# Que faire dans les deux heures qui suivent une compromission

> Les toutes premières heures ne servent pas à nettoyer le site en profondeur, mais à arrêter l’exploitation en cours et à préserver ce qui permettra de comprendre comment l’intrusion a eu lieu. Voici l’ordre dans lequel agir, et ce qu’il vaut mieux éviter dans la précipitation.

- Source canonique : [https://allaux.fr/securite/que-faire-dans-les-deux-heures](https://allaux.fr/securite/que-faire-dans-les-deux-heures)
- Langue : FR
- Dernière mise à jour : 2026-07-26

## Réponse directe

> Limitez l’accès au site sans effacer de preuves, changez en priorité les mots de passe d’hébergement et de FTP/SSH, notez ou copiez ce qui semble injecté avant d’y toucher, et attendez d’avoir une idée de la faille avant de supprimer quoi que ce soit en masse. Le nettoyage complet est l’étape suivante, pas celle-ci.

## La séquence des deux premières heures

1. **Limiter l’accès sans tout couper** — Passer le site en mode maintenance ou couper l’accès public arrête l’exploitation active. Évitez de supprimer le compte d’hébergement ou de réinitialiser le serveur : cela peut effacer les journaux d’accès dont vous aurez besoin ensuite pour comprendre comment l’intrusion a eu lieu.
2. **Changer en priorité les mots de passe d’accès au serveur** — Hébergement, FTP/SSH et base de données d’abord : ce sont les accès qui permettent de tout reprendre si l’attaquant a aussi récupéré le mot de passe d’administration du CMS. Le mot de passe d’administration du CMS suit immédiatement après.
3. **Garder une trace avant de supprimer quoi que ce soit** — Un fichier suspect, une redirection, un compte administrateur inconnu : notez le chemin exact, la date de modification et si possible une copie, avant de le supprimer. Cette trace sert ensuite à identifier la faille d’entrée et à vérifier qu’elle a bien été refermée.
4. **Vérifier qui d’autre a accès au site** — Un accès FTP donné à un ancien prestataire, une intégration tierce toujours connectée à l’administration : ces accès annexes sont souvent oubliés dans l’urgence alors qu’ils peuvent être le point d’entrée réel.
5. **Prévenir l’hébergeur si d’autres sites peuvent être concernés** — Sur un hébergement mutualisé, une infection qui envoie du spam en masse ou consomme des ressources anormalement peut affecter d’autres clients du même serveur ; signaler la situation évite aussi une suspension surprise du compte.

## Ce qu’il ne faut pas faire dans la précipitation

> Supprimer tous les fichiers récents ou « qui semblent bizarres » sans savoir lesquels sont légitimes revient souvent à casser des personnalisations utiles tout en laissant la vraie porte dérobée en place, simplement parce qu’elle imite un nom de fichier connu du cœur du CMS. Attendez d’avoir un point de comparaison avant de trancher au cas par cas.

## Pourquoi l’ordre compte plus que la vitesse

Se précipiter pour tout nettoyer d’un coup, avant d’avoir une idée de l’ampleur du problème, revient souvent à rater le point d’entrée réel. Le site paraît propre pendant quelques jours, puis l’infection revient, parce que l’accès qui a servi à l’attaquant est resté ouvert.

Changer certains mots de passe en oubliant les autres produit le même effet : si le mot de passe FTP a été capturé mais que seul celui de l’administration du CMS est modifié, l’accès FTP reste une porte ouverte, invisible depuis l’interface d’administration.

C’est pour cette raison que la séquence proposée ici commence par les accès qui permettent de tout reprendre, avant même de s’attaquer au contenu injecté visible.

## Une fois la situation stabilisée

- **Passer au nettoyage complet** — La méthode, et pourquoi une restauration de sauvegarde ne suffit pas toujours. ([/securite/nettoyer-un-site-infecte](/securite/nettoyer-un-site-infecte))
- **Pas encore sûr qu’il s’agisse d’une compromission ?** — Quatre vérifications gratuites pour lever le doute avant d’aller plus loin. ([/securite/verifier-si-mon-site-est-compromis](/securite/verifier-si-mon-site-est-compromis))
- **Éviter que ça recommence** — Ce qui doit changer durablement une fois le site nettoyé. ([/securite/se-proteger-apres-un-nettoyage](/securite/se-proteger-apres-un-nettoyage))

## FAQ

### Dois-je couper complètement le site ou juste le mettre en maintenance ?

Le mode maintenance suffit dans la plupart des cas, car il coupe l’accès public tout en gardant le serveur disponible pour l’intervention. Une coupure complète se justifie surtout si le site expose directement les visiteurs à un contenu dangereux, comme un téléchargement forcé.

### Faut-il prévenir mon hébergeur tout de suite ?

Oui, en particulier sur un hébergement mutualisé où l’infection peut affecter d’autres clients du même serveur. L’hébergeur peut aussi disposer de journaux ou d’une copie de sécurité récente utiles pour la suite.

### Puis-je restaurer une sauvegarde tout de suite pour gagner du temps ?

Pas dans ces deux premières heures. Sans savoir depuis quand l’infection est active, la sauvegarde disponible peut déjà la contenir. Cette question se traite à l’étape suivante, celle du nettoyage complet.

### Dois-je porter plainte dans l’immédiat ?

Ce n’est pas une action prioritaire dans ces deux heures : elle peut se faire en parallèle des premières actions techniques, une fois l’accès sécurisé, sans empêcher le reste de la démarche.

### Combien de temps ai-je réellement avant que la situation empire ?

Il n’existe pas de délai garanti. Chaque heure où le site reste actif avec la faille encore ouverte peut être mise à profit par l’attaquant pour créer d’autres accès ou étendre l’infection, d’où la priorité donnée à limiter l’accès en tout premier lieu.