1. Ne restaurez pas une sauvegarde au hasard
La dernière sauvegarde contient souvent déjà le code malveillant, et la restaurer efface les commandes passées depuis. On date d’abord l’intrusion, ensuite on choisit quoi restaurer, si c’est nécessaire.
Site piraté, que faire ? Les premiers réflexes, et ceux à éviter
Un site piraté se nettoie mal quand on agit dans la précipitation : une sauvegarde restaurée au hasard, des fichiers suspects effacés, et le point d’entrée reste ouvert. Voici ce qu’on fait, et ce qu’on vous demande de ne pas faire, d’après les boutiques qu’on a reprises après un incident de sécurité. Un incident critique est pris en charge sous 2 heures ouvrées, que vous soyez client ou non.
Les premières heures
Site piraté : les cinq réflexes des premières heures
L’ordre compte. Nettoyer avant de comprendre, c’est laisser la porte ouverte ; changer les mots de passe avant de nettoyer, c’est les donner au pirate.
2. Ne supprimez pas les fichiers suspects
Ce sont eux qui mènent au point d’entrée : leur date, leur emplacement, ce qu’ils appellent. On en fait une copie avec les fichiers et la base, avant de modifier quoi que ce soit.
3. Changez les secrets après le nettoyage
Tant qu’un webshell reste en place, un nouveau mot de passe est lu comme l’ancien. Une fois le site nettoyé, on renouvelle tout : comptes admin, base de données, FTP et SSH, clés d’API des modules de paiement et de transport.
4. Pensez à la CNIL
Si des données personnelles de vos clients ont pu fuiter, le RGPD prévoit en principe une notification à la CNIL dans les 72 heures après en avoir pris connaissance. On vous aide à établir les faits ; la décision et la déclaration restent les vôtres.
5. Appelez un développeur
Transmettez-nous un accès FTP ou SSH à votre hébergement actuel. Un développeur ouvre le dossier sous 2 heures ouvrées : c’est Maxime ou Yannick, pas un chef de projet.
Ce qu’on cherche
Sur un site piraté, ce qu’on cherche en premier
Un site piraté ne se voit pas toujours : le pirate a intérêt à rester discret pour continuer à se servir de votre boutique. Voici ce qu’on examine, et que nos outils surveillent ensuite.
Des webshells camouflés
Un scan anti-malware rapide passe à côté des mieux cachés : dans des dossiers de traduction, derrière de faux fichiers de classe ou de faux scripts d’upgrade. On les cherche un par un, comme on le raconte sur notre blog.
Des modules aux failles connues
On compare la version de PrestaShop et de chaque module au catalogue Friends Of Presta et à la base CVE / NVD. Un module vulnérable jamais mis à jour est souvent la porte d’entrée.
Des comptes admin inconnus
On recense les comptes du back-office, comme le fait ensuite MintyCare, le module de collecte de Minty Monito. Un compte que personne ne reconnaît se désactive, mais ne s’efface pas tout de suite : ses traces aident à situer l’intrusion.
Des données exposées dans les pages
Pas besoin d’intrusion pour qu’une information sensible fuite : une clé, un identifiant ou une donnée client publiée dans le code des pages se repère depuis l’extérieur. On la cherche, et on la retire en priorité.
Un cas réel
36 Factory : sept boutiques PrestaShop sécurisées sans être coupées
36 Factory nous a appelés après un incident de sécurité : sept boutiques PrestaShop, des failles exploitées sur plusieurs d’entre elles, et un groupe qui n’était pas encore client. Les boutiques vendaient ; il n’était pas question de les arrêter.
On a récupéré les accès, fait l’état des lieux des points d’entrée, puis on les a refermés : authentification à deux facteurs sur le back-office, rotation complète des secrets, configuration serveur durcie. Un mois après, les boutiques tournaient sur notre hébergement Kubernetes piloté en GitOps ; deux mois plus tard, le multiboutique passait en PrestaShop 8.2. Aucune nouvelle intrusion depuis la reprise.
Par principe, on ne détaille pas publiquement les failles concernées. Ce qui compte, c’est que les portes soient refermées et qu’elles le restent.
