L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez Gandi
- Sur l'offre d'hébergement simplifiée, le shell SSH est restreint : la plupart des commandes habituelles ne sont pas disponibles, et il faut passer par un client de transfert en ligne de commande pour manipuler les fichiers.
- Le tunnel vers la base de données ne fonctionne pas depuis l'extérieur, ce qui oblige à passer par l'interface web pour tout export. Sur une base volumineuse infectée, c'est la contrainte principale de l'intervention.
- L'organisation des dossiers diffère des hébergeurs classiques : les chemins habituels n'existent pas, et un script de nettoyage écrit pour un autre hébergeur échouera silencieusement.
En cas de suspension
Gandi communique par courriel avec un délai de mise en conformité. Il vaut mieux répondre avant l'échéance, même partiellement, que d'attendre d'avoir tout terminé. Les trois points qu'attend un hébergeur avant de rouvrir sont listés dans site suspendu après un piratage.
Ce qui ne change pas, quel que soit l'hébergeur
La démarche est identique partout : inventaire sans modification, datation de l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, recherche du point d'entrée, et nettoyage seulement ensuite. Elle est détaillée dans comment nettoyer un WordPress piraté. Ce qui varie, ce sont les outils disponibles : l'accès en ligne de commande n'est pas le même ici que chez OVH ou Infomaniak. Les causes, elles, se répètent : dans 96 % des cas, une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification. Ce sont des robots qui balaient des failles connues, pas des attaques ciblées. Le forfait et le déroulé d'une intervention sur un WordPress piraté sont sur la page d'accueil.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.