Que faire si votre site est compromis

Un site compromis empire tant qu'il reste en ligne. Suivez ces étapes dans l'ordre, et prévenez-nous tôt plutôt qu'après avoir tout essayé.

Les signes d'une compromission

• Des pages que vous n'avez pas créées, souvent pour vendre quelque chose sans rapport.
• Des visiteurs redirigés ailleurs — parfois uniquement depuis les résultats de recherche ou uniquement sur mobile.
• Un moteur de recherche ou un navigateur qui signale le site comme dangereux.
• Des comptes administrateurs inconnus, ou votre propre mot de passe admin qui ne fonctionne plus.
• Une hausse soudaine des envois d'e-mails, ou votre domaine qui atterrit brusquement dans les spams.
• Des fichiers mis en quarantaine par l'analyseur antimalware que vous ne pouvez pas expliquer.

1. Prévenez-nous immédiatement

Ouvrez un ticket depuis la section Support de votre tableau de bord, indiquez une priorité reflétant l'urgence et sélectionnez le service concerné. Précisez : le domaine, ce que vous constatez, quand vous l'avez remarqué, et ce que vous avez déjà modifié. Si vous préférez commencer sur WhatsApp, écrivez-nous et demandez un humain — une vraie personne peut reprendre la conversation à tout moment.

Prévenir tôt compte. Un site compromis sur un hébergement mutualisé peut affecter les voisins, faire blacklister l'IP du serveur pour spam et détruire la réputation d'envoi de votre domaine — des dégâts bien moins coûteux à prévenir qu'à réparer.

2. Changez les identifiants, tous

• Le mot de passe de votre compte myPandos, depuis Profil → Sécurité sur dash.mypandos.io. Le changer vous déconnecte de vos autres appareils et supprime les appareils mémorisés (de confiance), ce qui est exactement l'effet recherché ici.
• Votre mot de passe Plesk.
• Le mot de passe administrateur de votre CMS, et supprimez tout compte admin inconnu.
• Les mots de passe des utilisateurs de base de données, en mettant à jour la configuration de votre application.
• Tous les identifiants FTP/SSH, ainsi que les clés d'API utilisées par le site.

Vérifiez aussi l'ordinateur depuis lequel vous administrez le site. Les identifiants volés viennent souvent d'un malware sur un poste de travail, pas du serveur.

3. Limitez les dégâts

Si le site diffuse activement du malware ou du spam, le mettre hors ligne temporairement vaut mieux que de le laisser en place. Une page de maintenance coûte une journée de trafic ; un blacklistage coûte des mois de réputation.

4. Restaurez une sauvegarde saine

Restaurer est généralement plus rapide et plus fiable que nettoyer un site infecté à la main. Choisissez une sauvegarde antérieure au premier signe de problème — voir Sauvegardes et restaurations d'hébergement et de VPS. Restaurez, puis appliquez immédiatement l'étape 5 avant de remettre le site en ligne, sinon vous serez réinfecté par la même faille.

5. Fermez la porte d'entrée

• Mettez à jour le cœur du CMS, toutes les extensions et tous les thèmes.
• Supprimez entièrement les extensions et thèmes inutilisés.
• Retirez tout ce qui provient d'une source non officielle — les extensions piratées sont une cause majeure de compromission.
• Vérifiez que les permissions de fichiers ne sont pas ouvertes en écriture à tous.

6. Cherchez ce que la restauration n'a pas retiré

Si vous avez nettoyé au lieu de restaurer, vérifiez : les comptes administrateurs inconnus, les tâches planifiées (cron) que vous n'avez pas créées, un .htaccess modifié, des fichiers PHP dans un dossier d'envois, et du code injecté en tête des fichiers index ou header.

7. Vérifiez le DNS, la messagerie et votre domaine

Passez en revue les enregistrements DNS du domaine pour repérer ce que vous n'avez pas ajouté, cherchez des règles de redirection de courrier que vous n'avez pas créées, et confirmez que les coordonnées du titulaire et l'état de verrouillage du domaine sont toujours corrects dans votre tableau de bord.

8. Reconstruisez la confiance

Une fois le site propre, demandez un réexamen aux moteurs de recherche ou navigateurs qui l'ont signalé. Si votre domaine a servi à envoyer du spam, attendez-vous à ce que la délivrabilité mette du temps à se rétablir — demandez-nous, nous vous dirons ce que nous voyons côté serveur.

Ce que nous pouvons faire

Nous pouvons vérifier ce que vous ne voyez pas côté serveur : ce que l'analyseur antimalware a trouvé, ce que disent les journaux, si l'IP du serveur est blacklistée, et quelles sauvegardes sont disponibles. Nous vous dirons toujours honnêtement ce que nous pouvons et ne pouvons pas faire pour votre service.