Mise en quarantaine
La mise en quarantaine est l'isolement d'un fichier suspect ou d'un site entier, mis hors d'atteinte sans être détruit.
Définition
La mise en quarantaine est l’isolement d’un fichier suspect ou d’un site entier, mis hors d’atteinte sans être détruit. C’est une décision de suspension, pas une réparation : elle arrête les effets d’une compromission tout en conservant la pièce qu’il faudra examiner.
Pourquoi isoler plutôt que supprimer ?
Parce que le fichier suspect est à la fois le problème et la seule pièce à conviction disponible.
Quand un outil de sécurité signale un fichier, deux gestes s’offrent au propriétaire du site. Le supprimer met fin à son exécution immédiatement, et efface en même temps son contenu, sa date de dernière modification et l’empreinte qui aurait permis de le rapprocher d’une vulnérabilité connue. La mise en quarantaine produit le même arrêt d’exécution, mais déplace le fichier dans un emplacement où le serveur ne peut plus l’exécuter ni le servir, au lieu de le détruire.
La différence se paie plus tard. Un nettoyage de site infecté ne tient que si le chemin d’entrée est identifié, et ce chemin se lit dans les fichiers déposés autant que dans les journaux du serveur. Les recommandations publiques de traitement d’incident placent d’ailleurs la préservation des éléments de preuve parmi les critères de choix d’une stratégie de confinement, avant l’éradication proprement dite.
Il y a une seconde raison, plus banale et plus fréquente : le fichier signalé n’est pas toujours malveillant. Une détection repose sur des signatures et sur des règles de ressemblance, et un fichier légitime de thème ou d’extension peut y répondre. Supprimer une fausse alerte casse le site sans avertissement ; la mettre en quarantaine le casse aussi, mais le geste est réversible. Dans le doute, isoler puis confier la remise en état coûte moins cher qu’effacer.
Quarantaine d’un fichier, quarantaine d’un site
Le même mot désigne deux décisions qui n’ont ni la même ampleur ni le même décideur.
| Portée | Qui décide | Ce que le visiteur voit | Ce qu’il faut préparer |
|---|---|---|---|
| Un fichier | L’extension de sécurité, ou l’intervenant | Le plus souvent rien, sauf si le fichier était utile | Savoir remettre le fichier en place si la détection était fausse |
| Une extension ou un thème | L’intervenant | Une fonction du site qui disparaît | Une page de remplacement pour la fonction perdue |
| Le site entier | Le propriétaire, ou l’hébergeur | Une page d’indisponibilité | Une page d’attente honnête, et un moyen de contact |
| Le compte d’hébergement | L’hébergeur seul | Le site et souvent la messagerie coupés | Un accès aux courriels qui ne dépende pas du compte suspendu |
La dernière ligne est celle qui surprend le plus. Sur un hébergement mutualisé, un site qui envoie du courrier indésirable ou sert un logiciel malveillant met en cause l’adresse réseau partagée par d’autres clients. L’hébergeur peut donc suspendre le compte sans attendre l’accord de son titulaire, et cette suspension emporte régulièrement la messagerie avec elle. La documentation de WordPress recommande d’ailleurs de prévenir l’hébergeur dès la découverte d’une infection, parce qu’il est souvent le mieux placé pour dire depuis quand elle dure.
Le raccourci à éviter. Vider la quarantaine « pour faire propre » avant que le diagnostic soit terminé. C’est le geste qui transforme une compromission analysable en compromission dont on ne saura jamais rien. Tant que la porte d’entrée n’est pas nommée, les fichiers isolés sont la matière du diagnostic, pas des déchets.
Comment sortir d’une quarantaine
En quatre temps, et le dernier est le seul qui la termine vraiment.
Figer avant d’isoler
Copier le site et ses journaux, quarantaine comprise. Une fois les fichiers déplacés, leurs dates et leurs droits ne sont plus lisibles de la même façon.
Vérifier ce que l’isolement a cassé
Parcourir le site après chaque mise en quarantaine, pas seulement à la fin. Un fichier isolé à tort se repère à la fonction qui disparaît, rarement à un message d’erreur.
Trancher fichier par fichier
Chaque élément isolé finit soit remis en place parce que la détection était fausse, soit remplacé par la version officielle, soit supprimé une fois le diagnostic écrit.
Fermer le chemin d’entrée
Corriger la faille, renouveler tous les accès, puis seulement vider la quarantaine. Sans cette étape, l’isolement n’aura que retardé la réinfection.
Ce qu’une quarantaine ne règle pas
Trois choses continuent exactement comme avant, et c’est là que la plupart des incidents repartent.
Isoler un fichier arrête ce fichier. Cela ne dit rien de ses jumeaux. Une intrusion dépose rarement une seule pièce, et une porte dérobée est écrite pour ne pas ressembler à ce qu’un outil cherche : elle se cache dans un fichier légitime, dans un répertoire d’envois, ou dans une option de la base de données, où aucune quarantaine de fichiers ne va la lire.
Isoler ne lève pas non plus l’avertissement affiché par Google. L’alerte site compromis se lève par une demande de réexamen, une fois le site réellement propre, et cette demande est une démarche distincte qui prend ses propres jours.
Enfin, la quarantaine ne redonne pas les accès. Si le mot de passe d’un compte administrateur a servi à entrer, il sert encore après l’isolement. Tant que les comptes et les clés de sécurité du fichier de configuration n’ont pas été renouvelés, la porte est simplement restée ouverte à côté de celle qu’on vient de fermer.
Ces trois oublis ont un point commun : ils font paraître l’incident terminé. Le site remarche, l’outil de sécurité n’affiche plus d’alerte, et la seule chose qui ait réellement changé est que le code hostile a été déplacé de quelques répertoires.
Questions fréquentes
Un fichier en quarantaine peut-il encore nuire ?
Il ne s’exécute plus et n’est plus servi aux visiteurs, ce qui suffit à arrêter ses effets. Il reste néanmoins du code hostile stocké sur le serveur : il n’a rien à faire dans une sauvegarde que l’on restaurerait plus tard sans réfléchir, ni dans une copie envoyée à un tiers sans le prévenir.
Faut-il mettre tout le site en quarantaine ?
Cela dépend de ce que l’infection fait aux visiteurs. Un site qui leur sert un logiciel malveillant ou les redirige vers un autre site les expose directement, ce qui justifie de couper. Une injection de pages destinée aux moteurs de recherche ne présente pas le même danger immédiat et ne réclame pas la même brutalité.
Combien de temps garder les fichiers isolés ?
Au minimum jusqu’à ce que la faille d’entrée soit nommée et corrigée, puisque c’est à ce moment qu’ils cessent d’être utiles. Les conserver ensuite dans une archive hors du serveur, à part des sauvegardes de production, coûte peu et rend service si la même signature réapparaît.
Mon hébergeur a suspendu le site, que faire d’abord ?
Obtenir de lui ce qu’il a détecté et à quelle date, avant toute réparation. C’est l’information la plus difficile à reconstituer seul, et c’est elle qui dira si une sauvegarde antérieure est saine ou si elle contient déjà l’infection.
Sources
Et sur votre site ?
Une définition ne dit pas si vous êtes concerné.
L'audit gratuit répond dans votre cas : état technique, temps de chargement, et ce que Google voit réellement de vos pages. Un constat écrit, sans engagement et sans jargon.