Les signes qu’un site a été piraté
Un client vous prévient, un peu gêné. En cherchant votre entreprise, il est tombé sur une page de votre site remplie de caractères japonais. Un autre vous raconte qu’en cliquant sur votre lien depuis son téléphone, il s’est retrouvé sur un site de jeux en ligne. Vous ouvrez votre site depuis le bureau : tout paraît normal. C’est justement ce qui rend la situation déroutante.
Le piratage se voit rarement depuis votre ordinateur. Les pirates qui s’attaquent aux petits sites cherchent à passer inaperçus du propriétaire, parce qu’un site piraté qui reste en ligne longtemps leur rapporte davantage. Ils programment donc leurs modifications pour qu’elles ne se déclenchent que dans certains cas : pour un visiteur qui arrive depuis un moteur de recherche, pour un téléphone, pour une adresse inconnue. Le propriétaire, qui tape directement son adresse depuis son poste habituel, voit son site intact.
Plusieurs signes doivent pourtant alerter. Le plus courant concerne les résultats de recherche. Tapez le nom de votre site suivi d’un mot comme « site: » ou cherchez simplement votre adresse : si des pages que vous n’avez jamais créées apparaissent, avec des titres en langue étrangère, des noms de médicaments ou de produits de luxe, votre site héberge des pages parasites. Les pages en japonais sur mon site, pour reprendre une plainte fréquente, sont l’une des formes les plus répandues de ce piratage.
Deuxième signe : une redirection qui n’apparaît que sur téléphone. Le site redirige vers un autre site, souvent douteux, mais uniquement quand on y accède depuis un mobile ou depuis un résultat de recherche. C’est précisément pour cela qu’il faut prendre au sérieux un client qui vous le signale, même si vous ne constatez rien vous-même.
Troisième signe : un avertissement du navigateur. Une page rouge ou un message qui indique que le site pourrait être dangereux s’affiche avant votre page d’accueil. Les navigateurs tiennent à jour des listes de sites compromis. Si le vôtre y figure, vos visiteurs sont dissuadés d’entrer, et la plupart repartent.
Quatrième signe : des mails envoyés à votre insu. Vos contacts reçoivent des messages que vous n’avez pas écrits, ou votre messagerie reçoit en masse des avis de non-distribution pour des mails que vous n’avez jamais envoyés. Le site ou la messagerie est alors utilisé pour expédier du spam. Dernier signe, plus discret : un site devenu très lent sans raison apparente, parce qu’il travaille en arrière-plan pour quelqu’un d’autre.
Aucun de ces signes, pris seul, n’est une preuve absolue. Un site lent peut simplement être mal hébergé. Mais s’ils se cumulent, ou si un client vous signale une redirection, il faut agir comme si le site était piraté, et le vérifier ensuite.
Pourquoi les petits sites sont visés
Les propriétaires se demandent presque toujours pourquoi leur site a été choisi. Un plombier, une fleuriste, un chauffeur de taxi n’ont rien qui intéresse un pirate. C’est vrai. Et c’est précisément pour cela qu’ils sont touchés.
Ce n’est pas vous qui êtes visé. Personne n’a choisi votre entreprise. Les pirates utilisent des programmes qui parcourent internet en permanence, à la recherche de sites qui présentent une faille connue : un outil de gestion jamais mis à jour, une extension abandonnée par son éditeur, un mot de passe trop simple. Quand le programme trouve un site vulnérable, il l’infecte automatiquement, sans qu’aucun humain ne regarde de quoi il s’agit.
L’objectif n’est pas de vous nuire, mais d’utiliser votre site. Il sert à héberger des pages de spam, qui profitent de la réputation de votre adresse auprès des moteurs de recherche. Il sert à rediriger vos visiteurs vers des sites qui les rémunèrent. Il sert parfois à envoyer des mails en masse. Votre site n’est qu’un relais parmi des milliers d’autres.
Les petits sites sont particulièrement exposés pour une raison simple : ils sont souvent livrés puis oubliés. Le site a été créé, mis en ligne, et plus personne n’y touche. Les mises à jour de l’outil de gestion et des extensions ne sont pas faites, parce que personne n’en a la charge ou parce qu’on craint de casser quelque chose. Au fil du temps, les failles connues s’accumulent. Un site jamais mis à jour finit par devenir une cible facile.
