Les premières heures après le piratage de votre site

12 novembre 2026

Ou : la tentation est de tout effacer tout de suite, et c’est exactement ce qui efface les preuves.

La réponse courte : prévenez votre hébergeur, conservez les traces avant de toucher à quoi que ce soit, changez tous les accès, puis restaurez une sauvegarde antérieure à l’intrusion et corrigez la faille avant de rouvrir. La fiche réflexe de Cybermalveillance.gouv.fr sur la défiguration de site (PDF, une page) suit le même ordre : déconnecter la machine ou alerter l’hébergeur, récupérer les journaux, identifier la source de l’intrusion, déposer plainte, puis corriger les failles et changer tous les mots de passe avant la remise en ligne. Ce que l’hébergeur fait pendant ce temps dépend de l’offre, et ce qu’il ne fait pas définit la part de sécurité qui vous revient.

Côté hébergeur, on trouve selon les offres un antivirus qui analyse les fichiers déposés, parfois un scanner qui corrige des failles connues, comme Patchman chez Infomaniak, et la restauration d’une sauvegarde. Le diagnostic de votre site, le choix de la bonne date de restauration et la correction de la faille restent de votre côté. Si le site traite des données personnelles (formulaires, comptes clients, commandes), une fuite se notifie aussi, dans des délais courts.

Pour qui : un indépendant ou une petite entreprise qui veut un hébergement avec antivirus, scanner de vulnérabilités et sauvegardes quotidiennes inclus, pour repartir vite après un incident.

À partir de : 5,75 € HT par mois pour l’hébergement web Infomaniak, facturé à l’année par défaut, sans prix promotionnel affiché (relevé du 12 novembre 2026), sept jours de sauvegardes compris.

Pour démarrer : commander l’hébergement web Infomaniak, activer la double authentification, puis noter quelque part la date de la dernière sauvegarde vérifiée.

Site piraté : que faire, étape par étape, avec son hébergeur

1. Constater sans effacer. Captures d’écran datées, adresses des pages modifiées, fichiers suspects repérés : notez tout. Téléchargez les journaux d’accès depuis le panneau, avant qu’ils ne soient remplacés par les plus récents.
2. Prévenir l’hébergeur. Il peut mettre le site hors ligne, bloquer des fichiers ou lancer une analyse. Un site qui sert du code malveillant à ses visiteurs fait plus de dégâts en ligne que hors ligne.
3. Changer tous les accès, depuis un appareil sain. Espace client, FTP, bases de données, comptes administrateurs du CMS ; supprimez les comptes que vous ne reconnaissez pas, et activez la double authentification là où elle existe.
4. Trouver la porte d’entrée. Une extension ou un thème pas à jour, un mot de passe réutilisé, un compte oublié. Les journaux d’accès montrent souvent la première requête anormale, donc la date de l’intrusion.
5. Restaurer avant l’intrusion, puis corriger. Choisissez une sauvegarde antérieure à cette date, puis mettez à jour le CMS, les thèmes et les extensions avant de rouvrir le site. Sinon, la même faille servira une deuxième fois.
6. Notifier et signaler. Données personnelles exposées, plainte, signalement : les guichets dépendent du pays.

Relevé le 12 novembre 2026 sur les sites du CCB, de Safeonweb, de Cybermalveillance.gouv.fr, de la CNIL et de l’OFCS.

En Belgique, la page « Signaler un incident » du CCB précise que son adresse est réservée aux organisations victimes d’un cyberincident et qu’une réponse d’un opérateur n’est pas garantie ; Safeonweb, le service du CCB destiné au grand public, recueille les messages suspects. En France, le RGPD impose de notifier une violation de données qui présente un risque pour les personnes : la CNIL demande une première notification dans les 72 heures si possible, et la même règle européenne vaut en Belgique auprès de l’Autorité de protection des données. En Suisse, le portail de signalement de l’OFCS accepte les signalements volontaires, rappelle qu’il ne traite pas les urgences en continu et renvoie les plaintes pénales vers la police ; la loi sur la protection des données impose d’annoncer au PFPDT, « dans les meilleurs délais », une violation qui entraîne vraisemblablement un risque élevé.

La plainte n’est pas une formalité. En France, l’accès frauduleux à un système informatique et la modification de ses données sont punis de deux à sept ans d’emprisonnement et de 60 000 à 300 000 euros d’amende selon les cas, rappelle Cybermalveillance.gouv.fr¹. Sans plainte ni preuves conservées, aucune enquête ne démarre.

Choisir la bonne date de restauration

La difficulté de l’étape 5 tient à la date : trop récente, la sauvegarde contient déjà l’intrus ; trop ancienne, elle efface des semaines de commandes. Restaurer seulement les fichiers, en gardant la base, ou l’inverse, permet souvent de couper la poire en deux. Les options de chaque panneau sont détaillées dans la restauration pas à pas.

Le filtre qui aurait pu arrêter la première requête

Un pare-feu applicatif aurait-il bloqué l’attaque ? Parfois, si elle ressemblait à une injection connue ; rarement, si elle exploitait une extension vulnérable avec des requêtes d’apparence normale. Ce que filtrent ModSecurity, TigerProtect ou Cloudflare est comparé dans les pare-feu applicatifs des hébergeurs.

Et si l’intrus venait du compte d’à côté

Sur un mutualisé, la porte d’entrée n’est pas toujours la vôtre : un hébergement mal cloisonné laisse un compte compromis lire ou modifier les fichiers des voisins. Les questions qui permettent de vérifier ce cloisonnement avant de signer sont listées dans l’isolation des comptes sur un mutualisé.