Mon site internet a été piraté : que faire et comment l’éviter

Younes K.Développeur web freelance

Je crée des sites internet, des boutiques en ligne et des applications sur mesure pour les entreprises.

Publié le 27 août 2026

Voir mes créations →

Un matin, à la place de votre page d’accueil, un écran rouge prévient vos visiteurs que le site est dangereux. Ou bien tout a l’air normal depuis votre ordinateur, mais un client vous appelle : en cliquant depuis Google, il est arrivé sur une boutique de médicaments. C’est le scénario le plus courant, et le premier réflexe est presque toujours le mauvais — couper, supprimer, réparer vite.

Je crée et j’entretiens des sites internet pour des petites entreprises, et je récupère régulièrement des sites piratés : ce sont presque toujours des sites en ligne depuis des années auxquels plus personne ne touchait. Voici comment savoir s’il s’agit vraiment d’un piratage, quoi faire dans l’ordre, ce que coûte la réparation, quand il faut prévenir ses clients, et les quelques habitudes qui évitent d’en arriver là. Aucune compétence technique n’est nécessaire pour lire ce qui suit.

La réponse courte

Si vous êtes en train de découvrir le problème et que vous n’avez que deux minutes :

• Ne payez aucune rançon et ne supprimez rien dans la panique : vous effaceriez les traces qui servent à trouver la porte d’entrée, et elle resterait ouverte.
• Prévenez votre hébergeur dans l’heure : c’est lui qui a l’historique et, le plus souvent, les sauvegardes.
• Changez les mots de passe depuis un autre appareil, en commençant par votre boîte e-mail : c’est elle qui permet de réinitialiser tout le reste.
• Ne réparez pas le site en place. On repart d’une sauvegarde antérieure à l’intrusion, on met tout à jour, puis on remet en ligne.
• Si des informations sur des personnes ont pu être consultées, il y a des obligations à respecter, et un délai de 72 heures.
• Vous n’avez presque jamais été visé personnellement : neuf fois sur dix, l’entrée est un site jamais mis à jour ou un mot de passe qui traînait.
• La réparation coûte 300 à 900 € quand une sauvegarde existe, le prix d’un site neuf quand il n’y en a pas. La prévention coûte le prix d’un entretien mensuel.

Est-ce vraiment un piratage ?

Beaucoup de sites « piratés » ne le sont pas, et beaucoup de sites piratés ont l’air parfaitement normaux. Avant de déclencher les grandes manœuvres, regardez de quel côté vous êtes.

Les signes qui ne trompent pas

• Un écran d’avertissement rouge à la place du site : « Site trompeur » ou « Le site que vous consultez peut nuire à votre ordinateur ». Ce message vient du navigateur qui protège vos visiteurs, pas de votre hébergeur.
• Une redirection sélective : en tapant votre adresse, tout va bien ; en cliquant depuis Google ou depuis un téléphone, on atterrit ailleurs. Les intrus ciblent souvent les visiteurs venus des moteurs de recherche et épargnent celui qui tape l’adresse — c’est-à-dire vous.
• Des pages qui ne sont pas les vôtres dans les résultats Google : médicaments, casinos, montres de contrefaçon, souvent dans une autre langue.
• Un texte, un lien ou une publicité que personne chez vous n’a ajouté, souvent en bas de page et parfois écrit en tout petit.
• Des e-mails partis de votre adresse sans que vous les ayez écrits, ou une avalanche soudaine de messages d’erreur d’envoi.
• Votre hébergeur qui coupe le site de lui-même, ou qui vous écrit pour signaler une activité suspecte sur votre espace.
• Un site brusquement très lent, alors que vous n’avez rien changé.

Le test le plus simple prend trente secondes : tapez dans Google « site: » suivi de votre adresse, sans espace — par exemple site:monentreprise.fr — et parcourez la liste des pages. Si des pages que vous n’avez jamais écrites apparaissent, le doute n’est plus permis.

