Déclarer un site piraté à son assurance : les pièces utiles

Ce que l’assureur lit en premier

Déclarer un sinistre piratage, ce n’est pas raconter l’angoisse. Le gestionnaire cherche : garantie applicable, date de découverte, date de survenance si elle est connue, mesures immédiates, préjudice chiffrable, exclusions (rançon, défaut de sauvegarde, faute intentionnelle). Un pavé émotionnel sans dates retarde. Une page sèche avec pièces accélère.

Il ne « nettoie » pas le site. Il décide si le contrat couvre l’expert, la perte d’exploitation, parfois la notification, parfois rien (franchise, plafond, exclusion CMS mal mis à jour — ça se discute). Votre job : lui donner de quoi cadrer, pas lui demander de choisir un plugin.

Passez par le courtier si vous en avez un. Le numéro figurant sur l’attestation, pas un chat d’assureur trouvé sur Google (phishing après incident, ça existe). Notez le numéro de sinistre dès qu’il existe. Tout le reste s’y rattache.

• Attestation et n° de contrat sous la main.
• Date de découverte + ce qui l’a déclenchée (client, Chrome, hébergeur).
• Pièces : captures, ticket abus, début de constat.
• Mesures déjà prises (panel, copie, isolation).

Lire le contrat avant d’écrire le récit

Cyber dédiée vs RC Pro « dommages immatériels » vs option « protection des données ». Les mots ne sont pas les mêmes, les exclusions non plus. Une RC Pro d’agence web n’est pas automatiquement le contrat du titulaire du site. Qui est assuré ? Le commerçant, l’agence, les deux ? Déclarez au bon endroit, éventuellement deux fois.

Exclusions fréquentes : absence de sauvegarde, mots de passe partagés, non-application de correctifs « connus », rançon, préjudices de réputation purs. Ne mentez pas pour contourner. Documentez ce qui existait (même une Updraft imparfaite, même un panel avec 2FA activé le matin J). Le vrai état aide plus qu’un roman « on était exemplaires ».

Franchise et plafond : un nettoyage vitrine peut passer sous franchise. Déclarez quand même si une blacklist ou une fuite peut faire grossir. Un sinistre non déclaré à temps est pire qu’un sinistre sous franchise.

Horodatage : le jour de découverte, pas « vers lundi »

La date de découverte, c’est le premier signal fiable : email d’abus, appel client avec capture, alerte Search Console, page suspendue. « On s’en est rendu compte en réunion mardi » alors que l’email OVH date du jeudi précédent : l’assureur retient souvent le jeudi. Donnez les deux, clairement.

La date de première intrusion, elle, est souvent inconnue. Dites-le. Une estimation (premier fichier daté, premier titre `site:`) est une hypothèse, étiquetée comme telle. Ne l’inventez pas pour « faire propre ».

Fuseau, heure des captures, heure du changement de mot de passe : la chronologie tient dans une page. C’est la pièce la plus relue.

Le constat technique minimum

Ce qui a été vu (symptôme), ce qui a été trouvé (chemins, comptes), ce qui a été retiré, ce qui reste incertain (entrée, fuite). Pas besoin d’un rapport de 40 pages le jour 1. Un écrit d’une à trois pages + annexes (liste de fichiers, extraits de logs). Si un prestataire intervient, son compte-rendu est exactement ça.

Évitez le vocabulaire marketing (« attaque sophistiquée de niveau état »). « PHP `wp-core.php` à la racine, utilisateur `wpsupport`, redirection mobile, entrée probable extension X non à jour ». L’assureur n’a pas de département APT. Il a des cases.

Joindre le motif hébergeur et la référence d’abus. C’est un tiers qui date. Ça pèse plus que votre souvenir.

La preuve des mesures (pas « on a sécurisé »)

Panel changé le 27/08 09:10, FTP révoqués, copie téléchargée, ticket #4521, fichier isolé, 2FA activée. Des faits. « On a mis Wordfence » est une mesure faible si c’est le seul geste ; mentionnez-le en bas, pas en tête.

Ce que vous n’avez pas fait (restore de la dernière save, paiement de rançon) peut aussi se noter si on vous l’a conseillé et que vous avez refusé : ça montre une décision, pas une négligence. Voir ne pas payer.

Les factures d’intervention, le devis accepté, les heures : préjudice et parfois mission d’expert. Gardez les PDF. Un virement à un « hacker white hat » trouvé sur un forum, sans SIRET, passera mal.

RC Pro, cyber, protection juridique : trois tiroirs

Cyber : souvent frais de remise en état, expert, parfois notification, parfois perte d’exploitation après délai. RC Pro : réclamations de tiers (un client qui dit que vos emails l’ont phishing). Protection juridique : plainte, litige prestataire. Ne forcez pas tout dans un seul email. « Merci d’indiquer la garantie mobilisée ; pièces ci-jointes ; préjudice encore en cours d’évaluation ».

Si vous n’avez que la RC Pro, déclarez quand même. Le gestionnaire dira non, ou oui sur un volet. Un silence de votre côté ferme la porte. Un non écrit documente.

Multirisque pro « bris de machine » ne couvre généralement pas un malware. Ne perdez pas trois semaines sur ce contrat-là sauf si une clause cyber y a été greffée.

Délais de déclaration et ce qui les rate

Le contrat fixe un délai à partir de la connaissance du sinistre. Le week-end, l’agence fermée, « on voulait nettoyer avant » : mauvaises raisons pour l’assureur. Un mail de deux lignes J0 (« découverte, copies en cours, constat à suivre ») protège le délai. Le roman vient après.

Ce qui rate : déclarer un mois plus tard après réinfection, déclarer seulement la perte de CA sans incident technique, déclarer après avoir payé une rançon sans en parler. Rectifiez dès que vous apprenez un fait nouveau (fuite plus large, second site).

La levée Google n’est pas le sinistre. C’est une conséquence. Ne attendez pas Safe Browsing vert pour écrire.

Pièces types, dans un seul envoi

Attestation, n° contrat, RIB si demandé, chronologie d’une page, captures (URL visible), email d’abus PDF, extrait de constat, ticket hébergeur, devis/facture en cours, éventuellement plainte. Lien vers l’archive lourde, pas 8 Go en pièce jointe. Mentionnez les données personnelles si le dump en contient : canal sécurisé.

Complétez : entrée identifiée, fin d’intervention, préjudice (CA, pubs coupées, honoraires). Un sinistre se clôture, il ne se noie pas dans 40 emails sans objet.

Nous fournissons un constat d’intervention utilisable dans ce sac. Nous ne déclarons pas à votre place, nous ne « nous occupons pas de la CNIL à votre place ». Créer un espace ne remplace pas le courtier.

• Mail J0 pour le délai.
• Sac de pièces dès que disponible.
• Compléments datés, même n° de sinistre.