Il y a deux catégories de propriétaires de sites : ceux qui ont déjà été piratés, et ceux qui vont l'être. J'aimerais vous dire que c'est une provocation. Ce n'en est pas une. Après plus de quinze ans à réparer, nettoyer et remettre debout des sites Joomla, je peux vous l'affirmer sans trembler : la question n'a jamais été si, mais quand.
Et pourtant, presque tout le monde raisonne à l'envers.
Le réflexe qui nous perd
Quand on parle sécurité, on parle prévention. Mises à jour, mots de passe costauds, double authentification, pare-feu applicatif, quelques extensions bien senties, et on se dit qu'on a fait le travail. On a coché les cases. On dort tranquille.
Ce n'est pas faux. C'est juste incomplet.
Parce que la prévention protège contre ce que vous connaissez déjà. Elle ne dit rien sur ce que vous ferez le matin où, malgré tout, votre page d'accueil affiche un message en cyrillique et redirige vos visiteurs vers une pharmacie en ligne douteuse. La prévention, c'est la serrure. Mais personne ne pense à ce qu'il fait après que la porte a été forcée. Et c'est précisément là que tout se joue.
Je propose donc une bascule mentale, presque un renversement : arrêtez de penser en défenseur, pensez en survivant.
Faites auditer la sécurité de votre site
Le principe de l'incendie
Chez moi, dans le couloir, il y a un extincteur. Je n'ai jamais eu d'incendie. Statistiquement, je n'en aurai probablement jamais. Alors pourquoi cet extincteur ?
Parce que le jour où le feu prend, on n'a pas le temps de lire le mode d'emploi. On n'a pas le temps de chercher où on a rangé le numéro des pompiers. On n'a pas le temps de réfléchir posément à la meilleure stratégie. Ce jour-là, on exécute. Point. Tout le travail intelligent a été fait avant, à froid, quand on avait les idées claires.
Un site web, c'est pareil. La vraie question de sécurité n'est pas « comment j'empêche le feu ». C'est : « quand ça brûlera, est-ce que j'ai mon extincteur, et est-ce que je sais m'en servir ? »
Penser piratage avant le piratage, ce n'est pas être pessimiste. C'est être adulte.
Ce que « penser piraté » veut vraiment dire
Ce n'est pas une checklist de plus à ranger dans un tiroir. C'est une posture. Concrètement, ça revient à se poser, aujourd'hui, pendant que tout fonctionne, une série de questions désagréables. Les questions qu'on déteste. Celles qu'on repousse toujours à « quand j'aurai le temps ».
Sauf que le jour du piratage, vous n'aurez pas le temps. C'est bien ça le piège.
Alors posez-les maintenant.
Si mon site tombe cette nuit, est-ce que je sais chez qui il est hébergé, et est-ce que j'ai les accès sous la main — pas quelque part, pas « je crois que c'est dans un vieux mail », mais sous la main, dans un gestionnaire de mots de passe ? Est-ce que j'ai une sauvegarde ? Et surtout — la vraie question, celle que personne ne pose — est-ce que cette sauvegarde a déjà été restaurée pour de vrai, au moins une fois, sur un environnement de test ? Parce qu'une sauvegarde qu'on n'a jamais restaurée, ce n'est pas une sauvegarde. C'est un pari. Un espoir déguisé en fichier.
Est-ce que j'ai un endroit où restaurer, autre que le serveur de production lui-même ? Est-ce que j'ai une simple page de maintenance prête à mettre en ligne, pour que mes visiteurs voient un message propre plutôt qu'une page blanche ou, pire, du contenu vérolé ?
Si vous butez sur une seule de ces questions, vous venez de trouver votre point faible. Et vous l'avez trouvé pendant qu'il ne coûte rien.
Mettons en place votre stratégie de sauvegarde
Le vrai danger, c'est la panique
J'ai vu des sites survivre à des attaques sérieuses avec quelques heures d'indisponibilité. J'en ai vu d'autres, touchés par trois fois moins grave, mettre des jours à s'en remettre — quand ils s'en remettaient.
La différence n'était presque jamais technique. La différence, c'était l'état d'esprit du propriétaire à 23h, découvrant les dégâts.
Le premier réflexe, quand on découvre qu'on est piraté, c'est de foncer. Supprimer les fichiers suspects. Réinstaller Joomla. Restaurer la sauvegarde d'hier. Tout de suite, maintenant, faire quelque chose.
C'est le pire réflexe qui soit.