Les fausses alertes les plus courantes

• L’e-mail de chantage. « Votre site a été piraté, voici votre mot de passe, payez sous 48 heures. » Dans l’immense majorité des cas il n’y a aucun piratage : ces messages partent en masse et le mot de passe cité vient d’une fuite ancienne chez un autre service. Ne répondez pas, ne payez pas — mais si ce mot de passe sert encore quelque part, changez-le aujourd’hui.
• Le site simplement en panne. Une page blanche, un message d’erreur, un site qui ne s’ouvre plus du tout : c’est plus souvent une mise à jour ratée, une facture d’hébergement impayée ou un nom de domaine non renouvelé qu’une intrusion.
• Le message « connexion non sécurisée ». Il signale presque toujours un certificat de sécurité expiré, celui du petit cadenas dans la barre d’adresse. C’est à renouveler, ce n’est pas un piratage.
• Le démarchage. « Votre site n’est pas conforme », « votre domaine expire », « nous avons détecté une faille sur votre site » : le commerce de la peur se porte bien. Vérifiez toujours auprès de votre hébergeur ou de votre prestataire, jamais en cliquant dans le message reçu.

Des pages inconnues dans les résultats ? le test « site: » est détaillé ici

Les six premiers gestes, dans l’ordre

L’ordre compte plus que la vitesse. Voici ce qu’il faut faire, et surtout ce qu’il ne faut pas faire avant.

1. Ne payez rien et ne supprimez rien. Une rançon ne garantit aucun retour en arrière et vous désigne comme quelqu’un qui paie. Quant à effacer les fichiers douteux avant d’avoir compris, cela revient à passer l’aspirateur avant l’état des lieux : vous perdez la trace de l’entrée, qui restera ouverte.
2. Prévenez votre hébergeur. C’est le premier appel, avant même votre prestataire s’il n’est pas joignable tout de suite. Il voit ce qui s’est passé sur votre espace, sait depuis quand, détient les sauvegardes, et beaucoup d’hébergeurs ont une procédure toute prête pour ces cas-là.
3. Changez les mots de passe, depuis un autre appareil. Dans cet ordre : votre boîte e-mail d’abord, car c’est elle qui permet de réinitialiser tous les autres ; puis le compte du nom de domaine, celui de l’hébergement, et enfin l’administration du site. Un mot de passe différent pour chacun, et la double vérification par code partout où elle est proposée.
4. Décidez si le site doit être coupé. S’il affiche du contenu illégal, redirige vos visiteurs ou leur réclame des informations, mieux vaut le remplacer par une page « site en maintenance, joignez-nous au… » que de le laisser nuire à vos visiteurs et à votre réputation. S’il ne s’agit que de quelques pages parasites, on peut souvent le laisser en ligne pendant la réparation.
5. Gardez des traces. Captures d’écran, date et heure de la découverte, e-mails reçus, message de l’hébergeur. Cela servira à votre assurance, à un éventuel dépôt de plainte, et surtout au professionnel qui reprendra le site : il gagnera des heures.
6. Faites la liste de ce que le site contenait. Fichier de contacts, comptes clients, commandes, pièces jointes : c’est ce qui déterminera si vous avez des personnes à prévenir. On y revient plus bas.

Remettre le site en ligne : la sauvegarde, et rien d’autre

La tentation est de faire le ménage : supprimer les pages parasites, effacer ce qui semble suspect et considérer l’affaire réglée. C’est la réparation qui échoue le plus souvent. Un intrus laisse presque toujours une deuxième porte derrière lui, et le site est repiraté quelques jours plus tard — parfois le lendemain.

La méthode fiable tient en quatre temps, dans cet ordre :

1. Restaurer une sauvegarde antérieure à l’intrusion. Pas celle d’hier : celle d’avant. Un piratage se découvre rarement le jour où il a lieu, et c’est exactement pour cela qu’une sauvegarde conservée trente jours vaut infiniment mieux qu’une sauvegarde de la veille qui écrase la précédente.
2. Tout mettre à jour avant de rouvrir : le site et ses modules, en supprimant au passage tout ce dont vous ne vous servez plus.
3. Réinitialiser tous les accès et retirer les comptes que vous ne reconnaissez pas, y compris ceux d’anciens prestataires ou de personnes qui ne travaillent plus avec vous.
4. Demander à Google un réexamen du site si un avertissement rouge est apparu. La levée intervient généralement en quelques jours une fois le site propre — mais elle n’est pas automatique, il faut la demander.

Et si vous n’avez aucune sauvegarde ? C’est le scénario coûteux. On peut parfois récupérer des textes dans la version enregistrée par les moteurs de recherche, et des photos sur votre ordinateur. Mais dans les faits, on reconstruit le site.

