L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez Gandi
- Sur l'offre d'hébergement simplifiée, le shell SSH est restreint : la plupart des commandes habituelles ne sont pas disponibles, et il faut passer par un client de transfert en ligne de commande pour manipuler les fichiers.
- Le tunnel vers la base de données ne fonctionne pas depuis l'extérieur, ce qui oblige à passer par l'interface web pour tout export. Sur une base volumineuse infectée, c'est la contrainte principale de l'intervention.
- L'organisation des dossiers diffère des hébergeurs classiques : les chemins habituels n'existent pas, et un script de nettoyage écrit pour un autre hébergeur échouera silencieusement.
En cas de suspension
Gandi communique par courriel avec un délai de mise en conformité. Il vaut mieux répondre avant l'échéance, même partiellement, que d'attendre d'avoir tout terminé.
Ce qui ne change pas, quel que soit l'hébergeur
La méthode reste la même. On inventorie sans rien modifier, on date l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, on cherche par où il est entré, et on ne nettoie qu'ensuite. Les 96 % de cas se ramènent à trois causes : une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification. Ce ne sont pas des attaques ciblées mais des robots qui balaient des failles connues.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.