Que faire dans les deux heures qui suivent une compromission
Les toutes premières heures ne servent pas à nettoyer le site en profondeur, mais à arrêter l’exploitation en cours et à préserver ce qui permettra de comprendre comment l’intrusion a eu lieu. Voici l’ordre dans lequel agir, et ce qu’il vaut mieux éviter dans la précipitation.
La séquence des deux premières heures
-
Limiter l’accès sans tout couper
Passer le site en mode maintenance ou couper l’accès public arrête l’exploitation active. Évitez de supprimer le compte d’hébergement ou de réinitialiser le serveur : cela peut effacer les journaux d’accès dont vous aurez besoin ensuite pour comprendre comment l’intrusion a eu lieu.
-
Changer en priorité les mots de passe d’accès au serveur
Hébergement, FTP/SSH et base de données d’abord : ce sont les accès qui permettent de tout reprendre si l’attaquant a aussi récupéré le mot de passe d’administration du CMS. Le mot de passe d’administration du CMS suit immédiatement après.
-
Garder une trace avant de supprimer quoi que ce soit
Un fichier suspect, une redirection, un compte administrateur inconnu : notez le chemin exact, la date de modification et si possible une copie, avant de le supprimer. Cette trace sert ensuite à identifier la faille d’entrée et à vérifier qu’elle a bien été refermée.
-
Vérifier qui d’autre a accès au site
Un accès FTP donné à un ancien prestataire, une intégration tierce toujours connectée à l’administration : ces accès annexes sont souvent oubliés dans l’urgence alors qu’ils peuvent être le point d’entrée réel.
-
Prévenir l’hébergeur si d’autres sites peuvent être concernés
Sur un hébergement mutualisé, une infection qui envoie du spam en masse ou consomme des ressources anormalement peut affecter d’autres clients du même serveur ; signaler la situation évite aussi une suspension surprise du compte.
Pourquoi l’ordre compte plus que la vitesse
Se précipiter pour tout nettoyer d’un coup, avant d’avoir une idée de l’ampleur du problème, revient souvent à rater le point d’entrée réel. Le site paraît propre pendant quelques jours, puis l’infection revient, parce que l’accès qui a servi à l’attaquant est resté ouvert.
Changer certains mots de passe en oubliant les autres produit le même effet : si le mot de passe FTP a été capturé mais que seul celui de l’administration du CMS est modifié, l’accès FTP reste une porte ouverte, invisible depuis l’interface d’administration.
C’est pour cette raison que la séquence proposée ici commence par les accès qui permettent de tout reprendre, avant même de s’attaquer au contenu injecté visible.
Une fois la situation stabilisée
-
Passer au nettoyage complet
La méthode, et pourquoi une restauration de sauvegarde ne suffit pas toujours.
-
Pas encore sûr qu’il s’agisse d’une compromission ?
Quatre vérifications gratuites pour lever le doute avant d’aller plus loin.
-
Éviter que ça recommence
Ce qui doit changer durablement une fois le site nettoyé.
Décrivez votre besoin en 1 minute
Quelques questions ciblées pour que je vous réponde avec une estimation, pas avec un questionnaire de plus.