# Site web piraté, que faire ? Aide d'urgence à distance

> Site web piraté ? Nous préservons les traces, contenons l'attaque, nettoyons le serveur et documentons l'incident. Aide d'urgence à distance pour les entreprises.

Source : https://phpsos.de/fr/leistungen/website-gehackt-notfallhilfe/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** lorsque votre site web a été piraté, la question essentielle est « que faire sans détruire les traces ? ». Nous prenons en charge à distance le confinement, sauvegardons les journaux et les fichiers, supprimons le code malveillant, refermons la porte d'entrée et documentons le tout. Vous gardez les décisions, nous fournissons les faits techniques.

## Site web piraté : que faire dans la première heure ?

Les premières mesures déterminent si l'incident pourra être élucidé proprement par la suite. Le calme importe plus qu'une vitesse à tout prix. Vous pouvez faire vous-même immédiatement les points suivants :

- **Ne rien supprimer :** ne retirez aucun fichier, ne réinstallez pas par-dessus l'ancien état et ne restaurez pas de sauvegarde avant que tout ait été sauvegardé.
- **Isoler :** passez le site web en mode maintenance ou mettez-le temporairement hors ligne si des visiteurs sont en danger ou si des données risquent de fuiter.
- **Conserver les journaux :** demandez à votre hébergeur de ne pas écraser les journaux d'accès et d'erreurs. Pour PHP2Shell, la presse spécialisée conseille de conserver les journaux du serveur à partir du 20 octobre 2026.
- **Noter les accès :** qui dispose d'accès administrateur, FTP, SSH et panneau d'administration ? Ne changez les mots de passe qu'après concertation, et depuis un appareil sain.
- **Informer les parties prenantes :** la direction, les délégués à la protection des données et, si une police existe, l'assureur.

> **Agir immédiatement:**
> Partez du principe qu'un attaquant ayant accès au serveur web a aussi pu lire des identifiants dans des fichiers de configuration. Les accès à la base de données, à la messagerie et aux API doivent donc figurer sur la liste des secrets à changer.

Les signes qui indiquent une compromission sont décrits à la page [Suis-je déjà compromis ?](https://phpsos.de/fr/php2shell/bin-ich-gehackt-anzeichen/).

## Comment PHP SOS aide-t-il concrètement ?

1. **Vue d'ensemble de la situation :** nous clarifions avec vous ce qui a été observé, quels systèmes pourraient être concernés et quelles données s'y trouvent. Il en résulte une brève évaluation avec les étapes suivantes.
2. **Sauvegarder et contenir :** nous sauvegardons les fichiers, la base de données et les journaux avant que quoi que ce soit ne soit modifié. Nous contenons ensuite l'attaque, par exemple en bloquant des accès suspects, en désactivant des fonctions infectées ou en isolant temporairement le système.
3. **Trouver et refermer la porte d'entrée :** nous examinons la version de PHP et l'état des correctifs, le CMS, les extensions et les accès. Si l'intrusion via PHP2Shell paraît probable, nous appliquons le correctif et redémarrons tous les processus PHP.
4. **Nettoyer et restaurer :** les webshells, portes dérobées et fichiers manipulés sont supprimés, ou l'état est reconstruit à partir de sources fiables. Les détails figurent sous [Faire supprimer malwares et webshells](https://phpsos.de/fr/leistungen/malware-entfernung/).
5. **Clôture et rapport :** vous recevez une documentation de l'incident et des recommandations de durcissement. Si une élucidation recevable devant un tribunal est nécessaire, nous faisons appel à des partenaires spécialisés en forensique.

## Ce que vous recevez de notre part

- une chronologie de l'incident, dans la mesure où les traces permettent de l'établir
- une liste des composants malveillants trouvés et supprimés
- la description de la porte d'entrée probable, clairement distinguée en établi, probable et inconnu
- une liste de tous les accès et secrets modifiés
- des recommandations sur ce qui doit être sécurisé durablement

Le rapport aide dans les échanges avec les délégués à la protection des données, l'assureur et, le cas échéant, la police. Pour l'appréciation juridique, par exemple l'[obligation de notification RGPD dans les 72 heures](https://phpsos.de/fr/compliance/dsgvo-meldepflicht-72-stunden/), il ne remplace pas le conseil de spécialistes.

