L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez OVH
- Sur les offres mutualisées, l'accès SSH existe mais il est restreint, et le mot de passe est celui du compte FTP, pas celui de l'espace client. Beaucoup de gens croient ne pas avoir de shell alors qu'ils en ont un.
- Le dossier personnel du compte est souvent un lien symbolique : une recherche lancée depuis ce chemin peut passer à côté de la moitié des fichiers si l'on ne résout pas le lien d'abord.
- Les journaux d'accès ne sont pas dans le compte : ils s'obtiennent depuis un espace de statistiques séparé, avec ses propres identifiants. C'est le premier endroit où regarder pour dater une intrusion, et le dernier auquel on pense.
- L'envoi de courriel en ligne de commande est bloqué sur le mutualisé, alors qu'il fonctionne depuis le web. Ne concluez jamais à une panne d'envoi depuis un test en console.
En cas de suspension
OVH suspend en renvoyant une erreur sur tout le domaine et met parfois plusieurs jours à réactiver après nettoyage. Quand l'attente devient bloquante pour l'activité, la migration vers un autre hébergement est une option réaliste, que j'ai déjà pratiquée en une journée pour un client dans cette situation.
Ce qui ne change pas, quel que soit l'hébergeur
La méthode reste la même. On inventorie sans rien modifier, on date l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, on cherche par où il est entré, et on ne nettoie qu'ensuite. Les 96 % de cas se ramènent à trois causes : une extension ou un thème non mis à jour, un mot de passe faible, ou l'absence de double authentification. Ce ne sont pas des attaques ciblées mais des robots qui balaient des failles connues.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.