Mon site a été piraté : restaurer la machine depuis un instantané sain

Le site affiche une page qui n'est pas la vôtre. Ou Google prévient que votre site « peut endommager l'ordinateur ». Ou le serveur est très lent et dans les processus il y a quelque chose appelé kdevtmpfsi qui dévore le CPU. On est entré chez vous. C'est un mauvais moment, mais si vous avez des instantanés, cela se règle en un après-midi et sans payer personne.

L'idée centrale est qu'on ne nettoie pas une machine compromise : on l'abandonne. Vous ne saurez jamais avec certitude ce qu'ils ont laissé d'autre à l'intérieur. Ce que vous savez, c'est que l'instantané d'il y a dix jours était sain. Donc vous démarrez une nouvelle machine depuis cette copie, vous la mettez à jour, vous fermez la porte par laquelle ils sont entrés et vous lui passez l'adresse du site. L'ancienne, vous la laissez éteinte et isolée au cas où il faudrait regarder ce qui s'est passé.

Le guide est écrit pour Lightsail ; dans EC2, les étapes sont les mêmes avec d'autres noms de menu.

Pas à pas

1. Confirmez l'intrusion et n'effacez rien

   Signes habituels : du contenu ou des liens que vous n'avez pas mis, des redirections vers d'autres sites, des e-mails d'AWS sur une activité suspecte, des avis de Google Search Console, la machine à 100 % de CPU sans raison, de nouveaux utilisateurs dans WordPress ou dans le système, des fichiers modifiés à des heures bizarres.

   Et la première chose à NE PAS faire : n'effacez pas de fichiers, ne réinstallez pas par-dessus, ne « nettoyez » pas le serveur. Deux raisons. Un, l'attaquant a probablement laissé plus d'une porte et nettoyer à la main ne les trouve pas toutes. Deux, si vous avez une assurance, des clients avec des données personnelles ou si vous devez prévenir l'autorité de protection des données, vous voudrez conserver la machine telle qu'elle est pour que quelqu'un puisse l'examiner. Faites tout de suite un instantané de la machine compromise avec un nom clair (web-COMPROMETIDA-2026-10-28) et n'y touchez plus.

2. Isolez la machine en fermant le pare-feu

   Entrez dans Lightsail, cliquez sur le nom de la machine et ouvrez l'onglet Mise en réseau. Dans le bloc Pare-feu IPv4 vous verrez les règles : normalement SSH (22), HTTP (80) et HTTPS (443). Supprimez toutes les règles sauf SSH et, sur celle de SSH, cliquez sur le crayon, cochez Restreindre à l'adresse IP et écrivez seulement votre IP actuelle (vous la trouvez en cherchant « quelle est mon IP » sur Google). Faites de même dans Pare-feu IPv6 s'il est activé.

   Avec ça, le site n'est plus visible, oui. Mais il cesse aussi de servir des logiciels malveillants à vos visiteurs, d'envoyer du spam et d'attaquer des tiers depuis votre adresse. Quelques heures sans site, ça s'explique ; une plainte, non. Pour les étapes suivantes, vous n'avez pas besoin d'entrer dans l'ancienne machine, donc vous pouvez aussi retirer la règle SSH.

3. Choisissez un instantané antérieur à l'attaque

   Dans le menu de gauche de Lightsail, Instantanés. Vous verrez la liste des copies de cette machine avec leur date. Il vous en faut une antérieure au premier symptôme, avec de la marge : si vous avez remarqué quelque chose le 25, ne prenez pas celle du 24, parce que l'attaque a pu commencer des jours avant de devenir visible. Si le site est un WordPress, les fichiers modifiés ont une date : regardez-la dans la copie ou dans le gestionnaire de fichiers, et prenez un instantané d'au moins une semaine avant.

   Il est inévitable de perdre les changements faits depuis cette date : commandes, articles, photos. Notez lesquels pour les remettre à la main à la fin. Si la base de données est sur une autre machine ou dans RDS, elle n'est pas affectée par cette étape, mais vérifiez quand même ses utilisateurs et mots de passe (étape 5). Si vous n'avez aucun instantané sain, voyez la rubrique des problèmes : la récupération est différente.

4. Créez une nouvelle machine depuis l'instantané

   Sur l'instantané choisi, menu des trois points, Créer une nouvelle instance. Choisissez la même zone de disponibilité que l'ancienne machine (l'IP statique ne peut être déplacée qu'à l'intérieur de la même région), le même plan ou un plus grand, et donnez-lui un nouveau nom (web-2026-10-28). Laissez-la démarrer : cela prend deux minutes.

