Un scanner de sécurité indique que notre site est infecté — vrai piratage ou faux positif ?

Pour vérifier, ne vous contentez pas d'ouvrir le site depuis votre propre navigateur. Les pirates configurent souvent leurs redirections pour qu'elles ne s'affichent qu'aux utilisateurs arrivant depuis les moteurs de recherche ou sur mobile. Envoyez des requêtes brutes à votre serveur en ligne de commande avec différents User-Agents et comparez le contenu renvoyé. C'est le meilleur moyen de repérer des chaînes encodées en base64 ou des liens externes dissimulés dans le code source.

Ne vous fiez surtout pas à votre développeur quand il vous dit « j'ai regardé, y a rien ». Aujourd'hui, les attaques web n'affichent plus une image de hacker sur l'écran d'accueil ; ils injectent discrètement en arrière-plan des petits snippets JavaScript qui siphonnent les données des formulaires de carte bancaire. Si votre dév n'est pas calé en sécurité, il peut très facilement passer à côté d'une simple ligne de code dissimulée dans un fichier.

On a eu la même panique l'an dernier. Un scanner en ligne disait que notre site était blacklisté, et on a vu des prestataires qui nous réclamaient 800 dollars pour le nettoyer. En creusant un peu, on s'est rendu compte que l'alerte venait juste du plugin de chat en direct dont le certificat était obsolète. On a payé 40 dollars de frais de dév pour mettre à jour le script et le problème a été réglé sans aucun coût supplémentaire.

La toute première chose à faire là maintenant, c'est d'aller sur votre panel d'hébergement et de télécharger les sauvegardes de la dernière semaine sur votre PC. Même en cas d'infection, le développeur peut perdre des données pendant le nettoyage. Une fois le backup au chaud, mettez à jour votre CMS et tous vos plugins actifs vers la dernière version stable. La plupart du temps, patcher une faille connue stoppe l'injection net.

Le rapport du scanner indique précisément quel nom de fichier ou quelle URL comme étant malveillant ? Et est-ce que vous avez installé un nouveau plugin, un formulaire de paiement ou un script de tracking tiers au cours des deux dernières semaines ? Ces détails sont cruciaux pour distinguer un faux positif d'une vraie fuite de données.

Recevoir un signalement de la part d'un client, ça met un coup au moral, mais ne paniquez pas. Tant qu'il n'y a pas d'alerte rouge sur Google Search Console votre trafic ne va pas chuter d'un coup. Cela dit, changez vos mots de passe sans attendre et passez les fichiers au crible ligne par ligne avec votre dév. En y allant posément c'est réglé en une demi-journée.

on a eu le meme genre de truc le scanner a carrement pris le code aanlytics du site pour un virus. paniquez pas achetez pas des packs de securite hors de prix direct mais regardez les logs si ya pas de requetes chelous venant d'ip etrangeres c'est surement un faux positif.

Pour résumer tout ce qui a été dit : on ne cède pas à la panique et on fait un backup, on vérifie les derniers fichiers modifiés, on ne se contente pas du coup d'œil superficiel du développeur en analysant les logs du serveur, et on passe en revue les scripts externes avant de claquer bêtement de l'argent dans des outils de nettoyage hors de prix.

Je suis intéressé.

Désolé, mais ce n'est pas vrai dans tous les cas. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Mes doutes sont levés, merci.

Beau travail. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Je suis aussi curieux de savoir si d'autres font autrement.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches.

Vous avez raison.

Chez nous, ça s'est passé comme ça. Une sauvegarde non testée n'est pas une sauvegarde.

Si vous écrivez le résultat ici, cela aidera aussi d'autres personnes.

Pourriez-vous préciser un peu ? Avant de décider regardez quelles données vous avez en main.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches. Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

j'ai vécu exxactement la même chose il y a deux ans puis si l'autorisation et le périmètre ne sont pas écrits ne lancez pas ce test.

bien sûr, cela change si votre sitution est différente.

Je parle du point de vue du fournisseur, c'est mon côté. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Tout va bien les trois premiers mois, les problèmes arrivent au quatrième. Voilà, désolé si je me suis étendu.