Après un piratage de site : détecter, nettoyer, sécuriser et retrouver son référencement

Conclusion d’abord : En cas de piratage, c’est l’ordre qui compte, pas la vitesse. La première heure sert à trois choses : faire une sauvegarde horodatée, changer tous les mots de passe et délimiter l’étendue de l’infection. Ensuite, on nettoie sur trois niveaux : fichiers, base de données, portes dérobées. En cas de restauration depuis une sauvegarde, le point de restauration doit être antérieur à l’infection. Une fois le nettoyage terminé, on soumet la demande de réexamen pour problème de sécurité à Google. Chronologie typique : 1 à 3 jours de nettoyage, 1 à 4 semaines pour retrouver l’indexation, 1 à 2 mois pour retrouver son classement.

1. Le premier problème après un piratage : comment l’avez-vous su ?

Délimitons le sujet :la base de sécurité traite de la configuration des défenses en amont,Diagnostic d’indexation traite du dépistage classique des anomalies d’indexation. Cet article ne porte que sur la gestion après coup : le processus complet et sa chronologie, du moment où l’anomalie est détectée jusqu’au retour à l’indexation et au bilan final. Avoir de bonnes défenses ne fait que réduire la probabilité d’un piratage, sans l’exclure. C’est pourquoi toute entreprise disposant d’un site doit connaître cette procédure.

Les signaux de détection sont généralement au nombre de quatre, et la plupart des sites B2B sont alertés par les deux premiers.

Signaux de détection	Manifestation concrète	Canaux de détection courants
Des pages spam apparaissent dans les résultats de recherche	La recherche du nom de marque fait apparaître des résultats de jeux d’argent, de médicaments ou de contrefaçons	Recherche du nom de marque par vous-même, signalement d’un client
Alerte de sécurité dans Search Console	Réception d’une notification du type « contenu de piratage détecté »	E-mails et messages dans Search Console
Redirection signalée par un client	Une visite arrivant d’un moteur de recherche est redirigée vers une page inconnue	Plaintes de l’équipe commerciale et de clients fidèles
Anomalies de trafic et de journaux	Pic de trafic nocturne, robots inconnus, connexions inhabituelles à l’administration	Panneau d’hébergement et journaux d’accès

Voici un fait que beaucoup sous-estiment : quand le dirigeant tombe lui-même sur une page spam, le contenu corrompu est généralement indexé depuis plusieurs semaines. Les sites d’entreprise reçoivent peu de visites au quotidien : le détournement par redirection est souvent d’abord crawlé et indexé par les moteurs de recherche, puis découvert par hasard. Plutôt que de se dire « il faut détecter tôt », le plus concret est de rechercher une fois par mois le nom de sa marque pour vérifier les résultats. Cette étape peut s’ajouter à la la maintenance mensuelle liste de contrôle, pour une minute de travail.

2. Les trois choses à faire la première heure : d’abord la preuve, ensuite le nettoyage

La première heure après la détection ne sert pas à nettoyer, mais à trois préparatifs. L’ordre ne doit pas être inversé.

Action	Mise en œuvre concrète	Objectif
Sauvegarde horodatée	Archiver intégralement les fichiers et la base de données du site, noter l’heure actuelle du serveur	Conserver les preuves de l’intrusion et éviter que le nettoyage ne détruise les indices
Changer tous les mots de passe	Remplacer tous les mots de passe : hébergement, base de données, administration, FTP, SSH, domaine, comptes e-mail	Couper tous les accès actuels de l’attaquant
Délimiter l’étendue de l’infection	Déterminer s’il s’agit d’un seul site ou de plusieurs sites sur le même serveur, et si les comptes e-mail et de domaine sont touchés	Décider de l’ampleur du traitement et s’il faut prévenir les parties concernées

Pourquoi faire l’analyse forensique avant le nettoyage ? Deux raisons. Premièrement, les preuves du chemin d’intrusion (quels fichiers ont été modifiés, quand, depuis quel compte la connexion a eu lieu) disparaissent dès que vous supprimez des fichiers ou écrasez des répertoires ; ensuite, retrouver la cause de l’intrusion ne relève plus que de la conjecture. Deuxièmement, toucher directement aux fichiers peut alerter les scripts de porte dérobée : certains, détectant leur suppression, déclenchent une destruction de données ou propagent l’infection aux autres sites du même serveur. Le paquet forensique doit être placé en local ou sur un cloud, en dehors du site, et non laissé sur le serveur infecté.

Changez tous les mots de passe d’un coup : en oublier un seul, et le nettoyage est réduit à néant. Les oublis les plus fréquents concernent les comptes FTP et base de données — beaucoup ne changent que le mot de passe de l’administration. Lors de l’évaluation de l’étendue, attention aux sites multiples sur un même serveur : un serveur héberge le site officiel, un site de test, un ancien site ; l’attaquant entre souvent par le plus faible, et si vous ne nettoyez que le site officiel sans toucher aux autres du même serveur, l’infection revient quelques jours plus tard.

