Mon site internet a été piraté: comment le savoir et que faire immédiatement

Votre site redirige vers un site inconnu, Google affiche un avertissement « ce site peut être piraté », ou votre hébergeur vous a suspendu pour usage abusif : dans les trois cas, la réponse est la même. Isolez le site immédiatement, changez tous les mots de passe depuis un appareil sain, contactez votre hébergeur, et ne restaurez qu’à partir d’une sauvegarde antérieure à la compromission. En France, un site PME met en moyenne 47 jours à être détecté comme compromis, et 91 % des failles WordPress exploitées en 2025 se trouvent dans des extensions obsolètes, pas dans le cœur du CMS. Cet article détaille précisément les signes à surveiller, l’ordre exact des actions à mener dans les premières heures, et les obligations légales (CNIL, NIS2) qui s’appliquent si des données de vos clients sont concernées.

Comment savoir si votre site a été piraté : les signes qui ne trompent pas

Un piratage de site web n’est pas toujours spectaculaire. Beaucoup de compromissions restent invisibles à l’œil nu pendant des semaines, car les attaquants cachent volontairement leurs traces aux visiteurs habituels pour ne les montrer qu’à Google ou à certains profils ciblés. Voici les signaux qui doivent vous alerter, classés par où les repérer et leur niveau de gravité.

Le point commun de ces signaux : ils sont presque toujours détectés en premier par un tiers (Google, votre hébergeur, un client) et non par vous-même. C’est pourquoi une surveillance active, via un audit cybersécurité régulier ou l’audit cyber pour PME de SIAC Media, reste le seul moyen de réduire ce délai de détection avant qu’un client ou un moteur de recherche ne le fasse à votre place.

Pourquoi et comment les sites de PME sont piratés

La grande majorité des piratages de sites web de PME ne relève pas d’une attaque ciblée et sophistiquée, mais de l’exploitation automatisée de failles connues sur des logiciels non mis à jour. Les chiffres du secteur, largement documentés par les éditeurs de sécurité spécialisés WordPress (Wordfence, Patchstack), en France comme à l’international, sont sans appel.

Concrètement, trois vecteurs d’entrée reviennent systématiquement : des extensions ou thèmes obsolètes qui n’ont pas reçu le correctif d’une faille publiquement connue, des mots de passe d’administration ou d’accès FTP/SFTP faibles ou réutilisés, et, de façon croissante, des attaques par la chaîne d’approvisionnement logicielle où un plugin lui-même compromis à la source infecte tous les sites qui l’utilisent. Notre article sur les attaques par supply chain détaille ce mécanisme, de plus en plus fréquent sur les écosystèmes de plugins open source.

Cette réalité rejoint les constats plus larges sur le ciblage des PME : notre article « Pourquoi les PME sont les cibles préférées des hackers » explique pourquoi les petites structures, moins bien défendues mais tout aussi connectées, sont devenues une cible de choix pour des attaques largement automatisées plutôt qu’individuellement motivées.

Les premières actions à faire dans l’heure qui suit la découverte

Une fois le piratage confirmé, l’ordre des actions compte autant que leur exécution. Cybermalveillance.gouv.fr, la plateforme d’assistance officielle de l’ANSSI et du ministère de l’Intérieur, recommande une séquence précise en cas de défiguration ou de compromission d’un site.

• Isoler le site sans tout supprimer. Passez le site en mode maintenance ou coupez son accès public si votre hébergeur le permet, mais ne réinitialisez rien avant d’avoir préservé les preuves (captures d’écran, journaux d’accès, fichiers suspects).
• Changer tous les mots de passe depuis un appareil sain. Administration du CMS, accès FTP/SFTP, base de données, panel d’hébergement et boîtes e-mail associées : un mot de passe compromis réutilisé ailleurs rouvre la porte immédiatement après le nettoyage.
• Contacter votre hébergeur sans délai. Il a souvent détecté l’anomalie avant vous (pic de ressources, plainte d’un tiers, envoi de spam) et dispose de journaux serveur indispensables pour identifier le point d’entrée exact.
• Ne jamais négocier avec un chantage au piratage non vérifié. Cybermalveillance.gouv.fr signale une recrudescence de campagnes d’arnaque où un site est prétendu piraté pour extorquer une rançon alors qu’aucune compromission réelle n’a eu lieu : vérifiez toujours techniquement avant de réagir à une menace reçue par e-mail.
• Documenter chaque étape. Ce dossier servira au dépôt de plainte, à votre assurance cyber et, le cas échéant, à la notification réglementaire à la CNIL ou à l’ANSSI.

