L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez Infomaniak
- Un même compte peut regrouper plusieurs sites sous des espaces séparés, ce qui limite la propagation mais complique l'inventaire : il faut passer chaque espace en revue plutôt que balayer un seul dossier.
- Les sauvegardes automatiques sont fiables et remontent loin, ce qui est une chance. Attention toutefois : si l'intrusion date de plusieurs mois, la sauvegarde la contient déjà. On restaure les fichiers légitimes, pas l'ensemble.
- L'interface propose des règles de sécurité qui peuvent bloquer l'accès à l'administration après un changement d'adresse IP, ce qui donne l'impression d'une perte d'accès due au piratage alors qu'il n'en est rien.
En cas de suspension
Les suspensions sont plus rares et le service technique demande en général un rapport avant réouverture. Un document qui dit ce qui a été trouvé et par où l'intrusion est passée suffit.
Ce qui ne change pas, quel que soit l'hébergeur
La méthode reste la même. On inventorie sans rien modifier, on date l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, on cherche par où il est entré, et on ne nettoie qu'ensuite. Les 96 % de cas se ramènent à trois causes : une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification. Ce ne sont pas des attaques ciblées mais des robots qui balaient des failles connues.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.