Ce que coûte la réparation

• Restauration d’une sauvegarde par l’hébergeur : comprise chez certains, 30 à 100 € chez d’autres. C’est justement une des lignes à vérifier avant de choisir un hébergement.
• Nettoyage et sécurisation par un professionnel, sauvegarde saine à l’appui : 300 à 900 € selon la taille du site et l’ancienneté de l’intrusion.
• Reconstruction complète, faute de sauvegarde utilisable : le prix d’un site neuf, soit 1 500 à 3 500 € pour un site vitrine.
• À quoi il faut ajouter ce qui ne se facture pas : les jours pendant lesquels le site est éteint, les demandes qui n’arrivent pas, et le temps que mettront les pages parasites à disparaître des résultats de recherche.

Sauvegardes, restauration, assistance : ce que votre hébergement doit vous garantir

Faut-il prévenir ses clients ?

La question est inconfortable, mais elle a une réponse simple : tout dépend des informations sur des personnes que le site contenait.

Si votre site est une vitrine sans compte client, ce sont en général les seuls messages reçus par votre formulaire de contact. Si vous avez une boutique, une lettre d’information ou des comptes clients, l’enjeu est autre : noms, adresses, e-mails, historiques de commandes. Un point rassurant au passage : les numéros de carte bancaire ne sont pas conservés sur le site des petites boutiques, ils passent directement par le prestataire de paiement.

Dès que des informations personnelles ont pu être consultées ou volées, le règlement européen impose de le signaler à la CNIL dans les 72 heures suivant la découverte, sauf si la fuite ne présente manifestement aucun risque pour les personnes. La déclaration se fait en ligne, sur le site de la CNIL. Et lorsque le risque est important pour les personnes concernées, il faut aussi les prévenir directement : ce qui s’est passé, ce qui est concerné, et quoi faire de leur côté — changer un mot de passe réutilisé ailleurs, se méfier des e-mails frauduleux qui suivent souvent une fuite.

Prévenir n’est pas un aveu de faiblesse. Un client informé par vous garde confiance ; le même client qui l’apprend autrement ne revient pas. Et ne pas déclarer une fuite pèse plus lourd que la fuite elle-même.

Formulaire, mentions, cookies : ce que le RGPD demande vraiment à un petit site

Par où ils entrent, et ce que ça change pour vous

Premier soulagement : on ne vous a presque jamais visé personnellement. L’immense majorité des piratages de petits sites sont l’œuvre de programmes automatiques qui passent des milliers de sites en revue à la recherche d’une même faiblesse connue. Votre site n’a pas été choisi, il a été trouvé.

Deuxième conséquence, moins agréable : la discrétion ne protège pas. « Je suis trop petit pour intéresser quelqu’un » est la phrase que j’entends le plus souvent avant un piratage. Ce qui protège, ce n’est pas la taille, c’est l’entretien.

Les quatre portes d’entrée habituelles

• Le site qui n’a pas été mis à jour. De loin la première cause. Quand une faiblesse est corrigée dans un outil largement utilisé, la correction est publique : tous les sites qui ne l’ont pas appliquée deviennent une liste de cibles faciles.
• Un mot de passe faible, réutilisé ou jamais retiré. Le même mot de passe pour le site et la boîte e-mail, le compte encore actif d’un ancien prestataire, celui d’un stagiaire parti depuis trois ans.
• Un module installé « pour essayer » et jamais retiré, ou téléchargé gratuitement alors qu’il est payant ailleurs. Les versions gratuites de modules payants sont l’un des moyens les plus efficaces d’ouvrir soi-même la porte.
• Votre propre ordinateur ou votre boîte e-mail. Un mot de passe enregistré dans un navigateur, un ordinateur familial partagé, une pièce jointe ouverte trop vite : l’intrus n’a alors même pas besoin de s’attaquer au site.

Ce qui protège vraiment, au quotidien

Il n’existe pas de site inviolable, et méfiez-vous de qui vous le promet. En revanche, ces sept habitudes écartent l’écrasante majorité des piratages de petits sites, et transforment ceux qui passent quand même en incident d’une heure.

