La plupart des dirigeants de petites entreprises ne découvrent pas que leur site a été piraté grâce à une alerte de sécurité. Ils l'apprennent parce que Google signale le site comme dangereux dans les résultats de recherche, qu'un client envoie un mail pour demander pourquoi le site a essayé de télécharger quelque chose sur son téléphone, ou que l'hébergeur suspend le compte sans prévenir. Le temps que l'un de ces signaux arrive, les dégâts durent généralement depuis des semaines.
Ce délai est le vrai problème. Un site compromis s'annonce rarement de lui-même. Il continue de se charger, la page d'accueil a l'air normale, et rien n'incite à chercher un problème. Pendant ce temps, l'attaquant fait quelque chose de plus discret : injecter des liens de spam dans les pages pour booster le référencement de quelqu'un d'autre, rediriger une partie des visiteurs vers un site frauduleux, récupérer les données des formulaires, ou utiliser le serveur pour envoyer du spam en masse. Rien de tout ça ne se voit si on ne sait pas où regarder.
Voici ce qu'il faut réellement vérifier, parce que « le site m'a l'air normal » n'est pas la même chose que « le site est normal ».
1. Cherchez votre propre domaine dans Google avec « site:votredomaine.com » et parcourez les résultats à la recherche de pages que vous n'avez pas créées, surtout celles dont le titre contient des mots-clés liés aux médicaments, aux jeux d'argent ou aux contrefaçons. C'est l'un des signes de piratage les plus courants, et l'un des plus faciles à vérifier, en une trentaine de secondes.
2. Cherchez du contenu qui change selon qui le consulte. Les attaquants ne servent souvent le spam injecté qu'à Googlebot, ou qu'aux visiteurs arrivant depuis les résultats de recherche, si bien que le site paraît parfaitement normal pour un propriétaire connecté depuis un navigateur habituel. Vérifier Google Search Console à la recherche d'un avertissement « problèmes de sécurité » est généralement le moyen le plus rapide de repérer ça, souvent avant que quoi que ce soit ne paraisse anormal à l'œil nu.
3. Vérifiez s'il existe de nouveaux comptes administrateurs, des fichiers inconnus dans les dossiers de plugins ou de thèmes du CMS, ou des tâches planifiées que personne dans l'équipe n'a créées. Elles sont généralement laissées là exprès, pour que l'attaquant puisse revenir même après le nettoyage du problème visible.
4. Surveillez une chute soudaine du trafic de recherche sans autre explication. Google rétrograde activement, et finit par blacklister, les sites qu'il détecte comme compromis, et ça se voit dans les statistiques avant que la plupart des propriétaires ne remarquent quoi que ce soit d'autre d'anormal.
5. Demandez directement à l'hébergeur si l'envoi de mails sortants ou l'utilisation des ressources a récemment grimpé. Un site compromis sert souvent à envoyer du spam en masse, et la plupart des hébergeurs surveillent exactement ça, même s'ils ne préviennent pas le client de manière proactive avant de suspendre le compte.
Si l'un de ces points révèle quelque chose, voici l'ordre qui compte vraiment dans la première heure. Pas un classeur complet de gestion d'incident, juste de quoi arrêter l'hémorragie.
Changez immédiatement tous les mots de passe administrateurs, y compris le compte d'hébergement et tous les identifiants FTP ou de base de données, pas seulement la connexion au CMS. Un mot de passe réutilisé ailleurs est souvent la façon dont ces piratages commencent au départ.
Mettez le site hors ligne ou en mode maintenance plutôt que de le laisser actif pendant l'investigation. Un site compromis qui reste en ligne continue de nuire au référencement et à toute personne qui le visite entre-temps.
Restaurez une sauvegarde antérieure à la compromission, si elle existe et qu'elle est réellement saine. C'est exactement pour ça qu'un forfait de maintenance qui teste ses sauvegardes compte plus qu'un forfait qui prétend simplement en avoir. Restaurer est presque toujours plus rapide et plus sûr que de traquer et supprimer manuellement chaque fichier injecté.
Corrigez ce qui a permis à l'attaquant d'entrer avant de remettre le site en ligne. La plupart de ces piratages passent par un plugin, un thème ou une version de CMS obsolète, pas par un exploit sophistiqué. Si le point d'entrée n'est pas corrigé, restaurer la sauvegarde ne fait que remettre le compteur à zéro jusqu'à ce que ça recommence.
Demandez une revue dans Google Search Console une fois que le site est réellement propre, pour que l'avertissement « site dangereux » soit levé au lieu de coûter discrètement du trafic pendant des semaines après que le problème a déjà été réglé.
Les entreprises qui s'en remettent rapidement ne sont presque jamais celles qui ont les outils de sécurité les plus sophistiqués. Ce sont celles qui avaient déjà des sauvegardes propres et testées, qui connaissaient assez bien à quoi ressemblait la normalité de leur propre site pour remarquer qu'un truc clochait, et qui avaient quelqu'un à appeler capable d'agir immédiatement au lieu d'ouvrir un ticket et d'attendre.
C'est exactement le rôle d'un support continu : pas un service auquel personne ne pense avant d'en avoir besoin, mais quelqu'un qui connaît déjà votre site, qui a déjà les accès, et qui décroche le téléphone au lieu de vous faire passer par une file d'attente quand quelque chose cloche. Si vous n'êtes pas sûr, là, maintenant, que votre propre site passerait les vérifications ci-dessus, ça vaut la peine de le savoir avant qu'un attaquant, ou Google, ne le découvre à votre place.
Un projet en tête ?
Démarrer un projet