Une panne apparaît souvent après une mise à jour, une modification de code, un certificat SSL expiré ou un manque de ressources sur l’hébergement. Elle provoque généralement une page blanche, une erreur 500, une connexion impossible ou une indisponibilité qui touche plusieurs sites du même serveur.

Un piratage laisse d’autres indices : pages créées sans autorisation, redirections vers des domaines inconnus, comptes administrateurs ajoutés, fichiers modifiés, envoi de mails suspects ou avertissement de sécurité dans le navigateur. Google Search Console peut également signaler du contenu injecté, du phishing ou des téléchargements malveillants dans son rapport « Problèmes de sécurité ».

Commencez par vérifier la page d’état et les messages de votre hébergeur. Consultez ensuite les journaux du serveur, la date de modification des fichiers et la liste des utilisateurs du CMS. Si plusieurs signes se recoupent, considérez le site comme compromis jusqu’à preuve du contraire.

La priorité n’est pas de remettre le site en ligne à tout prix, mais d’empêcher le pirate de poursuivre son action.

1. Placez le site en maintenance ou bloquez temporairement l’accès public.
2. Prévenez l’hébergeur et demandez-lui de vérifier le serveur, les journaux et les connexions inhabituelles.
3. Changez les mots de passe de l’hébergement, de WordPress, du FTP ou SFTP, de la base de données et des comptes mail associés.
4. Révoquez les utilisateurs, clés d’accès et sessions que vous ne reconnaissez pas.
5. Conservez une copie des fichiers, de la base et des journaux avant tout nettoyage.
6. Analysez les ordinateurs utilisés pour administrer le site avec un antivirus à jour.

Cybermalveillance.gouv.fr recommande notamment de préserver les preuves, de contacter l’hébergeur et de solliciter un professionnel lorsque l’incident dépasse ses compétences. Le service 17Cyber peut également orienter les victimes vers les démarches et interlocuteurs adaptés.

Ne restaurez pas immédiatement la dernière sauvegarde sur le site compromis. Elle peut effacer des traces utiles ou contenir déjà le code malveillant.

L’hébergeur peut confirmer une panne générale, isoler l’espace concerné, fournir des journaux techniques et rendre accessibles des sauvegardes antérieures. Il ne remplace pas toujours un spécialiste de la cybersécurité, mais son assistance doit être contactée dès le début.

IONOS permet, selon le produit utilisé, d’ouvrir l’onglet des sauvegardes depuis le compte client et de restaurer une installation WordPress avec sa base de données. Les fichiers d’hébergement sont également sauvegardés quotidiennement et conservés pendant 14 jours sur les offres concernées.

Avant la restauration, téléchargez si possible une copie de la version infectée pour l’analyse, puis choisissez une sauvegarde datant d’avant les premiers signes de l’attaque.

Hostinger permet de restaurer les fichiers et la base de données depuis la rubrique Sauvegardes de hPanel. Son assistance recommande, lorsqu’un serveur virtuel est compromis, d’identifier l’attaque, d’isoler le système, de modifier les accès, de supprimer les logiciels malveillants puis de restaurer une copie saine.

Infomaniak : une restauration globale ou ciblée

Infomaniak met à disposition des versions antérieures des fichiers et des données web et permet, selon le service utilisé, de restaurer l’ensemble de l’hébergement. Cette solution peut être utile lorsque plusieurs composants du site ont été altérés.

Dans tous les cas, une sauvegarde conservée chez l’hébergeur ne dispense pas de disposer d’une copie indépendante.

Commencez par travailler sur une copie ou un environnement isolé. Comparez les fichiers avec une version officielle de WordPress, puis remplacez le cœur du CMS par des fichiers propres. Supprimez les thèmes et extensions inconnus, mettez à jour ceux qui sont conservés et contrôlez particulièrement wp-config.php, .htaccess, le dossier uploads et les comptes administrateurs.

WordPress recommande de maintenir le cœur du CMS, les plugins et les thèmes à jour, de limiter les droits d’accès et de conserver des sauvegardes complètes des fichiers et de la base.

Choisissez ensuite une sauvegarde antérieure à l’attaque. Testez-la si possible sur un sous-domaine ou en local. Après la restauration :

• vérifiez les pages, les formulaires et les liens ;
• recherchez les redirections ou fichiers inconnus ;
• changez de nouveau tous les mots de passe ;
• activez la double authentification ;
• contrôlez l’envoi de mails et les comptes utilisateurs ;
• installez les dernières mises à jour.

Si la faille d’origine n’est pas identifiée, le pirate peut revenir par la même porte.

Ouvrez le rapport Problèmes de sécurité dans Google Search Console. Il peut indiquer les URL touchées et la nature du contenu détecté. Nettoyez toutes les pages concernées, corrigez la faille, puis demandez un examen seulement lorsque le site est sain. Google précise que les avertissements peuvent rester visibles pendant le traitement de la nouvelle vérification.

Contrôlez aussi les nouvelles pages indexées, le sitemap et les comptes ayant accès à Search Console. Un pirate peut injecter un grand nombre d’URL destinées à détourner le trafic issu de la recherche.

Si des données personnelles ont été consultées, copiées, modifiées ou rendues indisponibles, l’entreprise doit évaluer les risques pour les personnes concernées.

Lorsqu’une notification est nécessaire, la CNIL demande qu’elle soit effectuée, si possible, dans les 72 heures suivant la constatation de la violation. Si ce délai est dépassé, l’organisme doit expliquer les raisons du retard.

Les personnes touchées doivent aussi être informées lorsque la violation présente un risque élevé pour leurs droits et leurs libertés. Conservez une chronologie de l’incident, les mesures prises et les informations communiquées.

Une fois le site rétabli, il faut réduire les points d’entrée encore accessibles.

Supprimez les plugins inutilisés, utilisez des mots de passe uniques, protégez les comptes mail et vérifiez régulièrement les alertes du CMS, de l’hébergeur et de Search Console.

La sécurité ne repose pas sur une seule extension ou un antivirus. Elle dépend de la mise à jour du système, de la qualité des accès, de la présence de sauvegardes fiables et de la capacité à détecter rapidement une anomalie.