Eviter le piratage de site web et réagir efficacement
La sécurité des systèmes informatiques a fait l’actualité ces dernières semaines. Ce n’est pas en réaction aux dernières révélations que Google a choisi de lancer la campagne d’information « NoHacked 3.0 ». Le moteur a communiqué à de nombreuses reprises sur le piratage de sites web. Il propose un dossier complet avec des solutions pour éviter de voir son site piraté et spammé, en repérer l’origine et le résoudre.
Google est d’ailleurs souvent celui qui fournit le premier signal d’alerte lorsqu’un site est piraté : les signaux repérés par ses robots lorsqu’ils explorent le web permettent de constater les dégâts avant que les utilisateurs s’en aperçoivent. Ces alertes sont transmises par plusieurs canaux : des messages via la Google Search Console, des messages affichés dans Google Analytics, mais aussi des messages affichés dans les pages de résultats de recherche.
La firme de Moutain View est en effet à l’affut de toutes les tentatives de détournement qui pourrait porter préjudice à des internautes à partir de ses résultats.
Des exemples de techniques de piratage de site web
Les mots de passe d’administration de sites font sans arrêt l’objet de tentatives d’hacking. Les CMS sont particulièrement visés, de WordPress à Drupal et Joomla, l’adresse du formulaire de connexion n’étant pas toujours modifiée. Evidemment la rançon de la gloire veut que le niveau de popularité d'un CMS soit corrélé aux risques de piratage, les utilisateurs de Wordpress le savent et se souviennent sans doute de la Faille critique WordPress 4.7.1 et des centaines de milliers de sites piratés en une semaine début 2017. Toutes sortes d’adresses de connexion sont d’ailleurs testées systématiquement. Une fois le formulaire découvert, les tentatives de connexion se succèdent jusqu’à ce que la bonne soit trouvée. Bien entendu, les techniques d’hameçonnage peuvent aussi être employées : un faux e-mail de demande de réinitialisation de mot de passe pourrait par exemple fournir un accès à un pirate qui prend alors pied sur votre site.
L’administration serveur peut aussi être une porte d’entrée si les accès aux répertoires ne sont pas restreints et si les droits ne sont pas correctement paramétrés. Il y a bien d’autres possibilités de piratage liées au serveur et à ses paramétrages, qui doivent faire l’objet de tests approfondis et réguliers.
D’autres failles sont directement liées aux solutions logicielles utilisées : CMS bien sûr mais aussi composants et extensions de ces CMS et autres solutions installées sur votre site et votre serveur. Il est crucial de choisir avec prudence ses logiciels, extensions et plugins et d’appliquer les mises à jour rapidement.
La prise en compte des caractères spéciaux des URL et noms de domaine par les principaux navigateurs est un problème de plus en plus épineux. Il s'agit d'une forme d'hameçonnage. Deux URL peuvent avoir un nom de domaine identique en apparence : un caractère spécial ayant l’aspect d’un caractère courant trompera facilement un utilisateur.
Conséquences sur la visibilité
Il y a plusieurs impacts lors du piratage d’un site : coût lié à la résolution du problème, dégradation de l’image de marque, perte d’affaires, … Souvent, un piratage laisse aussi des traces dans les moteurs de recherche. Dans certains cas, les actions correctives suffisamment précoces permettent de gérer la crise sans qu’aucun utilisateur (ou presque) ne s’en aperçoive. Dans d’autres cas, en plus du problème initial, il faut récupérer le référencement naturel des pages du site qui a été fortement dégradé.
Il existe des solutions pour éviter un piratage. Personne n’est à l’abri mais il est indispensable de faire des vérifications régulières et de la prévention. A ce titre, les conseils de Google ne s’adressent pas à des experts de la sécurité informatique et devraient être suivis par tous les sites.
