Redirection vers un site de casino, pages japonaises dans Google, alerte de l’hébergeur, compte administrateur inconnu : un site Joomla piraté se manifeste de bien des façons. La réaction instinctive, supprimer le fichier suspect et passer à autre chose, est presque toujours insuffisante. Le pirate a laissé une ou plusieurs portes dérobées, et il revient. Que faire, et dans quel ordre ? Voici la procédure que j’applique.

1. Mettre le site hors ligne

Activez le mode hors ligne dans la configuration globale si l’administration est accessible ; sinon, placez temporairement un fichier index.html de maintenance ou une règle dans .htaccess. L’objectif : ne plus servir de contenu malveillant à vos visiteurs et à Google pendant le nettoyage.

2. Sauvegarder l’état infecté

Cela paraît contre-intuitif, mais c’est indispensable : une copie complète (fichiers + base) permet d’analyser l’attaque, de retrouver la date d’intrusion et de revenir en arrière si le nettoyage casse quelque chose. Elle ne doit jamais être restaurée telle quelle.

3. Changer tous les accès

Mots de passe des comptes administrateurs Joomla, FTP/SFTP, base de données (et configuration.php en conséquence), panneau d’hébergement et boîte email associée. Supprimez les comptes Super Utilisateur que vous ne reconnaissez pas, en vérifiant directement la table des utilisateurs en base.

4. Comparer les fichiers avec un Joomla sain

Téléchargez exactement la même version de Joomla et comparez-la au site, fichier par fichier. Tout fichier du cœur modifié est remplacé. Ensuite, cherchez les intrus :

  • fichiers .php dans /images, /media, /tmp ou /cache ;
  • code obfusqué : eval(, base64_decode(, gzinflate(, longues chaînes illisibles ;
  • fichiers .htaccess modifiés avec des redirections conditionnelles (selon le référent ou le user-agent) ;
  • fichiers récemment modifiés à une date où personne n’a travaillé sur le site.

5. Nettoyer la base de données

Les injections ne sont pas que dans les fichiers : scripts ajoutés dans les articles ou les modules personnalisés, liens cachés, redirections dans les paramètres. Recherchez <script, iframe et les domaines inconnus dans les tables de contenu et de modules.

6. Mettre à jour (ou migrer)

La faille exploitée est presque toujours une version obsolète du cœur ou d’une extension. Mettez tout à jour ; supprimez les extensions inutilisées. Si le site est encore en Joomla 3, le nettoyage ne tient pas dans la durée : la migration vers Joomla 6 fait partie de la réparation.

7. Durcir le site

  • Authentification à deux facteurs pour tous les administrateurs (native depuis Joomla 4).
  • Protection de /administrator (restriction d’IP ou mot de passe serveur).
  • Droits de fichiers corrects (644 pour les fichiers, 755 pour les dossiers) et configuration.php en lecture seule.
  • Sauvegardes automatiques stockées hors du serveur.

8. Faire lever les alertes

Dans Google Search Console, rubrique « Problèmes de sécurité », demandez un réexamen en expliquant ce qui a été corrigé. Supprimez les URLs de spam indexées (elles doivent renvoyer une erreur 404 ou 410). Si votre domaine a été mis sur liste noire pour l’envoi d’emails, contactez l’hébergeur.

Comment éviter que ça recommence

Un site Joomla sécurisé, c’est surtout un site suivi : mises à jour appliquées dès leur sortie, extensions limitées au nécessaire, sauvegardes testées. C’est exactement l’objet d’une maintenance Joomla mensuelle. Vous gérez aussi une boutique en ligne ? Voir les étapes pour une boutique PrestaShop piratée.

Questions fréquentes

Puis-je simplement restaurer une ancienne sauvegarde ?

Seulement si vous êtes certain qu’elle précède l’intrusion, et à condition de corriger la faille juste après. Sinon, le site sera de nouveau piraté en quelques jours.

Combien de temps faut-il pour nettoyer un site Joomla ?

Le nettoyage proprement dit se fait souvent dans la journée. La levée de l’alerte Google prend ensuite de quelques jours à deux semaines.