est laisser la voie libre à une deuxième intrusion. Il faut aussi changer tous les accès, y compris ceux de l'hébergement et de la base de données.
Google affiche un avertissement et vos visiteurs partent
Le rapport Problèmes de sécurité de la Search Console signale le contenu piraté. Une fois le site corrigé en entier, une demande de réexamen est possible, et Google annonce plusieurs jours ou plusieurs semaines de délai.
Des annonces refusées
Google Ads refuse les annonces qui mènent vers un site compromis et prévient au moins sept jours avant de suspendre le compte. Les campagnes en cours dépensent ou s'arrêtent selon l'état de la page.
Des données de clients peut-être copiées
Un site piraté peut avoir exposé des données personnelles. Pour une entreprise en France, le guide de Cybermalveillance.gouv.fr demande de prévenir la CNIL dans ce cas. Au Maroc, la DGSSI publie une procédure de déclaration d'incident.
Un site propre, une cause identifiée, un rapport écrit
- Avant toute intervention, nous faisons une copie complète des fichiers et de la base, dans leur état infecté.
- Tous les accès sont changés, les clés secrètes renouvelées, les fichiers de base réinstallés depuis la source et les fichiers sensibles inspectés un par un.
- Nous cherchons par où l'attaquant est entré, dans les journaux, les extensions et les comptes, et nous le consignons dans un rapport.
- Le site ne repasse en ligne qu'une fois la cause corrigée. La demande de réexamen à Google est rédigée avec vous.
Les dix premières minutes
Un ordre à suivre, avec une durée indicative pour chaque geste. Faites-le depuis un ordinateur que vous savez sain.
| Geste | Quoi faire | Pourquoi |
|---|---|---|
| 1. Noter (2 min) | Écrire ce que vous voyez, l'heure à laquelle vous l'avez vu et ce qui a changé récemment : mise à jour, nouvelle extension, nouveau compte. | Le premier constat sert de point de départ à l'enquête. |
| 2. Prévenir l'hébergeur (2 min) | Ouvrir une demande auprès de l'hébergeur, signaler le piratage et demander les journaux d'accès. | L'hébergeur voit des éléments que vous ne voyez pas, et c'est lui qui peut couper l'accès public. |
| 3. Changer les accès (3 min) | Hébergement, FTP ou SFTP, administration du site, base de données, tous les comptes utilisateurs. Activer la double authentification quand elle existe. | Un mot de passe volé rouvre le site, même propre. |
| 4. Copier l'état infecté (3 min) | Sauvegarder les fichiers et la base tels qu'ils sont, et conserver cette copie à part. | On nettoie une copie de travail, jamais la seule version qui prouve l'intrusion. La copie infectée ne se remet pas en ligne. |
| Ensuite | Ne rien remettre en ligne avant d'avoir corrigé la cause. | Un site remis en ligne sans la cause corrigée se fait attaquer à nouveau. |
Gestes d'après l'aide WordPress « Mon site a été piraté » (wordpress.org/documentation/article/faq-my-site-was-hacked/, mise à jour le 26 juillet 2026) et la fiche réflexe Cybermalveillance.gouv.fr sur la défiguration d'un site (cybermalveillance.gouv.fr/medias/2020/01/230417_FicheReflexe_Defiguration.pdf). Les durées sont indicatives, propres à Nooralto.
Après les dix minutes : remettre en ligne propre
| Étape | Détail | Source |
|---|---|---|
| Chercher l'origine | Journaux de l'hébergeur, extensions et thèmes installés, comptes créés ou modifiés, date de la première trace. | WordPress.org : analyser le vecteur de l'attaque. |
| Nettoyer | Sur WordPress : réinstaller /wp-admin et /wp-includes dans la même version par SFTP, puis inspecter .htaccess, index.php, header.php, footer.php et functions.php. | WordPress.org : FAQ « Mon site a été piraté ». |
| Déconnecter tout le monde | Renouveler les clés secrètes de wp-config.php, ce qui ferme toutes les sessions ouvertes. | WordPress.org : FAQ « Mon site a été piraté ». |
| Mettre à jour puis changer les accès une seconde fois | Cœur, thème et extensions à jour, nouveaux mots de passe une fois le nettoyage fini. | WordPress.org : FAQ « Mon site a été piraté ». |
| Google Search Console | Ouvrir le rapport Problèmes de sécurité, corriger toutes les pages concernées (une correction partielle ne ramène pas le site dans les résultats), tester, puis demander un examen. Ne pas renvoyer la demande avant la décision de Google. | support.google.com/webmasters/answer/9044101 |
| Google Ads | Filtrer les annonces par « Détails de la règle : site compromis », retirer le code signalé, nettoyer le site, renvoyer les annonces. Compter jusqu'à 72 heures de nouvelle exploration. | support.google.com/adspolicy/answer/15938376 |
| Données personnelles et plainte | France : la fiche de Cybermalveillance.gouv.fr indique, pour les professionnels, de prévenir la CNIL en cas de violation de données personnelles et de déposer plainte. Maroc : déclaration d'incident à la DGSSI (maCERT), dont la page s'adresse aux administrations et aux opérateurs d'infrastructures critiques. | cybermalveillance.gouv.fr (fiche réflexe) et dgssi.gov.ma/fr/declaration-dincidents/ |
Les livrables, listés
Copie de l'état infecté
Fichiers et base sauvegardés avant toute intervention, rangés à part.
