Un mardi matin de février, 10h50. Lucile m’écrit sur WhatsApp : « Quelqu’un m’a volé mon site. »
Elle partait pour le carnaval de Rio 48 heures plus tard. Et la veille au soir, elle avait lancé la vente de son ebook, avec une grosse promo sur Facebook, Instagram et YouTube.
Ce qu’elle venait de recevoir, c’était un mail de Google : un inconnu, avec une adresse Gmail, venait d’être ajouté comme propriétaire de son site dans la Search Console.
Elle n’avait rien fait. C’est justement ça, le problème.
Ce qu’un pirate voit de ton site en 3 secondes
Un pirate ne commence jamais par ton mot de passe. Il commence par écouter.
Des systèmes automatisés scannent le web en permanence, à la recherche de failles connues. Ils ne visitent pas ton site comme un lecteur. Ils le lisent comme une fiche technique.
Et sur cette fiche, sans jamais se connecter, ils trouvent :
- la version de WordPress que tu utilises ;
- une partie de tes extensions, avec leur numéro de version ;
- celles qui ne sont plus mises à jour depuis des mois ;
- l’adresse de ta page de connexion, ouverte à tous ;
- ton hébergeur, et parfois les autres sites qui partagent le même espace ;
- des fichiers que personne n’est censé lire, mais qui répondent quand on les appelle.
Rien de tout ça n’est caché. C’est écrit dans ce que ton site envoie à chaque visiteur.
Un pirate ne force pas la porte. Il lit l’étiquette collée dessus.
Ce qui s’est passé chez Lucile, étape par étape
Son site était à jour. Ses extensions aussi. Le pirate est passé par une faille tout juste publiée, la même qui a touché trois autres de nos clients ce matin-là.
Ensuite, tout s’est enchaîné en quelques heures, pendant qu’elle dormait :
- Il a créé un compte administrateur. Discret, avec une adresse Gmail générique.
- Il a installé une extension de gestion de fichiers, pour avoir la main sur tout le site sans passer par l’hébergeur.
- Il a déposé un petit fichier à la racine du site. Ce fichier, c’est la clé qui lui a permis de s’ajouter comme propriétaire dans la Search Console de Lucile.
- Puis il a envoyé à Google des centaines de pages en japonais : des souris Apple, des cannes à pêche, des robes de mariée. Toutes sous son nom de domaine.
Quand elle a tapé son propre site dans Google, ses articles avaient disparu. À la place, des annonces d’enchères japonaises. Et sa page de vente ? Le bouton PayPal n’y était plus.
Le pire, ce n’est pas le piratage. C’est qu’il aurait pu durer des semaines sans le mail de Google.
3 vérifications à faire toi-même aujourd’hui
Pas besoin d’être technicien. Cinq minutes.
1. Ton site laisse-t-il traîner des fichiers qui parlent ?
Tape dans ton navigateur : ton-site.com/readme.html
Si une page s’affiche avec le logo WordPress, ton site annonce ce qu’il est, et parfois sa version, à quiconque le demande. Ce fichier n’a aucune utilité pour toi. Il en a pour un scanner.
2. Tes extensions sont-elles encore maintenues ?
Dans ton admin, onglet Extensions. Pour chacune, clique sur « Voir les détails » et regarde la ligne « Dernière mise à jour ». Plus de 12 mois sans mise à jour, c’est un signal. Plus de 2 ans, c’est une porte.
3. Y a-t-il un compte que tu ne reconnais pas ?
Onglet Comptes, filtre « Administrateur ». Chaque nom doit te dire quelque chose. Chez Lucile, il y en avait un de trop, créé pendant la nuit. C’est la vérification la plus simple, et la plus souvent oubliée.
Si tu as coché les trois cases : respire, mais continue à lire.
Ce que tu ne peux pas voir seul
Ces trois vérifications, c’est la partie visible.
Le reste, ce sont des choses que ton site raconte dans un langage que seul un œil habitué comprend : des fichiers accessibles qui ne devraient pas l’être, des en-têtes absents, des versions d’extensions croisées avec la liste des failles publiées cette semaine, des traces d’anciens prestataires, des sauvegardes rangées au mauvais endroit.
Je ne vais pas te détailler tout ça ici. Pas par mystère : parce que la liste change chaque semaine, et que ce qui compte, ce n’est pas la liste. C’est de savoir ce que ton site, lui, raconte aujourd’hui.
On le vérifie pour toi, gratuitement
C’est exactement ce qu’on propose : un check sécurité de ton site, fait de l’extérieur, sans aucun accès. Ni admin, ni hébergeur. Juste ce qu’un pirate verrait.
Tu reçois un rapport clair, en français, avec ce qui va, ce qui fuit, et par quoi commencer. Ce n’est pas un devis déguisé. C’est le mail que Lucile aurait aimé recevoir avant celui de Google.
Et Lucile ?
Le site a été nettoyé et remis en ligne le jour même. Compte pirate supprimé, extension retirée, fichier effacé, pages fantômes désindexées, double authentification activée. Elle a remis son bouton PayPal et envoyé un mail à sa liste avant de décoller.
Et à 11h30, une demi-heure après le premier message, elle avait rejoint Sérénité. Sa phrase exacte : « Je veux être tranquille. J’en ai marre. »
Un an et demi plus tard, elle y est toujours.
Si tu préfères ne plus jamais avoir à te poser la question, nous prenons en charge la maintenance et la sécurité de ton site toute l’année, remise en état incluse en cas de piratage. Trois formules pour blogueurs, coachs et formateurs : découvrir Sérénité.
Benjamin Jansen
Fondateur d'AGENZ. 18 années d'expertise web, plus de 100 sites piratés réparés. Avec notre équipe, on maintient et on sécurise les sites de blogueurs, coachs et formateurs. Découvrir Sérénité