Trois, nettoyage en trois couches : fichiers, base de données, portes dérobées

Le nettoyage se fait en trois couches, chacune avec ses objets d’inspection et ses méthodes.

Niveau	Objet d’inspection	Méthode
Couche fichiers	Fichiers cœur du programme et fichiers récemment modifiés	Comparer les fichiers cœur avec le paquet d’installation officiel, trier par date de modification décroissante pour repérer les changements récents
Couche base de données	Scripts injectés et comptes suspects	Rechercher les balises de script dans le contenu des articles, vérifier la liste des comptes administrateurs
Couche portes dérobées	webshell et tâches planifiées anormales	Scanner la date de modification et les signatures de code des fichiers exécutables, vérifier les tâches planifiées

Les portes dérobées se cachent à des endroits récurrents :

Emplacement	Signe distinctif	Mesure à prendre
Répertoire des téléversements	Apparition de fichiers .php dans un répertoire (normalement uniquement des images et documents)	Supprimer et restreindre les droits d’exécution du répertoire
Répertoires des thèmes et extensions	Longue chaîne de code ajoutée à la fin d’un fichier cœur	Remplacer après comparaison avec le paquet officiel
Racine du site	Fichiers php au nom aléatoire, date de modification correspondant à la fenêtre d’intrusion	Supprimer après confirmation
Cache et fichiers de configuration	Présence de longues chaînes base64 et de structures eval dans le contenu	Après nettoyage, rechercher les mêmes signatures sur tout le site

Sur les trois couches, celle des portes dérobées est la plus facile à manquer. Si vous ne supprimez que les pages indésirables et le contenu injecté en laissant un fichier de porte dérobée, les pages réapparaissent quelques jours plus tard — c’est la cause la plus fréquente de « nettoyage suivi de récidive », et la vraie raison pour laquelle beaucoup croient qu’« on ne peut pas se débarrasser d’un piratage ». La base : trier tout le site par date de modification et examiner un par un les fichiers correspondant à la fenêtre d’intrusion ; en cas de doute, comparer avec le paquet officiel. Autre principe de cette couche : après le nettoyage, refaire un scan pour confirmer qu’aucune des trois couches ne présente de résidu, puis passer à l’étape suivante.

Quatre, restauration depuis une sauvegarde : conditions et pièges

Si le système de sauvegarde est solide, la restauration est souvent plus rapide qu’un nettoyage couche par couche. Mais elle repose sur trois conditions, et il suffit qu’une seule manque pour que ça ne fonctionne pas.

Condition	Méthode d’évaluation	Que faire si une condition n’est pas remplie
Le point de restauration est antérieur à l’infection	Déterminer la fenêtre d’infection à partir des journaux et des dates de modification des fichiers	Il ne reste que le nettoyage manuel couche par couche
La sauvegarde est complète et exploitable	Vérifier l’intégrité sur-le-champ, idéalement après l’avoir testée	Solution mixte : restaurer les fichiers, nettoyer la base de données à la main
Renforcer immédiatement après la restauration	Mise à jour des composants, changement des mots de passe et correction des failles en une seule fois	Sinon, une seconde compromission n’est qu’une question de temps

Le piège principal, c’est un point de restauration postérieur à l’infection : restaurer le site avec une sauvegarde déjà porteuse d’une porte dérobée, c’est inviter l’attaquant à revenir. Les indices pour dater l’infection incluent la date de modification de fichiers suspects, la première connexion à l’administration depuis une adresse IP inconnue dans les journaux d’accès, et la date d’indexation initiale des pages de spam — c’est là toute la valeur du lot de données de la deuxième heure d’investigation. Une autre erreur fréquente est de ne pas changer les mots de passe après la restauration : le stockage en clair ou avec un hachage faible dans la base de données n’est pas rare, et l’ancien mot de passe entre les mains de l’attaquant peut encore fonctionner.

Cinq. Les cinq renforcements et le retour sur le chemin d’intrusion

Après le nettoyage ou la restauration, cinq renforcements sont obligatoires, sinon une nouvelle compromission est très probable.