Nettoyage du site
Fichiers de base remplacés par leur version d'origine, fichiers sensibles inspectés, code étranger retiré.
Rapport d'origine
Par où l'attaquant est entré, depuis quand, ce qu'il a touché, ce qui reste à corriger.
Remise en ligne contrôlée
Mises à jour, accès renouvelés, clés secrètes changées. Le site repasse en ligne seulement quand la cause est traitée.
Demande de réexamen à Google
Texte rédigé pour la Search Console, qui décrit le problème, les corrections faites et le résultat. Vous la déposez depuis votre propre compte.
Mesures pour la suite
Sauvegardes conservées hors de l'hébergement, double authentification, liste des extensions à retirer, rythme des mises à jour.
Une séquence, pas une promesse
- Étape 1
Appel de 30 minutes
Ce que vous voyez, ce que votre hébergeur vous a dit, ce que vous avez déjà fait.
- Étape 2
Copie et accès
Nous demandons un accès temporaire, nous copions l'état infecté et nous changeons les accès avec vous.
- Étape 3
Nettoyage et cause
Nous nettoyons une copie de travail et nous cherchons par où l'attaquant est passé.
- Étape 4
Remise en ligne
Le site repasse en ligne une fois la cause corrigée et les accès renouvelés.
- Étape 5
Réexamen et suivi
Nous préparons la demande à Google avec vous et nous contrôlons le site les semaines suivantes.
Des sites en ligne, des engagements écrits
- Aucune modification avant la copie de l'état infecté.
- Rapport écrit sur la cause, même quand elle reste partielle.
- L'accès que vous nous donnez est temporaire, et nous le retirons à la fin de l'intervention.
- Aucune promesse de délai pour la levée de l'avertissement de Google : la décision lui appartient, et sa propre documentation annonce plusieurs jours ou plusieurs semaines.
Ce qu'on nous demande
Comment savoir si mon site est piraté ?
Un avertissement de sécurité dans les résultats Google ou dans le navigateur, des pages ou des liens que vous n'avez pas publiés, une redirection vers un autre site, un message de votre hébergeur. Le rapport Problèmes de sécurité de la Search Console confirme quand Google a détecté du contenu piraté.
Que faire en premier si mon site est piraté ?
Noter ce que vous voyez, prévenir l'hébergeur, changer tous les accès depuis un ordinateur sain, puis copier le site tel qu'il est avant de nettoyer quoi que ce soit. Le tableau des dix premières minutes donne l'ordre.
Peut-on simplement restaurer une sauvegarde ?
Une sauvegarde antérieure à l'intrusion remet des fichiers propres, à condition de savoir de quand elle date. Elle ne ferme pas la faille : sans correction de la cause et sans changement des accès, le site peut être attaqué à nouveau.
Combien de temps Google met-il à retirer l'avertissement ?
Google indique que la plupart des réexamens prennent plusieurs jours ou plusieurs semaines (support.google.com/webmasters/answer/9044101). Il demande aussi de ne pas renvoyer la demande avant d'avoir reçu sa décision.
Combien coûte le nettoyage d'un site piraté ?
Le prix dépend du type de site, de son état, de l'hébergement, du nombre de pages touchées et de l'enquête demandée. Nous chiffrons après un appel de 30 minutes, avec un devis sous 48 h.
Dois-je prévenir la CNIL ou une autorité au Maroc ?
En France, la fiche de Cybermalveillance.gouv.fr indique que les professionnels préviennent la CNIL quand des données personnelles sont touchées. Au Maroc, la DGSSI (maCERT) publie une procédure de déclaration d'incident (dgssi.gov.ma/fr/declaration-dincidents/), dont la page vise les administrations et les opérateurs d'infrastructures critiques.
Travaillez-vous en France et au Maroc ?
Oui. L'équipe est entre Paris et le Technopark d'Agadir. Nous travaillons sur les sites WordPress comme sur les sites sur mesure.
Décrivez-nous ce que vous voyez
30 minutes en visio ou sur WhatsApp : nous voyons l'état du site, nous vous disons par quoi commencer et ce qu'il faudra ensuite. Devis sous 48 h.