Nettoyer un site piraté
Le nettoyage express, et ce qu’on fait à la place
Un site nettoyé sans que la faille soit trouvée se fait repirater. Voici la différence entre effacer les symptômes et refermer la porte.
| Critère | Le nettoyage express | Ce qu’on fait |
|---|---|---|
| Fichiers suspects | Supprimés dès qu’on les trouve | Copiés à part, puis lus pour remonter au point d’entrée |
| Recherche | Un scan anti-malware automatique | Fichier par fichier là où les scans ne regardent pas, versions comparées à la base CVE / NVD |
| Sauvegarde | La plus récente, restaurée tout de suite | Choisie après avoir daté l’intrusion, sans perdre les commandes récentes |
| Mots de passe | Celui de l’admin, changé en premier | Tous les secrets renouvelés une fois le site nettoyé, authentification à deux facteurs activée |
| Où on intervient | Là où c’est possible | Sur votre hébergement actuel, en FTP ou en SSH, chaque modification tracée |
| Ensuite | Rien jusqu’au prochain piratage | Serveur durci, sauvegardes hors infrastructure, surveillance par Minty Monito |
Délais
Un site piraté est un incident critique : pris en charge sous 2 heures ouvrées
Une faille exploitée entre dans la même catégorie qu’un site en panne ou un tunnel de commande bloqué. Un développeur ouvre le dossier dans ce délai, pendant les heures ouvrées.
Client ou pas encore client
Pas besoin de contrat pour nous appeler. 36 Factory n’était pas client le jour de son incident : la maintenance de ses sept boutiques est venue après.
Voir le projetChez votre hébergeur actuel
On ne déménage pas un site piraté en pleine urgence. On corrige en FTP ou en SSH là où il se trouve, puis on remet une infrastructure et une organisation propres, comme chez 36 Factory un mois après.
Heures ouvrées, sans astreinte
On ne fait pas d’astreinte et on ne vous en promet pas. Un piratage signalé un soir ou un week-end est pris en charge à la reprise des heures ouvrées.
Tout est tracé
Chaque intervention est notée avec son temps passé : ce qu’on a trouvé, ce qu’on a corrigé, ce qu’on a renouvelé. C’est aussi la base de ce que vous direz à la CNIL si vos clients sont concernés.
Après le nettoyage
Pour que le prochain piratage se voie avant vos clients
Une boutique qu’on reprend après un incident passe sous Minty Monito, notre plateforme de supervision : versions de PrestaShop et des modules comparées au catalogue Friends Of Presta et à la base CVE / NVD, fichiers suspects repérés sur le disque, comptes administrateurs et modules actifs remontés par MintyCare, notre module de collecte. Un fichier suspect au scan déclenche une alerte immédiate et un e-mail pour vous, pas un constat trois mois plus tard.
Pour aller plus loin : webshells camouflés dans un module PrestaShop, comment on les a détectés.
La suite
Une fois le site nettoyé, ce qu’on peut prendre en charge
Le nettoyage referme la porte. Voici ce qui la garde fermée, à vous de choisir ce que vous enchaînez.
Audit de sécurité : versions, modules vulnérables, fichiers suspects, comptes admin.
Découvrir l’auditReprise de site : accès récupérés et sauvegarde hors infrastructure sous 72 heures ouvrées.
Découvrir la repriseMaintenance : un volume de jours à l’année, consommé à votre rythme, dès 6 jours par an (350€ HT par mois en moyenne).
Découvrir la maintenanceMinty Monito, notre supervision, incluse dans toute maintenance.
Découvrir Minty Monito
Questions
Vos questions sur un site piraté
Ce qu’on nous demande quand un site vient d’être piraté.
Mon site a été piraté, que faire en premier ?
Ne restaurez rien et ne supprimez rien vous-même : les fichiers suspects permettent de retrouver le point d’entrée. Faites une copie des fichiers et de la base, puis transmettez-nous un accès FTP ou SSH. Un développeur prend le dossier sous 2 heures ouvrées, client ou non, cherche les portes dérobées (webshells) là où les scans rapides ne regardent pas, puis referme la faille. Chez 36 Factory, les sept boutiques ont été sécurisées sans être coupées.
Comment savoir si mon site PrestaShop est piraté ?
