Ce que doit contenir un constat technique de fuite

À quoi il sert, concrètement

Il transforme une peur en faits bornés. Sans lui, chaque interlocuteur invente : l'assureur un sinistre flou, le client une catastrophe, l'agence une absence totale de problème. Avec lui, on notifie ou on documente l'absence de risque, on informe avec les bonnes catégories, on déclare un sinistre sans roman.

Ce n'est pas un rapport de 80 pages. C'est souvent deux à cinq pages datées. Le guide fuite en donne l'esprit ; ici, le squelette.

Il ne remplace pas le nettoyage. Un beau constat avec une backdoor encore là est un constat d'échec en cours. Daté, versionné, signé : trois attributs qui le distinguent d'un fil Slack. Sans date, il ne sert ni aux 72 h ni à l'assureur.

Les cinq champs indispensables

Périmètre : quelles bases, quelles tables, quels fichiers, quels exports, quelles boîtes. Fenêtre : du premier indice au dernier log utile, avec les trous (réinstall, rotation des logs). Nature : identité, email, commande, paiement, mots de passe (hash / clair), pièces jointes. Mode : écriture visible, lecture plausible, exfiltration constatée (dump, bande passante, exfil HTTP). Volume : ordre de grandeur, même « entre 200 et 800 » ou « inconnu, table de N lignes ».

Chaque champ peut dire « insuffisant pour conclure » plutôt que d'inventer un zéro. C'est plus solide qu'un « aucune donnée ». Voir constater avant de parler.

Si un skimmer ou un pixel tiers entre en jeu, une phrase dédiée : quelles pages, quelle durée estimée. Les scripts ajoutés sont un périmètre à part.

• Périmètre (systèmes et jeux de données).
• Fenêtre et limites des preuves.
• Nature, mode d'accès, volume.

Ce qu'on écrit quand on ne sait pas

Logs absents, hébergeur qui a déjà formaté, sauvegarde unique sale : le constat le dit en tête. On décrit alors le plausible (un admin CMS avait la main sur l'export clients) vs le démontré (fichier SQL dans `/wp-content/uploads`).

L'absence de signe d'exfiltration n'est pas une preuve d'absence. Une phrase type : « Aucun dump n'a été trouvé ; un accès lecture à telle table entre telle et telle date ne peut être exclu. » C'est cette honnêteté qui permet un raisonnement de risque 72 h.

Ne comblez pas le vide avec « le pirate était script-kiddie, il n'a pas su extraire ». Vous n'en savez rien.

Pièces jointes utiles

Extraits de logs horodatés (pas 4 Go bruts dans un email). Captures Search Console, tickets hébergeur, liste des comptes admin créés, hash d'un dump trouvé (pas le dump en pièce jointe vers n'importe qui). Copie de zone DNS si le mail a été détourné.

Stockage : hors production, accès limité. Les pièces sont elles-mêmes des données. Voir logs à conserver.

Un devis de nettoyage sans ces pièces passe mal chez l'assureur. Le constat les indexe.

Ce qu'on n'y met pas

D'exploits reproductibles, de charges utiles, de « comment on pourrait refaire ». Diagnostic et remédiation. Les détails d'entrée se décrivent au niveau « extension X non à jour », pas une recette.

Pas de données clients en clair en annexe envoyée à vingt personnes. Pas de règlement de comptes (« l'ancien stagiaire »). Si une piste humaine existe, une phrase factuelle, le reste à la plainte.

Pas de conclusion juridique (« vous êtes en conformité »). Le technicien n'est pas la CNIL.

Qui le signe, qui le reçoit

L'auteur technique (prestataire, admin interne) date et signe ce qu'il a vu. Vous, responsable, y ajoutez la décision (notifier / informer / non, avec motif). Deux blocs, un PDF.

Destinataires : vous, éventuellement conseil, assureur, CNIL sur demande, gendarmerie si plainte. Pas le groupe Facebook des commerçants du coin.

Un prestataire sérieux assume un écrit. « On vous dira à l'oral » n'est pas un constat.

Faire vivre le document

Version 1 le jour du premier bilan. Version 2 quand une table supplémentaire apparaît. Numérotez. Ne réécrivez pas l'histoire : ajoutez. Le registre pointe vers le numéro courant.

Si le site se réinfecte, une annexe : nouvelle fenêtre, mêmes champs. Ce n'est pas « le même incident nié », c'est une suite.

Du constat aux décisions

Table users lue → reset, sessions, phrase sur la réutilisation. Paiement touché → PSP et éventuellement banque. Clair en base → notification quasi certaine et dette de stockage. Simple défacement étayé sans accès base → souvent pas d'information massive, doc interne.

Les obligations TPE s'appuient sur ce texte, pas sur un sentiment de lundi. Si le volume se précise une semaine plus tard, une version 2 suffit : on n'efface pas la première, on ajoute. C'est ce que relira un contrôle, pas votre mémoire.

Pour le chantier fichiers, créer un espace. Le constat peut être le livrable qui articule les deux.

• Cinq champs + incertitudes.
• Pièces indexées, pas de dump en circulation.
• Décisions datées en bas de page.