Parce qu'en fonçant, vous détruisez les preuves qui vous auraient expliqué comment l'attaquant est entré. Vous restaurez une sauvegarde qui contient peut-être déjà la porte dérobée. Vous nettoyez la partie visible en laissant intact le vrai problème, tapi dans un coin, qui rouvrira la porte dès que vous aurez le dos tourné. Vous vous épuisez à traiter les symptômes pendant que la maladie prospère.
Celui qui a « pensé piraté » à froid ne panique pas. Il constate. Il observe avant d'agir. Il sait que tout n'est pas forcément une attaque — un certificat SSL expiré, une mise à jour ratée, une erreur de configuration produisent exactement les mêmes symptômes qu'une intrusion. Il isole, il préserve, il documente, puis il agit. Dans cet ordre. Parce qu'il a répété la scène dans sa tête bien avant qu'elle n'arrive.
Nettoyer n'est pas comprendre
Voilà le point que je martèle à mes clients, et il vaut pour tout le monde : le dégât visible n'est presque jamais le vrai dégât.
Une page d'accueil défigurée, c'est spectaculaire. C'est aussi le problème le plus facile à régler. Ce qui doit vous inquiéter, c'est ce que vous ne voyez pas : le compte administrateur fantôme créé discrètement, le fichier malveillant planqué dans un dossier images ou tmp que personne ne regarde jamais, la tâche planifiée qui se réveillera dans trois semaines.
Rendre au site son apparence normale, ce n'est pas la victoire. C'est le piège. La victoire, c'est de comprendre pourquoi il est tombé et de garantir qu'il ne retombera pas pour la même raison. Un site nettoyé mais pas compris, c'est un site qui vous reprochera d'avoir cru la guerre finie.
Un doute sur votre site ? Parlons-en
La leçon, à froid
Alors non, cet article ne vous apprendra pas à empêcher toutes les attaques. Personne ne le peut, et méfiez-vous de qui vous promet le contraire.
Ce que je vous demande est plus simple, et plus exigeant à la fois. Prenez une heure. Une seule. Aujourd'hui, tant que tout va bien. Et jouez le scénario. Imaginez que c'est déjà arrivé. Déroulez chaque étape : je constate, j'isole, je préviens qui de droit, je préserve les preuves, je restaure depuis une sauvegarde que j'ai testée, je cherche la cause, je corrige, j'apprends.
À chaque étape où vous vous direz « euh… là je ne sais pas trop », vous aurez trouvé un trou dans votre plan. Bouchez-le. Maintenant. À froid.
Le piratage, quand il viendra — et il viendra — ne sera alors plus une catastrophe. Ce sera un incident. Contrariant, oui. Ingérable, non.
On ne juge pas un capitaine à la mer calme, mais à sa tenue dans la tempête. Et la tenue dans la tempête, ça se prépare par beau temps.
Les questions à vous poser dès aujourd'hui
Prenez cette liste. Répondez honnêtement, à voix haute. Chaque « je ne sais pas » est une faille à corriger avant qu'elle ne serve à quelqu'un d'autre.
- Est-ce que je sais chez qui mon site est hébergé, et où trouver ce contact en trente secondes ?
- Mes accès (hébergement, FTP/SFTP, base de données, super administrateur Joomla) sont-ils rangés dans un gestionnaire de mots de passe, pas dans un vieux mail ?
- Ai-je une sauvegarde récente… et ai-je déjà restauré cette sauvegarde au moins une fois pour vérifier qu'elle fonctionne ?
- Est-ce que je conserve plusieurs générations de sauvegardes, stockées ailleurs que sur le serveur du site ?
- Ai-je un environnement de test ou de préproduction où restaurer sans toucher à la production ?
- Ai-je une page de maintenance propre, prête à mettre en ligne en cas d'urgence ?
- Est-ce que je sais mettre mon site hors ligne rapidement, même si l'administration Joomla n'est plus accessible ?
- Toutes mes extensions sont-elles à jour, supportées, et réellement utilisées — ou en traîne-t-il d'oubliées ?
- L'authentification à deux facteurs est-elle active sur tous les comptes administrateurs ?
- Est-ce que je sais où trouver les journaux du serveur (accès, erreurs) et combien de temps mon hébergeur les conserve ?
- Si je découvrais une intrusion ce soir, est-ce que je saurais quoi faire en premier — et surtout quoi ne pas faire ?
Si vous avez coché tous les points, félicitations : vous faites partie de la minorité préparée. Si vous avez buté sur plusieurs, ce n'est pas grave. C'est même une bonne nouvelle : vous venez de les trouver à froid, quand ça ne coûte rien.
Pensez piraté. Pendant qu'il est encore temps de penser tranquillement.
