L'hébergeur n'est presque jamais responsable d'une intrusion. En revanche, il change complètement la façon dont on travaille : les accès disponibles, l'endroit où se trouvent les journaux, la manière dont les sites cohabitent. Ces contraintes ne changent pas le diagnostic, elles changent le temps qu'il prend.
Ce qu'il faut savoir chez OVH
- Sur les offres mutualisées, l'accès SSH existe mais il est restreint, et le mot de passe est celui du compte FTP, pas celui de l'espace client. Beaucoup de gens croient ne pas avoir de shell alors qu'ils en ont un.
- Le dossier personnel du compte est souvent un lien symbolique : une recherche lancée depuis ce chemin peut passer à côté de la moitié des fichiers si l'on ne résout pas le lien d'abord.
- Les journaux d'accès ne sont pas dans le compte : ils s'obtiennent depuis un espace de statistiques séparé, avec ses propres identifiants. C'est le premier endroit où regarder pour dater une intrusion, et le dernier auquel on pense.
- L'envoi de courriel en ligne de commande est bloqué sur le mutualisé, alors qu'il fonctionne depuis le web. Ne concluez jamais à une panne d'envoi depuis un test en console.
En cas de suspension
OVH suspend en renvoyant une erreur sur tout le domaine et met parfois plusieurs jours à réactiver après nettoyage. Quand l'attente devient bloquante pour l'activité, la migration vers un autre hébergement est une option réaliste, que j'ai déjà pratiquée en une journée pour un client dans cette situation. Ce que le service abus attend pour rouvrir est décrit dans site suspendu par l'hébergeur.
Ce qui ne change pas, quel que soit l'hébergeur
Sur le fond, rien ne change d'un hébergeur à l'autre : on inventorie sans rien modifier, on date l'intrusion à partir d'une horloge que l'attaquant ne peut pas réécrire, on cherche par où il est entré, et on ne nettoie qu'ensuite. J'ai décrit chaque étape dans la méthode pour nettoyer un WordPress piraté. Un hébergement comme o2switch pose d'autres contraintes, en particulier quand des dizaines de sites partagent le même compte. Dans 96 % des cas, l'intrusion vient d'une extension ou d'un thème non mis à jour, d'un mot de passe faible, ou de l'absence de double authentification : des robots qui balaient des failles connues, pas des attaques ciblées. Pour me confier le site, le forfait et les délais sont sur la page intervention sur un WordPress piraté.
Un réflexe utile quel que soit l'hébergeur : vérifiez si vos dossiers de téléversement renvoient un listage de leur contenu. Beaucoup de sites exposent ainsi des fichiers déposés par leurs visiteurs, sans aucun rapport avec une intrusion, et parfois depuis des années.