La plupart des sites piratés ne sont pas visés personnellement : des robots parcourent internet en permanence à la recherche de portes mal fermées. Un mot de passe faible, une extension WordPress pas mise à jour ou un formulaire mal protégé leur suffit. La bonne nouvelle, c'est qu'une poignée de réflexes bloque l'essentiel de ces attaques : mises à jour régulières, mots de passe uniques avec double authentification, accès réduits au strict nécessaire, et une sauvegarde récente gardée ailleurs.
1. Les attaques par force brute sur les mots de passe
Des robots essaient des milliers de combinaisons identifiant et mot de passe sur votre page de connexion, votre accès SSH ou votre phpMyAdmin.
Les parades :
- des mots de passe longs et uniques, gérés dans un gestionnaire de mots de passe ;
- la double authentification sur tous les comptes d'administration ;
- un outil comme Fail2ban, qui bannit les adresses après plusieurs échecs ;
- la connexion SSH par clé plutôt que par mot de passe.
Notre guide du premier jour avec votre serveur VPS montre comment mettre en place les deux derniers points.
2. Les extensions et thèmes vulnérables
Sur WordPress, la grande majorité des failles exploitées ne viennent pas du cœur du logiciel, mais d'extensions et de thèmes pas mis à jour, ou abandonnés par leur auteur.
Les parades :
- mettez à jour le cœur, les extensions et les thèmes chaque semaine ;
- supprimez, et pas seulement désactivez, ce que vous n'utilisez plus ;
- n'installez jamais de version « gratuite » d'une extension payante trouvée sur un site douteux : c'est le cheval de Troie classique.
3. Les injections SQL
L'attaquant glisse du code dans un champ de formulaire ou une adresse pour faire exécuter ses propres requêtes à votre base de données, et lire ou modifier vos données.
Les parades : pour un site sous un CMS à jour, le risque vient surtout des extensions. Pour une application maison, utilisez systématiquement des requêtes préparées, jamais de concaténation de texte saisi par l'utilisateur dans une requête SQL.
4. Le cross-site scripting (XSS)
Un script malveillant est injecté dans une page, via un commentaire ou un champ mal filtré, et s'exécute dans le navigateur de vos visiteurs, parfois pour voler leur session.
Les parades : échappez toujours les données affichées, validez ce qui est saisi, et ajoutez des en-têtes de sécurité comme Content-Security-Policy. Là encore, un CMS et des extensions à jour couvrent l'essentiel.
5. Les logiciels malveillants déposés sur le serveur
Une fois entré, l'attaquant dépose des fichiers : une porte dérobée pour revenir, des pages de spam, un script de minage ou d'envoi d'emails en masse. Vous le découvrez souvent quand Google affiche un avertissement ou que vos emails sont rejetés.
Les parades :
- un utilisateur système et un dossier par site, pour qu'un site compromis ne contamine pas les autres. C'est ce que fait Passroyal Panel, avec des comptes SFTP limités au dossier de leur site ;
- des permissions de fichiers strictes : seul ce qui doit être modifiable l'est ;
- surveiller les fichiers modifiés récemment et les journaux.
6. Le déni de service et les robots trop insistants
Un afflux de requêtes, malveillantes ou non, sature le serveur et rend le site lent ou indisponible. Pour une PME, il s'agit plus souvent de robots d'indexation agressifs ou de scans répétés que d'attaques massives.
Les parades : un cache pour servir les pages sans solliciter la base de données, une limite de requêtes par adresse IP au niveau du serveur web, et un service de protection en amont, de type CDN, si votre site est une cible récurrente.
7. L'hameçonnage de vos équipes
La porte d'entrée n'est pas toujours technique : un faux email « de votre hébergeur » ou « de votre banque » demande de se connecter sur une page qui imite la vraie.
Les parades : vérifiez toujours l'adresse du site avant de saisir un mot de passe, activez la double authentification partout, et sensibilisez votre équipe. Un mot de passe volé ne suffit plus quand un second facteur est exigé.
Le dernier filet : la sauvegarde
Aucune protection n'est parfaite. Le jour où quelque chose passe, une sauvegarde récente, testée et stockée hors du serveur fait la différence entre une heure de restauration et des semaines de reconstruction. Notre article sauvegarder un serveur : à quelle fréquence, et où détaille la méthode.
Que faire si votre site est piraté ?
- Mettez le site en maintenance pour protéger vos visiteurs.
- Changez tous les mots de passe : administration, base de données, SFTP, SSH.
- Restaurez une sauvegarde antérieure à l'intrusion, puis mettez tout à jour avant de rouvrir.
- Cherchez par où l'attaquant est entré, pour ne pas lui laisser la même porte.
Questions fréquentes
Mon petit site intéresse-t-il vraiment les pirates ?
Oui, car les attaques sont automatiques. Votre serveur a de la valeur en soi : pour envoyer du spam, héberger des pages frauduleuses ou attaquer d'autres sites.
Un certificat SSL protège-t-il contre le piratage ?
Non. Il chiffre les échanges, ce qui est indispensable, mais ne bouche aucune faille du site lui-même.
Et ensuite ?
Pour une approche plus large de la sécurité de vos accès, lisez notre article sur le Zero Trust pour les PME. Et si vous perdez l'accès SSH en durcissant votre serveur, voyez comment reprendre la main.