Une page WordPress modifiée sans autorisation, des fichiers PHP inconnus ou des redirections suspectes justifient une intervention structurée. Effacer le fichier visible ne suffit pas si le point d’entrée reste présent. L’objectif initial est de préserver les preuves utiles, contenir l’incident et restaurer un fonctionnement fiable.
Réduire l’exposition sans détruire les indices
Si le site diffuse un contenu dangereux, restreignez provisoirement l’accès public selon les contraintes métier. Notez l’heure de découverte, les symptômes, les URL touchées et les comptes concernés. Avant un nettoyage massif, réalisez une copie des fichiers, de la base et des journaux disponibles dans un espace sécurisé. Cette copie aide à rechercher la cause et à documenter les changements.
Rechercher les vecteurs d’accès
Examinez les connexions administrateur, les comptes récemment créés, les extensions vulnérables ou obsolètes, les permissions et les accès FTP/SFTP. Contrôlez les tâches planifiées, les fichiers de configuration et les dossiers d’uploads qui ne devraient pas contenir du PHP exécutable. Le poste d’un administrateur ou un mot de passe compromis peut être en cause, mais ce n’est qu’une hypothèse tant que les indices ne la confirment pas.
Changer les accès selon un ordre réfléchi
Depuis un appareil de confiance, réinitialisez les identifiants exposés : hébergeur, SFTP, base de données, WordPress et services reliés si nécessaire. Révoquez les sessions et les clés qui ont pu fuiter. Activez une authentification multifacteur là où elle existe. Évitez de réutiliser un mot de passe identique sur plusieurs environnements.
Restaurer depuis une source saine
Comparez les fichiers du cœur et des plugins avec leurs distributions de confiance ; reconstruisez les composants contaminés lorsque cela est possible. Une sauvegarde ancienne peut déjà être infectée : vérifiez-la avant de la remettre en production. Mettez à jour les composants concernés, retirez les comptes non autorisés et testez les parcours essentiels après restauration.
Inspecter la portée réelle de l’incident
Vérifiez si les visiteurs ont été redirigés, si des scripts ont été injectés et si des données sensibles ont pu être consultées. Selon les faits établis, des obligations de notification peuvent exister ; faites évaluer cet aspect par les personnes compétentes. Contrôlez également les résultats de recherche et les URL indésirables éventuellement créées par l’attaquant.
Prévenir la récidive
Conservez des sauvegardes restaurables, limitez les droits, supprimez les composants inutiles et suivez les mises à jour de sécurité. Vérifiez les journaux après la remise en service. Le diagnostic final doit distinguer ce qui est prouvé, ce qui est probable et ce qui reste inconnu, faute de quoi le même incident peut revenir sous une autre forme.
Questions fréquentes
Supprimer un fichier suspect suffit-il ?
Non si un accès compromis, un compte non autorisé ou une porte dérobée demeure. Il faut identifier l’étendue de l’incident et examiner les points d’entrée possibles.
Comment prouver que le poste du client est infecté ?
Ce n’est pas possible à partir de la seule présence d’un fichier malveillant sur le site. Il faut des indices supplémentaires provenant de la machine, des accès et des journaux disponibles.
Ressources pour continuer
- Sauvegarde de site internet : pourquoi tester la restauration change tout
- Mettre à jour WordPress sans interrompre son site : une procédure fiable
- Sécuriser WordPress : les contrôles prioritaires
Pour un besoin spécifique, une vérification de compatibilité ou une évolution sur mesure, découvrez les prestations Concepty ou contactez Concepty.