Choisir un prestataire pour nettoyer un site piraté
Choisir un prestataire pour nettoyer un site piraté : un constat écrit, une garantie sur la même faille, pas de « réinstall et on verra », pas d'accès demandés avant le devis. Méfiez-vous des forfaits à 49 € et des délais magiques. Le bon critère n'est pas le logo Sucuri ; c'est ce qui reste fermé dans trente jours.
Un constat écrit, une garantie sur la même faille, pas de « réinstall et on verra », pas d'accès demandés avant devis. Méfiez-vous des forfaits à 49 € et des délais magiques.
Ce que vous achetez vraiment
Pas un scan. Pas un WAF. Pas une réinstall cœur. Un travail : trouver, retirer, fermer l'entrée, documenter, tester comme un visiteur, suivre la fenêtre courte. WAF vs plugin. Tests. Garantie 30 jours.
Si le devis ne contient pas ces mots (ou leurs équivalents), vous achetez de l'espoir. Coût réel.
Sucuri, Wordfence Care, un indépendant FR, nous : le nom change. La checklist non.
Les signaux d'un prestataire sérieux
Prix ou fourchette avant les mots de passe. Accès révocable (panel, SFTP), pas votre Gmail perso. Constat : trouvé / retiré / corrigé. Périmètre (un site vs tout le compte). Garantie bornée (même faille, 30 jours). Dit clairement qu'il ne déclare pas la CNIL à votre place.
Demande l'archive hébergeur, les logs, le motif d'abus. Connaît OVH / o2switch assez pour ne pas écrire « c'est bon ». Répondre à un abus.
Refuse de migrer un site sale. Migration.
- Devis lisible, hors-scope listé.
- Pas d'exploit / de « on va se venger ».
- Français clair, pas un PDF de 40 pages marketing.
Les signaux pour ranger le devis à la corbeille
49 €, « clean en 1 h », « on installe Wordfence et c'est fini », accès admin + FTP + mail + Ads demandés dans le premier mail, « on s'occupe de la CNIL », « payez la rançon on vous aide », réinstall sans copie, changement de domaine obligatoire, upgrade hébergeur obligatoire pour rouvrir.
Pression (stock limité, bonus si vous signez ce soir). Demande de codes 2FA par SMS. Travail uniquement en TeamViewer sans livrable.
Thème nulled « offert » en passant. Marketplace.
Accès : révocables, après le prix
Un compte nominatif, date de fin. Panel d'abord s'il le faut, pas vos boîtes perso. Vous révoquez à la fin. Moindre privilège.
Créer un compte chez nous : inscription sans accès serveur. Le prix s'affiche. Les accès viennent après, révocables.
Prestataire qui « a déjà les accès de 2019 » : révoquez, recréez. Ancien développeur.
Constat, garantie, hors-scope
Le constat sert à l'hébergeur, à vous, à l'assureur. Sans écrit, vous n'avez rien à coller au ticket. Guide suspension. Compte suspendu.
Garantie : même faille, pas « plus jamais de piratage ». Hors-scope honnête : refonte, autre extension abandonnée non listée, VPS root, chaîne Ads complète. VPS dépasse parfois le forfait site.
Joomla / Drupal / PHP : demandez s'ils savent comparer autre chose qu'un zip WP. Joomla, Drupal, PHP.
Hébergeur, Google, CNIL : qui fait quoi
Hébergeur : vous (titulaire) + constat du prestataire. Google : réexamen après site propre, parfois assisté. CNIL : vous. Ads : vous / votre media. Le prestataire oriente, il ne se substitue pas aux autorités.
Un « on gère tout » est un signal d'alerte, pas un confort. CNIL.
Mail coupé : le prestataire doit pouvoir vous écrire ailleurs. Mail coupé.
Prix, délais, et le coût de se tromper
Nettoyage : souvent 1–3 jours ouvrés une fois les accès là. Listes : davantage. « 1 h » ignore l'archive et les voisins. Un prix très bas ignore le compte. Délai.
Le coût de se tromper : récidive + listes + temps. C'est souvent > à l'écart entre deux devis sérieux.
Forfait vs régie : un forfait clair bat une régie opaque sur un WordPress standard. Un PHP métier non documenté : plutôt une fourchette. CMS oublié.
Nous, et comment nous juger
Même grille. Prix avant accès. Constat. Garantie même faille 30 jours. Pas de rançon. Pas de CNIL à votre place. Sites FR, WordPress / Presta / autres CMS, hébergeurs de ce lot (OVH, o2switch, LWS, etc.).
Jugez-nous sur le livrable et la fenêtre, pas sur un badge. Si un autre prestataire coche mieux la grille pour votre stack, prenez-le.
En attendant un devis : copie, panel, ticket factuel. Ça raccourcit tous les dossiers. Premiers gestes. Personne de sérieux ne vous reprochera d'avoir copié avant d'appeler.
Jugez le livrable à J+30, pas le slide. Un badge « partenaire hébergeur » n'est pas une méthode. Coût réel.
Questions à coller dans le mail de devis
Périmètre : un vhost ou tout le compte ? Constat écrit (trouvé / retiré / corrigé) ? Garantie : quelle faille, combien de jours ? Accès demandés, et quand (après le prix) ? Réexamen Google inclus ou seulement conseillé ? CNIL : vous confirmez que ça reste à ma charge ? Migration : refusez-vous un site encore sale ? Joomla / Drupal / PHP : savez-vous comparer autre chose qu'un zip WP ?
Celui qui répond clairement, prenez-le — même s'il n'est pas nous. Celui qui élude et baisse le prix, non. Garantie 30 jours. Joomla, Drupal, PHP.
Hébergeur : le titulaire reste le titulaire. Le prestataire fournit le PDF. Guide. Créer un compte : inscription sans accès, prix visible. C'est le premier item de notre propre grille.