## Ce dont nous avons besoin de votre part

- **Accès :** au serveur (SSH ou panneau d'administration), au back-office du CMS et à la base de données, ou bien l'autorisation de parler directement à votre hébergeur
- **Interlocuteur :** une personne joignable, habilitée à décider de la mise hors ligne, des redémarrages et des changements de mots de passe
- **Informations :** depuis quand le problème est remarqué, quelles modifications ont eu lieu récemment, qui avait accès
- **Sauvegardes :** où se trouvent les sauvegardes et quel âge elles ont
- **Contact avec les prestataires :** l'agence, le développeur ou l'hébergeur qui connaissent le système

## Ce que nous ne promettons pas

Nous ne pouvons pas promettre que chaque attaque soit entièrement reconstituable. Si des journaux manquent ou ont déjà été écrasés, des lacunes subsistent, et nous les signalons ouvertement. Nous ne promettons pas non plus qu'un site nettoyé le restera sûr pour toujours. Nous travaillons sur l'incident jusqu'à ce qu'il soit clos et documenté, et nous vous disons ce qu'il reste à faire ensuite.

Nous ne fournissons pas de conseil juridique. Les questions d'obligations de notification, de responsabilité ou de couverture d'assurance relèvent des délégués à la protection des données, de l'avocat et de l'assureur. Pour un traitement structuré après l'incident, notre [liste de contrôle après un piratage](https://phpsos.de/fr/ratgeber/checkliste-nach-dem-hack/) vous aide.

## Quand un traitement d'incident plus vaste est nécessaire

Certains incidents dépassent un seul site web : plusieurs serveurs, données clients ayant fuité, extorsion ou attaquant qui progresse dans le réseau. Nous passons alors à une [réponse aux incidents](https://phpsos.de/fr/leistungen/incident-response/) structurée, avec des rôles fixes, des points de situation et une communication coordonnée. Nous discutons de cette transition avec vous dès qu'elle se dessine.

Même après un incident plus modeste, il vaut la peine de regarder vers l'avant. Un site web nettoyé, sans durcissement, mises à jour et supervision, reste une cible évidente, car les attaquants revérifient souvent les victimes connues. Il est donc judicieux de définir, une fois l'incident clos, qui sera désormais responsable des mises à jour, des sauvegardes et des contrôles. L'incident révèle souvent précisément là une lacune : personne ne se sentait responsable, ou les accès étaient détenus par un prestataire qui n'était plus joignable. Nous clarifions ces questions avec vous lors de l'entretien de clôture, afin que l'incident débouche sur une meilleure exploitation.


## Questions fréquentes

**Dois-je supprimer immédiatement le site web piraté et le réinstaller ?**  
Pas dans la précipitation. Tout supprimer détruit les traces qui montrent comment l'attaquant est entré et si des données ont fuité. Il vaut mieux mettre le site hors ligne ou l'isoler, et sauvegarder d'abord.

**À quoi reconnais-je que mon site web a été piraté ?**  
Les signes typiques sont des redirections vers des sites étrangers, des pages de spam dans l'index de Google, des comptes administrateur inconnus, de nouveaux fichiers PHP ou des avertissements du navigateur, de l'hébergeur ou de Google. Une charge serveur fortement accrue ou un trafic sortant inhabituel peuvent aussi être des indices.

**Dois-je déclarer une cyberattaque ?**  
Si des données personnelles risquent d'être concernées, une obligation de notification à l'autorité de contrôle peut exister dans un délai de 72 heures. Pour savoir si cela s'applique à vous, clarifiez-le avec votre délégué à la protection des données ou avec un avocat.

**L'aide d'urgence fonctionne-t-elle aussi lorsque le serveur est chez un hébergeur ?**  
Oui. Nous travaillons avec l'accès dont vous disposez et nous nous concertons au besoin avec votre hébergeur. Ce que nous pouvons vérifier dépend des droits que vous pouvez nous accorder.

## Sources

- [BSI : office fédéral allemand de la sécurité des technologies de l'information](https://www.bsi.bund.de/)
- [RGPD art. 33 : notification à l'autorité de contrôle](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Aide de Google Search Console](https://support.google.com/webmasters/)
- [Police : points de contact centraux pour la cybercriminalité](https://www.polizei.de/)