Pour une check-list complète de gestion de crise applicable à tout type de cyberattaque, notre article « Cyberattaque : que faire dans les 24 premières heures ? » et notre guide du plan de réponse à incident pour PME complètent directement cette séquence d’urgence.

Si le doute persiste ou si vous ne disposez pas des compétences techniques en interne, le guichet public 17Cyber.gouv.fr, lancé par l’ANSSI et le ministère de l’Intérieur, propose un diagnostic en ligne gratuit disponible 24h/24, un chat avec un policier ou un gendarme, et un annuaire de prestataires qualifiés pour vous accompagner dans la remédiation.

Nettoyer et restaurer votre site en toute sécurité

Deux options s’offrent à vous pour la remédiation technique, et le choix dépend entièrement de ce que vous avez préparé avant l’attaque.

• Restaurer depuis une sauvegarde saine antérieure à la compromission. C’est de loin la méthode la plus fiable et la plus rapide, à condition de disposer de sauvegardes régulières, testées et stockées indépendamment du serveur infecté. Notre article sur la règle de sauvegarde 3-2-1 détaille comment structurer ces copies pour qu’elles restent utilisables même en cas d’attaque.
• Nettoyer manuellement si aucune sauvegarde saine n’existe. Cela implique un scan complet du code (fichiers modifiés, portes dérobées, comptes administrateurs illégitimes), la mise à jour immédiate de l’intégralité du CMS, des thèmes et des extensions, puis un audit de sécurité complet avant remise en ligne. Cette option est plus longue, plus coûteuse, et ne garantit jamais à 100 % l’élimination de toutes les portes dérobées installées par l’attaquant.

Dans les deux cas, ne remettez jamais le site en ligne sans avoir corrigé la faille d’origine : redéployer une version propre sur une infrastructure toujours vulnérable revient simplement à offrir une seconde porte d’entrée identique à l’attaquant.

Obligations légales : CNIL, NIS2, plainte et assurance

Un site piraté n’est pas qu’un problème technique : dès que des données de clients ou de prospects sont susceptibles d’avoir été exposées (formulaire de contact, compte utilisateur, paiement en ligne), des obligations légales précises s’appliquent, avec des délais courts à respecter impérativement.

• Notification à la CNIL sous 72 heures si des données personnelles ont pu être compromises, conformément à l’article 33 du RGPD. Si le risque pour les personnes concernées est élevé, elles doivent également être informées directement, au titre de l’article 34.
• Notification à l’ANSSI sous 24 puis 72 heures si votre entreprise est qualifiée d’entité essentielle ou importante au sens de la directive NIS2. Notre guide de mise en conformité NIS2 pour PME détaille qui est concerné et comment procéder.
• Dépôt de plainte sous 72 heures, condition imposée par la loi LOPMI pour toute indemnisation par une assurance cyber en cas de préjudice lié à l’attaque. Notre guide complet de l’assurance cyber pour PME explique précisément ce que couvre ce type de contrat.
• Vérification de votre propre responsabilité en tant que dirigeant. Notre article « Dirigeant de PME : êtes-vous responsable en cas de cyberattaque ? » détaille dans quels cas une négligence caractérisée (absence de mise à jour, mots de passe par défaut) peut engager votre responsabilité personnelle.