Renforcement	Mise en œuvre concrète	Priorité
Mettre à jour tous les composants	Passer le cœur du CMS, les thèmes et les extensions à la dernière version	Maximal
Changer les chemins et comptes par défaut	Modifier l’adresse par défaut de l’administration, supprimer ou renommer le compte administrateur par défaut	Élevée
Limiter les extensions de sécurité	Installer une extension de sécurité principale et activer la surveillance des modifications de fichiers	Élevée
Restreindre l’accès à l’administration	Limiter la cadence des connexions, activer la double authentification et, si besoin, restreindre par zone géographique	Moyenne
Restreindre les permissions des fichiers	Appliquer le principe du moindre privilège aux fichiers de configuration et au dossier de téléversement	Moyenne

Le retour d’expérience répond à quatre questions, à consigner dans un document d’une page : par où l’intrusion est-elle entrée (extension obsolète, mot de passe faible deviné par bourrage, autre site compromis sur le même hébergeur) ; pourquoi n’a-t-elle pas été détectée plus tôt (quelle surveillance manquait) ; combien de temps s’est écoulé entre la détection et la fin du nettoyage ; les sauvegardes et les tests ont-ils servi lors de cet incident. La valeur de ce document se révèle la fois suivante — la plupart des sites sont compromis plus d’une fois dans leur existence, et voir la même brèche s’ouvrir une deuxième fois relève de la gestion. Compléter la surveillance et les alertes là où elles manquent, en alignant ces lacunes sur les points de contrôle de la maintenance mensuelle.

Six. Faire appel à Google et résorber les pages de spam

Une seule règle de timing pour l’appel : ne le soumettre qu’une fois le nettoyage terminé. Le soumettre en cours de route allonge le délai — si Google découvre encore du contenu malveillant lors de la vérification, l’attente repart à zéro, bien plus lent que d’attendre quelques jours de plus avant de soumettre.

Étape	Action	Explication
1 Vérifier que le nettoyage est terminé	Les trois niveaux de nettoyage sont achevés et un nouveau scan ne révèle aucun résidu	Vérifier une à une les URL d’exemple dans Search Console
2 Corriger le site lui-même	Suppression du contenu malveillant et correction des failles	Le site ne doit plus présenter de problème de sécurité au moment de la vérification demandée par Google
3 Soumettre la demande de réexamen	Soumettez-le dans la section Problèmes de sécurité de Search Console	Joignez un récapitulatif des mesures prises et du calendrier
4 Attendez la révision	Le délai va généralement de quelques jours à deux semaines	Ne soumettez pas de nouvelle demande entre-temps

Si les pages de spam injectées ont déjà été indexées, la méthode de traitement compte : renvoyer un code 410 (suppression définitive) favorise davantage la résorption qu’un code 404 — Google traite visiblement le 410 plus rapidement ; utilisez en parallèle l’outil de suppression de Search Console pour masquer en urgence les résultats de spam les plus critiques. Ensuite, faites un point hebdomadaire : vérifiez le nombre de pages restantes avec la commande site et une recherche sur le nom de marque. Passer de plusieurs centaines de pages indexées à quelques unités prend généralement deux à quatre semaines ; pendant cette période, ne soumettez pas de nouvelle demande de révision parce que ça avance lentement.

7. Évaluation des dégâts : ce qui peut revenir, ce qui ne reviendra pas

Avant de présenter le calendrier à votre direction, clarifiez la durée typique et les critères de réussite de chaque phase, pour éviter les relances répétées du type « pourquoi ce n’est toujours pas rétabli ? ».

Phase	Cycle typique	Seuil de référence
Nettoyage et renforcement	1–3 jours	Nouvelle analyse : aucun fichier ni script malveillant résiduel
Réindexation et levée de l’avertissement de sécurité	1 à 4 semaines	L’avertissement de sécurité disparaît, les résultats de spam sont quasiment éliminés
Rétablissement du classement	1 à 2 mois	Les mots-clés principaux reviennent près de leur position d’avant l’incident

La réversibilité des dégâts dépend de deux cas de figure. Un site qui n’a hébergé que du contenu spam, sans notification de sanction manuelle, retrouve généralement son classement après nettoyage ; un site explicitement jugé coupable de « spam par manipulation » (par exemple du texte caché et des redirections injectés, détectés et sanctionnés par l’algorithme) met plus longtemps à se rétablir, et certains mots-clés peuvent ne jamais retrouver leur position. Il existe aussi un type de dégât irréversible : pendant le piratage, des clients ont cliqué sur des pages spam depuis un e-mail ou les résultats de recherche, et cette perte de confiance ne reviendra pas avec la réindexation. C’est aussi pourquoi la première section insiste sur les signaux de détection : chaque semaine de retard ajoute une couche de contamination et de pertes clients.

FAQ — Questions fréquentes

Comment détecter un site piraté ?

Quatre signaux : des pages spam apparaissent dans les résultats d’une recherche sur le nom de marque, un avertissement de sécurité dans Search Console, des clients signalent une redirection à l’accès, un trafic anormal et des connexions inconnues dans les logs. La plupart des sites d’entreprise sont détectés par les deux premiers. Ajoutez « une recherche mensuelle sur le nom de marque pour vérifier les résultats » à vos contrôles de routine : une minute de travail peut ramener le délai de détection de plusieurs semaines à moins d’un mois, et plus la détection est précoce, plus le coût du nettoyage et la perte de confiance diminuent.