Cette réalité doit dédramatiser sans minimiser. Vous n’êtes pas victime d’une attaque personnelle, et un site piraté se nettoie dans la très grande majorité des cas. Mais le piratage a des conséquences réelles : des visiteurs détournés, une réputation atteinte auprès des moteurs de recherche, parfois des données exposées. Il faut donc le traiter rapidement, et surtout comprendre pourquoi il a été possible.
Les premiers gestes, dans l’ordre
Face à un site piraté, l’envie est grande de faire quelque chose tout de suite, n’importe quoi. C’est souvent là que les dégâts s’aggravent. Quelques gestes simples, dans le bon ordre, suffisent à limiter les conséquences en attendant le nettoyage.
Premier geste : notez ce que vous avez constaté. Avant toute intervention, faites des captures d’écran des pages parasites, de la redirection, de l’avertissement du navigateur. Notez la date, l’heure, l’appareil utilisé et la façon dont vous êtes arrivé sur la page. Ces éléments aideront celui qui réparera à comprendre ce qui s’est passé. Ils serviront aussi si vous devez établir ce qui relevait de la responsabilité de chacun.
Deuxième geste : prévenez votre prestataire ou votre hébergeur, par écrit. Un mail court, qui décrit les signes constatés, joint les captures et demande une intervention. Si vous avez un contrat de maintenance, c’est à ce prestataire que vous vous adressez en premier. Sinon, contactez celui qui a livré le site, ou directement l’hébergeur, qui dispose souvent d’un service dédié à ce type d’incident.
Troisième geste : changez les mots de passe. Celui de l’accès à l’administration du site, celui de l’espace client de l’hébergeur, celui de la messagerie professionnelle. Choisissez des mots de passe longs, différents les uns des autres, que vous n’utilisez nulle part ailleurs. Si le piratage est passé par un mot de passe volé, ce geste coupe l’accès du pirate. Faites-le depuis un ordinateur que vous savez sain.
Quatrième geste, qui est en réalité une abstention : ne supprimez rien vous-même. Il est tentant d’effacer les pages parasites qu’on a repérées, de désinstaller une extension suspecte ou de restaurer une ancienne version sans réfléchir. Ces actions peuvent effacer les traces utiles au diagnostic, sans supprimer la porte d’entrée utilisée par le pirate. Le site sera propre en apparence, et piraté de nouveau quelques jours plus tard.
Évitez aussi deux erreurs fréquentes. La première consiste à payer dans l’urgence le premier service de nettoyage trouvé en ligne, sans prévenir votre prestataire. Deux interventions simultanées se contrarient, et vous risquez de payer deux fois. La seconde consiste à laisser le site tel quel en espérant que le problème se résorbe seul. Un piratage ne disparaît jamais de lui-même : il s’étend.
Si des redirections dangereuses touchent vos visiteurs, demandez à votre prestataire s’il est préférable de mettre temporairement le site hors ligne, avec une page simple indiquant votre numéro. Mieux vaut une page d’attente honnête qu’un site qui envoie vos clients vers un site frauduleux.
Qui doit réparer, et à quel titre
Une fois l’urgence passée, se pose la question de la responsabilité : qui doit nettoyer le site, et à qui revient la facture. La réponse dépend de ce que prévoient vos contrats. Trois interlocuteurs peuvent être concernés, et chacun a un rôle distinct.
Le prestataire de maintenance, d’abord, si vous en avez un. Un contrat de maintenance porte généralement sur les mises à jour, la sécurité et parfois les sauvegardes. S’il inclut explicitement la sécurité et les mises à jour, le piratage d’un site non mis à jour relève a priori de sa mission. Relisez les termes exacts : un contrat qui promet de « maintenir le site » sans détailler ce que cela recouvre ne dit presque rien.
L’hébergeur, ensuite. Il fournit le serveur sur lequel le site tourne. Sauf offre spécifique, il est responsable de la sécurité de ce serveur, mais pas de celle du site que vous y avez installé. Si le piratage vient d’une faille de l’outil de gestion ou d’une extension, l’hébergeur n’en est généralement pas responsable. Il peut en revanche aider, en fournissant des sauvegardes ou des journaux qui montrent ce qui s’est passé.
Le prestataire qui a livré le site, enfin, si ce n’est pas le même que celui de la maintenance. Sa responsabilité porte sur ce qu’il a livré. Si le site a été piraté peu après sa livraison, par une faille présente dès l’origine, la question peut se poser. Si le site a été livré proprement, puis laissé sans mise à jour pendant des années sans contrat de maintenance, elle se pose beaucoup moins.
