Captures d'écran après un piratage : ce qu'il faut figer

Pourquoi l’horodatage pèse plus que le zoom

Une capture écran de site piraté sans date ni URL est une illustration. Avec les deux, c’est une pièce. L’assureur date le sinistre. Google, pour un réexamen, croit mieux un HTML d’inspection, mais une série de captures datées aide le constat humain. La CNIL, si on y va, aime les horloges. Un zoom sur un drapeau de hacker, recadré, ne date rien.

Affichez l’horloge de l’OS (barre des tâches Windows, heure iOS visible, ou la date dans la barre d’état). Ou gardez les métadonnées EXIF / la date de fichier du PNG sorti de l’outil. Ne passez pas l’image dans un filtre « amélioré » qui strip les EXIF.

Fuseau : notez-le une fois dans le dossier (`heure de Paris`). Un client à Montréal et vous à Lyon, sans mention, brouille la chronologie. Le sac complet est dans preuves à conserver.

• URL entière (pas `exemple.fr` coupé).
• Heure visible ou métadonnée intacte.
• Appareil noté (iPhone, Chrome bureau…).

La barre d’adresse, ou ça ne compte presque pas

C’est le critère n°1. Sans elle, on ne sait pas si c’est votre domaine, un pub, un popup plein écran, un overlay. Les faux supports techniques occupent tout l’écran : la barre, si elle montre encore `votre-domaine.fr`, change tout. Si elle montre `chrome://` ou un autre host, autre dossier.

Mobile : demandez une capture « page entière » ou deux photos (haut avec l’URL, bas avec le message). Safari d’iOS coupe souvent l’URL en titre. Demandez de toucher la barre pour l’étendre, puis de capter.

Les redirections : captez l’URL d’arrivée ET, si possible, celle de départ (historique). Une seule photo du site d’arrivée « jeux » sans votre domaine ne prouve pas que vous serviez la redirect. Le client jurera. L’assureur demandera le lien.

Messages navigateur et interstitiels

Chrome « site trompeur », Firefox, SmartScreen, l’antivirus d’entreprise : fenêtre entière, bouton « détails » déployé si ça tient. On y lit parfois l’URL exacte signalée, plus utile que la home. Cadenas vs dangereux : les deux sur la même image, pédagogique et utile.

Ne fermez pas l’interstitiel pour « voir le site » avant d’avoir capté. Vous perdez le texte. Vous pouvez contourner après, consciemment, pour diagnostiquer — autre geste.

Les mails « votre PC est infecté » qui s’ouvrent en overlay : ce n’est pas le navigateur. Notez-le. Voir faux support.

La page elle-même (défacement, pop-up, redirect)

Home défigurée : une vue large, le texte recopié à côté (OCR hasardeux sur un PNG compressé WhatsApp). Pop-up : avant de cliquer OK. Téléchargement forcé : la barre de download avec le nom de fichier (`update.apk`).

WhatsApp et Messenger compressent. Demandez « envoyer le fichier » / qualité originale, ou un air-drop, pas trois aller-retours de JPEG 40 Ko. Vous, faites des PNG depuis le PC.

Thème sombre, cookies banner, chat Crisp : tant pis, ne perdez pas trois minutes à faire joli. L’URL et le payload visibles primient.

Emails, panel, Search Console

Email d’abus : PDF ou `.eml` de préférence (en-têtes). Une photo d’écran de téléphone du mail, à la limite, si l’expéditeur et la date se lisent. Panel suspension : la page + le n° de ticket. Search Console : sécurité, inspection, le HTML « vu par Google » exporté, plus une capture du résumé.

`site:` avec le compteur de résultats et deux titres étrangers. Une capture de phpMyAdmin users (pas les mots de passe). Liste FTP. Ces images datent un état que le zip, lui, contient déjà — elles servent à la lecture humaine rapide.

Ne photographiez pas `wp-config` pour le fun. Secret. Le zip chiffré suffit.

Vidéo courte quand une image ment

Redirection en deux secondes, pop-up qui se ferme, téléchargement qui part : 10–20 s d’écran, URL visible au début. Un GIF ou un MP4. Pas un film de 8 minutes avec commentaire angoissé. Coupez.

L’inspection Search Console a parfois une capture Googlebot. Gardez-la. C’est « ce que Google voit », pas ce que vous voyez. Complémentaire.

Ne filmez pas de mots de passe, de RIB, de conversations clients dans la barre latérale Slack. Recadrez.

Ce qui ne sert à rien (et noie le dossier)

Dix fois le même 500. Le fond d’écran. Un selfie « j’étais devant le PC ». Un print Word illisible. Un screenshot de Wordfence avec 80 lignes, sans URL du site. Un recadrage qui coupe l’heure et l’adresse. Jetez ou archivez à part « bruit ». Le dossier de travail : une capture par symptôme distinct.

Les montages « avant / après » avec des flèches rouges : pour un slide interne, ok. Pour l’assureur, l’original horodaté d’abord. Le montage n’a plus les métadonnées.

Ne postez pas ces images sur un Facebook public « on s’est fait hacker ». Vous offrez le texte de rançon et parfois des infos internes. Canal privé.

Noms de fichiers et stockage

`2026-08-27-1412-chrome-trompeur-iphone.png`, `2026-08-27-ovh-abus-mail.pdf`. Dossier hors serveur. Pas `image(3).png` sur le Bureau. Une copie vers le sac preuves, pas six WeTransfer oubliés.

Si des données clients apparaissent (écran de commandes), chiffrez le dossier. Les captures sont parfois des extraits de base sans le dire.

L’ordre du jour J : ces images, puis la copie du site, puis le reste des premiers gestes. Trois minutes de capture évitent un constat muet.