Que faire en premier quand on est piraté ?

Trois choses à faire dans la première heure, dans cet ordre : d’abord une sauvegarde forensique complète des fichiers et de la base de données ; ensuite changer d’un coup tous les mots de passe — hébergeur, base de données, back-office, FTP, domaine, e-mail ; enfin déterminer si l’infection touche un seul site ou plusieurs sites du même hébergeur. Attention : ne commencez pas à supprimer des fichiers dans la première heure — nettoyer avant de collecter les preuves détruit les traces du chemin d’intrusion et peut déclencher la logique destructrice d’une porte dérobée. Une fois ces trois étapes terminées, passez au nettoyage couche par couche ou à la restauration d’une sauvegarde.

Peut-on le faire soi-même ou faut-il passer par un prestataire ?

Deux critères entrent en jeu : l’ampleur de l’infection et les compétences techniques. Si un seul site est touché, qu’il ne contient que du contenu indésirable et que quelqu’un dans l’équipe sait administrer un serveur, vous pouvez nettoyer vous-même en vérifiant trois niveaux : fichiers, base de données et portes dérobées. Comptez un à deux jours. Si plusieurs sites du même hébergement sont compromis, si les données sont chiffrées contre une rançon ou si personne dans l’équipe ne sait lire les logs, adressez-vous directement à un prestataire. N’apprenez pas à supprimer au fur et à mesure : une réinfection due à un nettoyage incomplet coûte généralement plus cher que les honoraires d’un prestataire. Entre les deux, vous pouvez nettoyer vous-même et faire vérifier par un tiers.

Un piratage affecte-t-il le référencement, et pendant combien de temps ?

Tout dépend de l’étape : le nettoyage et le renforcement prennent généralement 1 à 3 jours, la réindexation et la levée du signalement de sécurité 1 à 4 semaines, et le retour des positions 1 à 2 mois. Un site qui n’a reçu que du contenu indésirable, sans notification de sanction, retrouve en général ses positions d’origine. Un site jugé coupable de spam par action manuelle remonte plus lentement, et certains mots-clés ne reviennent jamais à leur place. Une partie des dégâts est irréversible : la confiance des clients perdue pendant le piratage ne revient pas avec la réindexation. Plus vous détectez tôt, plus les pertes sont limitées.

Combien de temps prend une demande de réexamen auprès de Google ?

Le délai va généralement de quelques jours à deux semaines, selon deux critères : le site a-t-il été entièrement nettoyé, et le moment de la soumission. Soumettre trop tôt est l’erreur la plus fréquente : si du contenu malveillant est détecté lors du réexamen, le compteur repart à zéro et l’attente est plus longue. La bonne méthode : terminer le nettoyage aux trois niveaux et la vérification, contrôler une à une les URL d’exemple, puis soumettre une seule fois avec un compte rendu des mesures prises, et attendre patiemment sans soumettre à nouveau.

Comment identifier la voie d’accès ?

Croisez trois indices : la date de modification des fichiers suspects, qui délimite la fenêtre d’intrusion ; la première connexion inconnue à l’administration ou en SSH par une adresse IP inédite dans les logs d’accès ; la date de création des comptes suspects ajoutés dans la base de données. Ce qui s’est passé autour du moment où les trois concordent — quelle extension avait une faille connue, quel mot de passe venait d’être cassé — voilà l’entrée. Consignez le résultat dans un compte rendu et comblez la faille immédiatement, sinon la prochaine intrusion passera par le même trou.

Pour conclure

Face à un piratage, ce n’est pas le niveau technique qui compte, mais l’ordre des opérations et l’exhaustivité de la liste : la première heure, on collecte les preuves avant de nettoyer ; le nettoyage suit les trois niveaux fichiers, base de données et portes dérobées ; le point de restauration doit être antérieur à l’infection ; on attend la fin du nettoyage pour soumettre le réexamen. Chaque étape a une action et un moment précis, rien n’est laissé à l’improvisation.

Trois choses à mettre en place : inscrire « rechercher la marque chaque mois » dans les contrôles de routine, enregistrer les trois niveaux de nettoyage de cet article dans un document interne, et conserver les relevés de temps des exercices de restauration — ce que vous aurez sous la main le soir de l’incident dépend de ce que vous aurez préparé en amont. Si votre équipe manque de personnel technique ou souhaite mettre en place ce suivi et ces sauvegardes selon l’état actuel du site, vous pouvez Contactez-nous.Une seule idée à retenir : se faire pirater n’est pas le pire. Le pire, c’est de se faire pirater sans procédure.