Les signes visibles (redirections, pages modifiées) arrivent souvent tard. On cherche plutôt des fichiers PHP là où il ne devrait pas y en avoir, des modules dont la version a une faille connue dans la base CVE / NVD, des comptes admin que personne ne reconnaît. Notre article sur les portes dérobées (webshells) camouflées dans un module PrestaShop montre où ils se cachent.
Dois-je prévenir la CNIL ?
Si des données personnelles de vos clients ont pu être consultées ou copiées, le RGPD prévoit en principe une notification à la CNIL dans les 72 heures après en avoir pris connaissance, sauf risque improbable pour les personnes. On établit les faits avec vous (quoi, depuis quand, par où) ; la décision de notifier vous revient, avec votre conseil si vous en avez un.
Faut-il changer d’hébergeur après un piratage ?
Pas pendant l’urgence. On corrige d’abord sur votre hébergement actuel, en FTP ou en SSH. Ensuite, s’il est sain et à votre nom, on le garde ; sinon, on propose une migration planifiée. Chez 36 Factory, le passage sur notre hébergement Kubernetes a eu lieu un mois après la sécurisation.
Pouvez-vous me dire quelle faille a été exploitée ?
À vous, oui : le compte rendu de l’intervention dit ce qu’on a trouvé et refermé. Publiquement, non : on ne détaille jamais les failles d’un client, comme pour 36 Factory. Une faille décrite sur un site, c’est un mode d’emploi pour les boutiques qui ne sont pas encore corrigées.
Mon site WordPress a été piraté, intervenez-vous aussi ?
Oui, la méthode est la même : copie, recherche du point d’entrée, nettoyage, secrets renouvelés. Sur WordPress, on regarde d’abord les extensions et les thèmes pas à jour ou installés hors du répertoire officiel, les comptes administrateurs inconnus, le fichier wp-config.php et les fichiers PHP déposés dans wp-content/uploads, où aucun ne devrait se trouver. Ce site-ci tourne d’ailleurs sur WordPress, sans constructeur de pages ni extension SEO.
Témoignages
Ils nous font confiance pour leur performance e-commerce
Ce que disent les e-commerçants qui nous ont confié leur boutique.
Garance Hurlet
Responsable marketing, Pure Filters
Nous sommes très satisfaits de notre collaboration avec Mintfull Agency pour l’évolution de notre site internet. […] Les échanges ont toujours été fluides, les conseils pertinents et le suivi irréprochable. Une agence sérieuse que nous recommandons sans hésiter pour la qualité de son travail et de son accompagnement.
Mathilde Charetier
Responsable e-commerce, Atelier du quai
Très satisfaite de Mintfull ! Ils nous ont accompagnés pour la correction de failles de sécurité sur 3 de nos Prestashop et ont été très réactifs. Je recommande vivement 🙂
Clémence Bricon
Fondatrice, Maison Clémence
J’ai confié la gestion de mon site e-commerce à Maxime de Mintfull Agency, et ça a été une vraie bouffée d’air frais. En à peine une semaine, il a tout compris, tout optimisé, et depuis tout roule parfaitement. Réactif, pro, rigoureux et toujours de bonne humeur, il est devenu un vrai partenaire de confiance. Je recommande les yeux fermés !
Douglas Studient
Directeur Général, IPLN (client de 2021 à 2026)
Maxime et son équipe nous accompagne depuis 2021 dans tous nos projets de dev front et back end pour nos plateformes ( Prestashop et Symfony).Une equipe jeune, dynamique, fiable et force de proposition. C’est assez rare de trouver des partenaires avec qui il est possible de collaborer dans la durée.Merci Mintfull !
Damien Deyna
Chargé d’affaires, ETIP Composites
Nous avons fait appel à Mintfull pour la refonte complète et l’optimisation de notre site internet, la mission s’est parfaitement déroulée ! Maxime est réactif, disponible et force de proposition. Nous sommes très satisfaits du résultat et recommandons fortement Maxime et ses équipes !
Votre site vient d’être piraté ?
Ne touchez à rien, décrivez ce que vous voyez et indiquez votre hébergeur. Un développeur prend le dossier sous 2 heures ouvrées. Pour un piratage en cours, le téléphone reste le plus direct : 06 45 29 90 44. Si c’est une panne sans signe de piratage, passez par le dépannage en urgence.
Signaler un piratage Dépannage en urgence