L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez Infomaniak
- Un même compte peut regrouper plusieurs sites sous des espaces séparés, ce qui limite la propagation mais complique l'inventaire : il faut passer chaque espace en revue plutôt que balayer un seul dossier.
- Les sauvegardes automatiques sont fiables et remontent loin, ce qui est une chance. Attention toutefois : si l'intrusion date de plusieurs mois, la sauvegarde la contient déjà. On restaure les fichiers légitimes, pas l'ensemble.
- L'interface propose des règles de sécurité qui peuvent bloquer l'accès à l'administration après un changement d'adresse IP, ce qui donne l'impression d'une perte d'accès due au piratage alors qu'il n'en est rien.
En cas de suspension
Les suspensions sont plus rares et le service technique demande en général un rapport avant réouverture. Un document qui dit ce qui a été trouvé et par où l'intrusion est passée suffit. Ce que doit contenir ce rapport : voir site suspendu par l'hébergeur.
Ce qui ne change pas, quel que soit l'hébergeur
La méthode ne change pas avec l'hébergeur : inventorier sans rien modifier, dater l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, trouver par où il est entré, puis seulement nettoyer. Je l'explique en détail dans la méthode de nettoyage. Chez Infomaniak, les suspensions sont plus rares ; chez o2switch ou Gandi, la procédure et les accès diffèrent. Les causes sont les mêmes partout : dans 96 % des cas, une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification, exploités par des robots et non par des attaques ciblées. Le tarif et les délais d'une intervention sur un WordPress piraté sont sur la page d'accueil.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.