Un site n’a pas besoin d’être célèbre pour être piraté. Des robots parcourent le web jour et nuit à la recherche de la moindre faille : site vitrine de PME, boutique en ligne d’artisan, site d’association, tous sont visés. Chez Centaure, nous avons développé notre propre outil pour surveiller les sites que nous gérons, repérer une attaque au plus tôt et la réparer proprement.
Le risque n’a jamais été aussi présent
En 2025, plus de 504 000 personnes, entreprises et collectivités ont demandé de l’aide sur Cybermalveillance.gouv.fr, le dispositif national d’assistance, soit 20 % de plus qu’en 2024. Chez les professionnels, l’hameçonnage arrive en tête des menaces, en hausse de 45 %. Un mot de passe volé par hameçonnage ouvre souvent la porte d’un site internet.
Côté sites, le constat est le même. L’éditeur de sécurité Patchstack a recensé 11 334 nouvelles failles dans l’écosystème WordPress en 2025, 42 % de plus qu’en 2024. 91 % se trouvent dans les extensions, et 46 % n’avaient pas encore de correctif au moment où elles ont été rendues publiques. Pour les failles les plus exploitées, les attaques massives commencent en 5 heures en médiane.
Les boutiques en ligne ne sont pas épargnées. En 2022, PrestaShop a alerté sur une faille exploitée pour injecter un faux formulaire de paiement dans les boutiques : les clients saisissaient leur carte bancaire, et les pirates la récupéraient.
Ce n’est donc pas une question de taille ou de notoriété. C’est une question de version : un site dont une extension n’est pas à jour est trouvé par les robots, et attaqué.
Octobre 2026 : deux failles critiques dans PHP. Le 21 octobre, l’équipe de PHP a publié en urgence un correctif pour deux failles qu’elle note 9,2 sur 10. PHP est le langage sur lequel repose la quasi-totalité des sites professionnels, WordPress et PrestaShop compris — et mettre à jour son site ne suffit pas à s’en protéger. Ce qu’il faut vérifier pour le vôtre.
À quoi ressemble un site piraté ?
Le plus souvent, à rien. Un pirate a tout intérêt à rester discret pour utiliser votre site le plus longtemps possible. Voici les signes qui doivent alerter :
- des visiteurs redirigés vers un site de jeux, de rencontres ou de faux produits, souvent seulement quand ils arrivent depuis Google ou depuis un mobile ;
- dans les résultats de Google, des pages en langue étrangère ou des produits que vous ne vendez pas, sous le nom de votre site ;
- un avertissement « Ce site a peut-être été piraté » ou une page rouge du navigateur ;
- un formulaire de carte bancaire qui n’apparaît pas d’habitude dans le tunnel de commande ;
- un compte administrateur que personne ne connaît ;
- un site soudain lent, en erreur, ou des e-mails de votre domaine qui finissent en spam ;
- des fichiers inconnus sur l’hébergement, au nom anodin, souvent cachés dans un dossier d’images ou de cache.
Beaucoup de ces signes ne se voient pas en visitant son propre site : il faut des contrôles réguliers, de l’extérieur comme de l’intérieur.
Ce que coûte un piratage
Le nettoyage technique n’est qu’une partie de la facture.
- Des ventes perdues : boutique fermée le temps de l’intervention, paniers abandonnés devant un avertissement de sécurité.
- La confiance des clients : un client dont la carte a été volée sur votre site ne revient pas.
- Le référencement : Google peut signaler le site comme dangereux ou le déclasser, et il faut des semaines pour retrouver sa place.
- Les obligations RGPD : si des données personnelles ont fuité, l’entreprise doit notifier la CNIL dans les 72 heures, et prévenir les personnes concernées si le risque est élevé.
- Le temps : identifier la porte d’entrée, restaurer, changer tous les accès, rassurer les clients.
Un piratage repéré en quelques heures se règle bien plus vite, et coûte bien moins cher, qu’un piratage découvert des semaines plus tard par un client.
Centaure surveille, protège et répare
Plus ancienne agence de communication de Charente, Centaure crée et entretient des sites WordPress, WooCommerce, PrestaShop et sur mesure. Pour les protéger, nous avons développé notre propre outil de surveillance : Vigie.
Vigie, notre outil de surveillance maison
Vigie contrôle en continu chaque site que nous suivons, de l’extérieur comme de l’intérieur :
- Disponibilité, toutes les 5 minutes : site hors ligne, erreur serveur, page défigurée, redirection vers un autre domaine.
- Pages sensibles, chaque heure : un script ajouté sur l’accueil, le panier ou la page de paiement, un faux champ de carte bancaire, un formulaire envoyé ailleurs, du contenu caché servi à Google.
- Mises à jour et failles connues du CMS, des extensions, des thèmes et des modules, croisées avec les bases de vulnérabilités publiques.
- Fichiers du site : fichier ajouté ou modifié en dehors d’une mise à jour, code malveillant, nouveau compte administrateur.
- Certificat SSL, nom de domaine et DNS, et listes noires de Google.
