Revoir son contrat de maintenance après un piratage

Pourquoi attendre le site propre

Signer un nouveau forfait pendant que la backdoor vit, c'est payer deux fois et brouiller qui a la main. Finissez le chantier, tournez les secrets, puis discutez. Le contrat précédent sert au débat de faute ; le nouveau sert à ne pas revivre le même trou.

Un avenant « on ajoute la sécu » à 3 h du matin sans définir sécu, c'est le même malentendu. Écrivez des objets : cœurs, extensions, délai, exclusions.

Si vous partez de zéro (pas de papier), n'inventez pas un historique. Partez d'une page blanche honnête. Un avenant de deux pages lues bat un PDF de quarante pages que personne n'ouvrira. L'incident a déjà montré ce qui manquait : écrivez *ça*, pas un modèle américain de 2018.

Les clauses qui auraient changé l'histoire

Délai de déploiement d'un correctif critique (heures / jours ouvrés). Inventaire des extensions sous contrat. Qui surveille les CVE du builder. Qui a le droit de poser un plugin. Fréquence des revues de comptes admin. Lieu des backups (hors compte web). Qui tient le registrar.

Obligation d'un écrit après incident (constat). Interdiction de réutiliser le même mot de passe panel / CMS. 2FA sur les comptes prestataire.

Ce n'est pas de la paranoïa : c'est la liste des absences que les dossiers de reprise montrent. Voir 2FA et sauvegardes.

• Périmètre MAJ chiffré (quoi, délai).
• Backups hors serveur, testés.
• Accès nominatifs, révocables.

Accès : liste, révocation, 2FA

Annexe : qui a panel, FTP, CMS, Git, Search Console, ESP, pub. Un départ (stagiaire, freelance) = procédure de révocation en X jours. Les application passwords et clés dans la même liste (révoquer).

Comptes nominatifs, pas `agence@`. Moins de partages. Quand le partage est inévitable, rotation à chaque fin de mission.

Le client reste titulaire du registrar et de la facturation hébergeur autant que possible. Un prestataire « qui a tout au nom de l'agence » est un risque de reprise, pas un confort.

Mises à jour et hors-périmètre

Écrivez ce qui n'est pas couvert : thème sur-mesure non testé, plugin pirate, Magento dont plus personne n'a la licence, sites voisins du FTP. L'incident est souvent hors du PowerPoint « WordPress à jour ».

Un gel des MAJ demandé par vous doit être écrit, avec le risque. Ça protège les deux parties. Ça n'autorise pas l'agence à disparaître.

Les correctifs d'urgence (faille activement exploitée) ont un canal distinct du « on fait les MAJ le premier mardi ».

Sauvegardes et tests de restauration

Fréquence, rétention, lieu, qui teste une restauration par trimestre. Un backup seulement sur le même FTP n'est pas une clause de reprise, c'est une clause d'illusion. L'incident rançon / chiffrement l'a peut-être déjà montré.

Qui paie le stockage distant. Qui a les clés de déchiffrement. Si le prestataire part, comment vous récupérez les archives.

Une restauration testée une fois dans l'année évite de découvrir que le zip est vide le jour J.

Astreinte, délais, constat

Temps de prise en compte, pas « au mieux ». Livrable : site isolé / propre, plus un écrit de constat si données. Qui parle à l'hébergeur. Qui ne parle pas à la presse.

Les heures de nuit ont un tarif ou une absence assumée. Mieux vaut un non écrit qu'une promesse d'astreinte fantôme.

La notification CNIL reste à vous. Le contrat peut prévoir l'assistance à la rédaction du volet technique, pas la substitution.

Sous-traitance et hébergeur

L'agence sous-traite-t-elle à un freelance offshore ? Vous devez le savoir (RGPD). L'hébergeur a son DPA : qui ouvre les tickets, qui a le token API.

Aligner les trois (vous, agence, host) sur un tableau d'une page. C'est le livrable le moins cher après un hack.

Les pixels et chats : qui a le droit d'en poser. L'attaquant, lui, n'attend pas l'avenant — mais votre équipe non plus ne devrait plus poser un outil « pour voir » sans ligne au registre.

Changer de prestataire sans se réinfecter

Migration après site propre, secrets déjà tournés, ancienne agence révoquée. Copier un site sale chez le nouveau, c'est offrir un second incident et un second débat de faute.

Période de recouvrement courte, checklist d'accès rendus. Pas de « ils gardent une copie au cas où » sans cadre. Une date de fin des accès de l'ancienne équipe, écrite, évite le fantasme du « ils peuvent encore entrer ». Vérifiez registrar, panel, Git, Search Console le jour dit — pas « on suppose que c'est bon ».

Créer un compte pour une intervention ponctuelle de nettoyage n'est pas une maintenance. Si vous enchaînez, exigez le papier ci-dessus, à froid.

• Écrire le périmètre et les exclusions.
• Backups hors compte + tests.
• Titularité registrar / host chez vous.