Ce texte ne tranche pas de question juridique. Chaque situation dépend des contrats signés et de ce qui a été convenu. Ce que vous pouvez exiger, en revanche, c’est de la clarté : demandez par écrit à chacun ce qu’il estime relever de sa responsabilité, et ce qu’il propose de faire. Les réponses vous diront souvent que personne n’était chargé des mises à jour. C’est une information précieuse pour la suite.
Après le nettoyage
Le prestataire annonce que le site est nettoyé. Le travail n’est pas terminé pour autant. Plusieurs vérifications vous reviennent, parce que c’est vous qui verrez si les traces du piratage disparaissent vraiment.
Vérifiez d’abord les résultats de recherche. Les pages parasites peuvent y rester un certain temps après leur suppression, le temps que les moteurs de recherche repassent sur votre site et constatent qu’elles n’existent plus. Refaites régulièrement la recherche de votre adresse, et notez si ces pages diminuent. Demandez à votre prestataire de signaler leur suppression aux moteurs de recherche, ce qui accélère le processus.
Contrôlez ensuite la messagerie. Plus aucun avis de non-distribution suspect ne doit arriver, et vos contacts ne doivent plus recevoir de messages étranges. Testez aussi l’accès au site depuis un téléphone et depuis un résultat de recherche, là où la redirection se produisait. Si l’avertissement du navigateur persistait, vérifiez qu’il a disparu. Son retrait demande souvent une démarche de votre prestataire auprès des services qui l’affichent.
Profitez de ces vérifications pour contrôler aussi la sécurité visible par vos clients : le cadenas dans la barre d’adresse et l’absence de message d’alerte. Les explications sur ce que le visiteur voit du certificat HTTPS aident à comprendre ce qui rassure un visiteur, et ce qui le fait fuir.
Enfin, et c’est la demande la plus importante, demandez ce qui a été corrigé. Pas seulement ce qui a été nettoyé, mais comment le pirate est entré, et ce qui a été fait pour fermer cette porte. Une extension retirée, un outil mis à jour, un mot de passe changé, un accès supprimé. Un nettoyage qui ne traite que les symptômes laisse la porte ouverte, et le piratage recommencera.
Ce qui évite le prochain
La prévention tient en quelques questions à poser à votre prestataire. Qui fait les mises à jour de l’outil et des extensions, et à quel rythme ? Où sont les sauvegardes, et qui peut les restaurer ? Chaque accès au site a-t-il son propre mot de passe, différent de tous les autres ? Qui possède un accès administrateur, et ceux qui n’en ont plus besoin ont-ils été supprimés ?
Si personne ne sait répondre, c’est que la sécurité n’est pas prise en charge. C’est une question de tout ce qui touche à la propriété du site, au même titre que le domaine ou l’hébergement, et Web Motion recommande de la régler par écrit, avant le prochain incident plutôt qu’après.
Questions fréquentes
Un site piraté perd-il son référencement ?
Il peut en perdre une partie, surtout si les pages parasites sont restées longtemps en ligne ou si un avertissement de sécurité s’affichait. Les moteurs de recherche réduisent la visibilité des sites qu’ils jugent compromis. Après un nettoyage complet et le signalement des corrections, la situation se rétablit en général progressivement. Plus le nettoyage intervient tôt, plus la récupération est rapide.
Faut-il porter plainte ?
C’est possible, et parfois utile, notamment si des données de clients ont pu être exposées ou si le piratage vous a causé un préjudice. Pour un piratage automatique destiné à héberger du spam, les chances de retrouver l’auteur sont faibles. La plainte sert alors surtout à garder une trace officielle. Conservez dans tous les cas vos captures et vos échanges écrits.
Les données des clients sont-elles exposées ?
Cela dépend de ce que votre site contient. Un site vitrine sans espace client ni formulaire enregistré stocke peu de données. Un site qui conserve les messages du formulaire de contact, des comptes clients ou des commandes peut en exposer davantage. Demandez à votre prestataire de vérifier ce point précisément. Si des données personnelles ont pu être atteintes, des obligations de déclaration peuvent s’appliquer.
Faut-il refaire le site entier ?
Rarement. Un site piraté se nettoie dans la plupart des cas, à partir d’une sauvegarde saine ou par la suppression des éléments ajoutés par le pirate. Une refonte ne se justifie que si le site repose sur un outil si ancien qu’il ne peut plus être mis à jour. Dans ce cas, le piratage est souvent le signal qu’il était de toute façon temps de le reconstruire.