• Mettre à jour tous les mois, le site comme ses modules. C’est le geste qui compte le plus, et le seul qui ne se rattrape pas après coup.
• Des sauvegardes automatiques quotidiennes, conservées au moins trente jours, avec une copie ailleurs que chez l’hébergeur : une sauvegarde stockée uniquement sur l’espace piraté ne vous sauvera pas. Et faites-en restaurer une, une fois, pour vérifier — une sauvegarde jamais restaurée est une promesse, pas une garantie.
• Un mot de passe unique par service, et la double vérification par code sur les trois comptes qui commandent tout le reste : la boîte e-mail, le nom de domaine et l’hébergement.
• Faire le ménage dans les accès une fois par an. Qui peut se connecter à votre site aujourd’hui ? Si vous ne savez pas répondre, c’est déjà une réponse.
• Supprimer ce qui ne sert pas. Chaque module inutilisé est une porte de plus, et une porte que personne ne surveille.
• Garder le certificat de sécurité valide, celui du petit cadenas, et connaître sa date de renouvellement.
• Être prévenu avant vos clients : inscrivez votre site à l’outil gratuit que Google met à disposition des propriétaires de sites. Il envoie un e-mail dès qu’il repère des pages douteuses, et c’est souvent ce message qui alerte en premier.

Concrètement, tout cela tient dans un contrat d’entretien : comptez 25 à 60 € par mois pour un site vitrine, 80 à 250 € par mois pour une boutique. À comparer aux 300 à 900 € d’un nettoyage, sans compter les jours d’arrêt et les demandes perdues.

Mises à jour, sauvegardes, surveillance : ce que couvre vraiment un contrat de maintenance

Six erreurs qui aggravent la situation

• Payer la rançon. Vous financez l’attaque suivante et rien ne garantit qu’on vous rende quoi que ce soit.
• Nettoyer à la main puis considérer l’affaire close. Sans avoir trouvé l’entrée ni changé les accès, le site est repiraté, souvent dans la semaine.
• Restaurer la sauvegarde de la veille. Elle contient déjà l’intrusion : il faut remonter avant.
• Remettre les mêmes mots de passe qu’avant, à commencer par celui de la boîte e-mail, qui est la clé de tous les autres.
• Se taire quand des informations de clients sont concernées. C’est ce qui transforme un incident technique en problème de confiance, et en manquement légal.
• Repartir sans rien changer. Un site réparé mais toujours pas mis à jour est un site qui sera repiraté.

Si le site vous échappe complètement

Un piratage révèle souvent un deuxième problème : personne chez vous n’a les accès. Le site a été fait il y a six ans par quelqu’un qu’on ne joint plus, l’hébergement est à son nom, et vous découvrez le jour de l’incident que vous ne pouvez ni restaurer une sauvegarde ni même couper le site. C’est fréquent, et cela se prépare à froid plutôt que dans l’urgence : demandez par écrit les accès au nom de domaine, à l’hébergement et à l’administration du site, vérifiez à quel nom chacun est ouvert, et gardez-en une copie de votre côté.

À quel nom est votre site ? les accès à récupérer avant d’en avoir besoin

Comment je peux vous aider

Je crée et j’entretiens des sites internet pour des petites entreprises, et j’interviens régulièrement sur des sites piratés. Concrètement, je réalise :

• la remise en ligne d’un site piraté : sauvegarde saine, mises à jour, accès réinitialisés et demande de réexamen auprès de Google ;
• la reconstruction d’un site quand aucune sauvegarde n’est récupérable ;
• l’entretien mensuel d’un site déjà en ligne : mises à jour, sauvegardes vérifiées, surveillance ;
• des sites vitrines et des boutiques en ligne ;
• des applications et des outils sur mesure ;
• la refonte d’un site existant, sans perdre sa place sur Google.

Si vous êtes en train de découvrir le problème, décrivez-moi ce que vous voyez à l’écran et chez qui le site est hébergé. Je vous dirai ce qui se restaure, ce qui se nettoie et ce qui se reconstruit — et si votre hébergeur peut tout régler seul, je vous le dirai aussi.

La preuve par l’exemple : voir mes réalisations

Un site piraté, ou à mettre à l’abri ? Parlons-en, le premier échange est gratuit

Questions fréquentes

En résumé

Un site piraté n’est ni une fatalité ni une catastrophe définitive : c’est un incident qui se règle proprement quand on respecte l’ordre. Vérifier qu’il s’agit bien d’un piratage, prévenir l’hébergeur, changer les accès en commençant par la boîte e-mail, repartir d’une sauvegarde antérieure à l’intrusion plutôt que de nettoyer en place, et prévenir les personnes concernées si des informations les concernant ont pu fuir. Le reste se joue avant : des mises à jour tous les mois, des sauvegardes qu’on a vraiment testées, et trois mots de passe bien gardés. C’est peu de chose, et c’est ce qui sépare l’incident d’une heure du site à reconstruire.