Un client vous signale que votre boutique redirige vers un site inconnu. Ou votre compte publicitaire vient d’être suspendu pour « logiciel malveillant ». Ce que vous faites dans l’heure qui suit pèse lourdement sur deux choses : la durée de votre arrêt d’activité, et la probabilité que le problème revienne quinze jours plus tard.
La première erreur : nettoyer tout de suite
Le réflexe naturel est de supprimer ce qui paraît suspect et de réinstaller une version saine. C’est l’erreur la plus coûteuse. En nettoyant avant d’avoir analysé, vous effacez les éléments qui permettent d’identifier par où l’attaquant est entré. Sans cette information, le nettoyage ne tient pas : la porte reste ouverte.
C’est ce qui explique un phénomène que nous rencontrons souvent : des sites « déjà nettoyés » par une équipe précédente, qui se réinfectent en moins de deux jours. Le code visible avait été supprimé ; le moyen d’entrée, lui, était toujours là.
La deuxième : couper le serveur
Éteindre protège vos visiteurs, mais fait disparaître une partie des informations nécessaires à l’analyse. Il existe des façons de rendre le site inaccessible au public tout en préservant ce qui permettra de comprendre l’incident. C’est un arbitrage à faire en connaissance de cause, pas dans la panique.
Ce que vous pouvez faire utilement, tout de suite
Trois actions sont sans risque et font gagner un temps précieux. Rassemblez d’abord les faits : depuis quand le problème est signalé, par qui, sur quel type d’appareil, et ce qui a changé récemment sur le site — une mise à jour, un nouveau module, une intervention externe.
Ensuite, dressez la liste de tous ceux qui disposent d’un accès : collaborateurs, agence, développeur ponctuel, prestataire de maintenance, ancien salarié. Sur des boutiques qui ont plusieurs années, cette liste réserve presque toujours des surprises, et elle constitue une piste sérieuse.
Enfin, vérifiez que vous disposez d’une sauvegarde récente et surtout vérifiée — c’est-à-dire dont vous savez qu’elle se restaure réellement. C’est le facteur qui, plus que tout autre, détermine la durée d’un arrêt.
Pourquoi WooCommerce est particulièrement visé
Ce n’est pas une question de fragilité intrinsèque, mais de surface : c’est le parc e-commerce le plus répandu au monde, avec un écosystème d’extensions et de thèmes très large. Les attaques y sont largement automatisées et cherchent des vulnérabilités connues sur des composants non mis à jour. Autrement dit, vous n’avez pas été ciblé personnellement — ce qui ne change rien aux conséquences.
Les dégâts qui ne sont pas sur le serveur
Une compromission déborde toujours du cadre technique. Il faut traiter en parallèle l’avertissement de sécurité qui apparaît dans les navigateurs et les résultats de recherche, la suspension éventuelle de vos campagnes publicitaires, et la question des données clients — si des données personnelles ont pu être exposées, des obligations de notification s’appliquent, avec des délais courts.
Ces démarches obéissent chacune à leurs propres règles et exigent des preuves de remédiation présentées dans un format précis. Mal engagées, elles se soldent par un refus qui allonge l’ensemble du calendrier.
Quand un site peut-il être déclaré propre ?
Pas le jour du nettoyage. Un site est sain lorsqu’une vérification complète postérieure ne détecte plus rien, et qu’une surveillance a tourné pendant plusieurs semaines sans rien signaler. Avant cette période d’observation, vous avez une hypothèse, pas une certitude — et c’est précisément là que se joue la différence entre un incident clos et un incident qui recommence.