   La nouvelle machine naît avec le pare-feu par défaut (22, 80 et 443 ouverts à tous). Avant toute chose, onglet Mise en réseau et restreignez le 22 à votre IP, comme à l'étape 2. Laissez 80 et 443 fermés pour l'instant : ne la publiez pas avant de l'avoir mise à jour.

5. Mettez à jour et changez tous les mots de passe et clés

   Entrez dans la nouvelle machine avec le bouton Se connecter à l'aide de SSH de Lightsail (il ouvre un terminal dans le navigateur, sans rien installer). Maintenant, dans l'ordre :

   • Mettez à jour le système : sous Ubuntu ou Debian, sudo apt update && sudo apt upgrade -y. Sur les images Bitnami, mettez aussi à jour l'application depuis son panneau.
   • Mettez à jour le site : WordPress, thème et toutes les extensions. Supprimez les extensions que vous n'utilisez pas. Dans 90 % des cas, la porte était une extension non mise à jour.
   • Mots de passe du site : tous les utilisateurs administrateurs. Supprimez ceux que vous ne reconnaissez pas.
   • Mot de passe de la base de données, et mettez-le à jour dans le fichier de configuration du site (wp-config.php ou équivalent).
   • Clé SSH : dans Lightsail, menu Compte, Clés SSH, créez-en une nouvelle et supprimez l'ancienne ; sur la machine, remplacez le contenu de ~/.ssh/authorized_keys. L'ancienne clé a pu sortir de la machine compromise.
   • Clés de services externes qui étaient sur la machine : e-mail (SMTP), passerelle de paiement, API AWS s'il y en avait une. Générez-en de nouvelles et révoquez les précédentes.

   Regardez aussi /etc/passwd et le crontab de root au cas où l'instantané ne serait pas aussi sain que vous le pensiez : des utilisateurs que vous ne connaissez pas ou des tâches programmées bizarres. Si vous voyez quelque chose, revenez à l'étape 3 avec un instantané plus ancien.

6. Déplacez l'IP statique et vérifiez le DNS

   Dans Lightsail, menu Mise en réseau (celui de gauche, pas l'onglet de la machine). Cliquez sur l'IP statique du site : vous verrez à quelle instance elle est attachée. Détachez-la de l'ancienne machine et attachez-la à la nouvelle. Le changement est immédiat et le domaine continue de pointer vers la même adresse, donc pas besoin d'attendre la propagation du DNS.

   Malgré tout, entrez chez votre fournisseur de domaine (ou dans Zones DNS de Lightsail si vous le gérez là) et repassez tous les enregistrements. Les attaquants ne touchent parfois pas au serveur, mais ajoutent des enregistrements qui détournent le courrier ou un sous-domaine. Si vous voyez un enregistrement A, MX ou TXT que vous ne reconnaissez pas, supprimez-le.

   Maintenant oui : sur la nouvelle machine, onglet Mise en réseau, ajoutez les règles HTTP (80) et HTTPS (443) ouvertes à tous. Vérifiez le site depuis le mobile en données cellulaires, qui ne passe pas par votre réseau, et regardez la date d'expiration du certificat HTTPS : il est dans l'instantané et devrait se renouveler tout seul.

7. Après : fermer la porte et ne plus revenir ici

   L'ancienne machine : laissez-la arrêtée un mois, avec le pare-feu fermé. Dans Lightsail elle est facturée même arrêtée, donc si le coût compte, supprimez-la et conservez l'instantané de l'étape 1, qui garde les preuves. Passé un délai raisonnable, supprimez aussi cet instantané.

   Et trois mesures pour que ça ne se reproduise pas :

   • Instantanés automatiques : sur la nouvelle machine, onglet Instantanés, activez les automatiques (Lightsail garde les sept derniers, un par jour). Pour en conserver certains plus longtemps, faites-en un manuel par mois.
   • Mises à jour : une fois par semaine, système et site. Mettez un rappel. C'est ennuyeux et c'est ce qui évite 90 % des intrusions.
   • Port 22 seulement à votre IP, et fermé quand vous ne l'utilisez pas. Il y a un guide dans cette section rien que là-dessus. Et si le site n'a pas besoin que quelqu'un téléverse des fichiers par FTP, ne gardez pas le 21 ouvert.

   Enfin, si le site conservait des données de clients, consultez la personne qui s'occupe de la protection des données dans votre entreprise : une intrusion sur le serveur peut obliger à la notifier sous 72 heures.

Ce qui peut mal tourner