Lever l’alerte « site piraté » de Google et retrouver son référencement

Une fois le site nettoyé et la faille corrigée, l’avertissement Google ne disparaît pas automatiquement : il faut le lever explicitement. Dans Google Search Console, rendez-vous dans l’onglet « Sécurité et actions manuelles », vérifiez que le rapport ne détecte plus aucun contenu malveillant, puis soumettez une demande de réexamen en détaillant les mesures correctives appliquées. Ce traitement prend généralement de quelques jours à environ deux semaines selon la complexité du cas.

Pendant cette période, le trafic organique reste généralement affecté, et certaines pages injectées par l’attaquant (souvent en japonais ou en chinois dans le cas du « piratage par mots-clés ») peuvent rester indexées quelques jours après le nettoyage : demandez leur suppression explicite via l’outil de suppression d’URL de Search Console si elles persistent. Notre guide pilier sur la sécurité des applications web et l’OWASP Top 10 détaille les failles techniques à l’origine de la majorité de ces compromissions, pour éviter qu’elles ne se reproduisent après la remise en ligne.

Comment éviter que cela ne se reproduise

Un site nettoyé sans changement structurel a de fortes chances d’être compromis à nouveau, souvent par la même faille. Quelques mesures durables réduisent drastiquement ce risque.

• Automatiser les mises à jour du CMS, des thèmes et des extensions. Avec un délai médian de 5 heures entre la divulgation d’une faille et son exploitation de masse, attendre une mise à jour manuelle hebdomadaire ne suffit plus. Notre guide sur le patch management pour PME détaille comment structurer ce processus.
• Ajouter un pare-feu applicatif (WAF) qui filtre les requêtes malveillantes avant qu’elles n’atteignent le CMS, en complément des mises à jour.
• Limiter les comptes administrateurs au strict nécessaire, avec authentification à deux facteurs et des mots de passe uniques et robustes.
• Choisir un hébergement qui intègre la sécurité par défaut plutôt que de la reconstruire manuellement après coup.

Sur ce dernier point, la localisation et le niveau de gestion de l’hébergement font une vraie différence. Infomaniak, hébergeur suisse certifié ISO 27001 avec des data centers en France et en Suisse (hors champ d’application du Cloud Act américain), intègre à ses offres d’hébergement web un pare-feu applicatif, une protection anti-DDoS et le scanner Patchman, qui détecte et corrige automatiquement les vulnérabilités connues sur plus de 40 CMS dont WordPress, en plus des mises à jour et sauvegardes automatisées.

Enfin, une part croissante des compromissions démarre par un contenu ou un compte administrateur créé via des identifiants obtenus par ingénierie sociale ou phishing ciblant vos équipes. Formaliser les usages numériques de l’entreprise, y compris ceux liés à l’IA, avec un document tel qu’une charte IA générée pour votre PME, complète utilement les mesures techniques en réduisant ce facteur humain.

Pour une vision d’ensemble des briques technologiques qui réduisent ce risque à grande échelle (détection par IA, gestion des accès, filtrage intelligent du trafic), consultez notre panorama complet des technologies IA de cybersécurité pour PME et notre guide complet de la cybersécurité pour PME, qui replacent la sécurisation d’un site web dans une stratégie de protection globale de l’entreprise.

Conclusion : agir vite, mais agir dans le bon ordre

Un site piraté se détecte rarement par vous-même en premier : c’est le plus souvent Google, votre hébergeur ou un client qui vous alertera, en moyenne 47 jours après la compromission initiale pour une PME. Une fois le doute confirmé, la règle est simple : isoler sans détruire les preuves, changer tous les mots de passe depuis un appareil sain, contacter l’hébergeur, restaurer depuis une sauvegarde saine plutôt que de nettoyer dans l’urgence, puis respecter les délais légaux (72 heures pour la CNIL et pour la plainte, 24 puis 72 heures pour l’ANSSI si vous êtes concerné par NIS2). La bonne nouvelle : 91 % des failles exploitées se trouvent dans des extensions non mises à jour, un facteur entièrement sous votre contrôle. Un site correctement mis à jour, avec des mots de passe uniques et un hébergement intégrant un pare-feu applicatif, élimine la quasi-totalité du risque avant même d’avoir à se poser la question de la réaction.