Au moindre signal critique, notre équipe est alertée immédiatement.
Des corrections préparées, contrôlées et réversibles
Alerter ne suffit pas. Pour chaque problème, Vigie propose la correction adaptée au site, et nos techniciens l’appliquent :
- les failles connues sont comblées par des correctifs ciblés, même quand l’éditeur d’un module n’en a publié aucun ;
- chaque intervention commence par une sauvegarde, puis un contrôle du code avant toute modification ;
- si le site ne répond plus correctement juste après, tout est remis en place automatiquement ;
- un fichier suspect est isolé hors du site plutôt que supprimé : il sert de preuve et peut être restauré si besoin.
Et si le pire arrive
En cas d’intrusion avérée, nous suivons une procédure claire : mise en maintenance si le site encaisse des paiements, copie de l’état du site pour l’analyse, recherche de la porte d’entrée, restauration d’une version saine, renouvellement de tous les accès, et accompagnement dans vos démarches auprès de la CNIL si des données personnelles sont en jeu.
Aucun outil ne rend un site invulnérable. Mais un site surveillé, à jour et sauvegardé se répare vite, avant que vos clients ne s’en aperçoivent.
7 bons réflexes à adopter dès aujourd’hui
- Mettre à jour le CMS, le thème et les extensions, et supprimer celles qui ne servent plus : une extension désactivée reste attaquable.
- Protéger les comptes administrateurs : un mot de passe unique par compte, et la double authentification partout où elle existe.
- Limiter les accès : un compte par personne, et seulement les droits dont elle a besoin.
- Sauvegarder automatiquement, hors du serveur du site, et vérifier de temps en temps qu’une sauvegarde se restaure bien.
- Garder une version de PHP maintenue : une version en fin de vie ne reçoit plus de correctifs de sécurité.
- Se méfier des e-mails qui demandent de se connecter à son hébergement, à son nom de domaine ou à son back-office : l’hameçonnage reste la première menace pour les professionnels.
- Faire surveiller son site : ne pas attendre qu’un client signale un problème.
Faites le point sur la sécurité de votre site
Votre site a été créé il y a quelques années ? Vous ne savez plus quand il a été mis à jour pour la dernière fois ? Vous vendez en ligne et vous voulez dormir tranquille ?
Contactez Centaure : nous faisons le point sur l’état de votre site, ses mises à jour et ses failles, et nous vous proposons un suivi adapté, de la maintenance régulière à la surveillance continue avec Vigie. L’hébergement et la maintenance font partie de notre offre de création de site internet. Et si votre site a déjà un comportement étrange, appelez-nous sans attendre : chaque heure compte.
Sources
Questions fréquentes
Mon site est petit, suis-je vraiment une cible ?
Oui. Les attaques ne sont presque jamais ciblées : des robots parcourent le web en continu à la recherche de la moindre faille. Ce n’est pas une question de taille ni de notoriété, mais de version : un site dont une extension n’est pas à jour est trouvé, puis attaqué.
Comment savoir si mon site est piraté ?
Les signes les plus fréquents : des visiteurs redirigés vers un autre site, surtout depuis Google ou depuis un mobile ; des pages en langue étrangère sous le nom de votre site dans les résultats de recherche ; un avertissement « Ce site a peut-être été piraté » ; un champ de carte bancaire inhabituel dans le tunnel de commande ; un compte administrateur inconnu ; un site lent ou en erreur ; des fichiers inconnus sur l’hébergement. Beaucoup de ces signes ne se voient pas en visitant son propre site.
Que faire si mon site est piraté ?
Agir vite, et dans l’ordre : mettre le site en maintenance s’il encaisse des paiements, conserver une copie de son état pour l’analyse, chercher la porte d’entrée, restaurer une version saine, renouveler tous les accès, puis traiter les démarches auprès de la CNIL si des données personnelles sont en jeu. Un piratage repéré en quelques heures se règle bien plus vite qu’un piratage découvert des semaines plus tard par un client.
Faut-il déclarer un piratage à la CNIL ?
Si des données personnelles ont fuité, oui : l’entreprise doit notifier la CNIL dans les 72 heures, et prévenir les personnes concernées lorsque le risque pour elles est élevé.
Qu’est-ce que Vigie ?
Vigie est l’outil de surveillance développé par l’Agence Centaure pour les sites qu’elle gère. Il contrôle la disponibilité toutes les 5 minutes, les pages sensibles chaque heure, les mises à jour et les failles connues du CMS, des extensions et des modules, les fichiers du site, le certificat SSL, le nom de domaine, les DNS et les listes noires de Google. Au moindre signal critique, l’équipe est alertée immédiatement et applique une correction préparée, contrôlée et réversible.
Une sauvegarde suffit-elle à protéger mon site ?
Non, mais elle est indispensable. Une sauvegarde automatique, stockée hors du serveur du site et testée de temps en temps, permet de repartir d’une version saine. Encore faut-il repérer l’intrusion, en trouver la cause et renouveler les accès, sans quoi le site est repiraté par la même porte.
