Défiguration avec propos illicites ou menaces : conserver la preuve

Figer l'écran, pas seulement le fichier

Le fichier `index` sur le FTP n'est pas ce que le visiteur a vu (cache, JS, redirection). Capturez la page rendue, l'URL, l'heure, l'appareil. Vidéo courte si le contenu clignote. Puis copie du fichier et des logs. Ordre : preuve visible, puis retrait. Inverser, c'est « on n'a rien à montrer » au commissariat.

Stockez hors production. Les logs accompagnent. Un zip infecté n'est pas la pièce « propos » ; la capture l'est.

Si plusieurs URL (home, landing pub), chacune. Le spam SEO japonais n'est pas le même dossier qu'une banderole de menaces — ne les fusionnez pas dans une seule phrase. Un salarié qui a déjà tweeté la home : demandez-lui de retirer le visuel, pas d'en débattre en public. Vous ne contrôlez pas les copies ; vous contrôlez de ne pas en ajouter.

Ce que la capture doit montrer

Barre d'adresse complète, date système si possible, le propos litigieux lisible. Plusieurs résolutions si le texte est en bas. Évitez de recadrer trop : on vous accusera d'avoir monté.

Un constat d'huissier se discute si enjeux lourds (menaces précises, atteinte grave). En première intention, captures + hash du fichier + ticket hébergeur suffisent souvent à une plainte.

N'envoyez pas la capture au groupe WhatsApp des commerçants. Circulation = copies hors contrôle.

• URL + horodatage + propos.
• Fichier correspondant et logs.
• Stockage restreint.

Nettoyer sans tout jeter

Retirer le contenu illicite est prioritaire pour les visiteurs. Republier l'ancienne home ne ferme pas l'entrée : backdoor, compte admin, `.htaccess`. C'est le même ordre qu'une défiguration « classique », avec une pièce en plus.

Ne restaurez pas une sauvegarde sans vérifier qu'elle ne contient pas déjà l'entrée. Ne videz pas tout le FTP au jugé.

Si le propos est dans la base (article WordPress, option), fichiers seuls ne suffisent pas. Cherchez l'écriture SQL. Voir injection si les signes y sont.

Menaces, haine, diffamation : qui prévenir

Menaces précises contre des personnes : forces de l'ordre, sans attendre le « nettoyage SEO ». Propos haineux : plainte possible, conservation de la preuve. Diffamation visant un tiers sur votre domaine : vous êtes devenu l'hébergeur de fait du propos — retirez, documentez, parfois informez la personne visée.

Ce n'est pas toujours une violation de données. Ça peut s'y ajouter si des dossiers ont été publiés (données personnelles étalées sur la home). Alors : constat, horloge 72 h, information.

Un avocat aide dès que des noms, des mineurs, ou une campagne de harcèlement apparaissent. Cet article ne remplace pas ce conseil.

Hébergeur, moteurs, copies cache

Ticket hébergeur avec la capture : ils voient pourquoi c'est urgent. Cache CDN, cache plugin : purgez après retrait, sinon le propos revient une heure. Google cache / `site:` : demandez le retrait d'URL une fois le 404/410 en place, pas avant (sinon ils recache le 200 sale).

Les archives publiques (Wayback, etc.) : signalement s'ils ont déjà ramassé. Vous ne contrôlez pas tout. Notez-le. La comm' peut dire « des copies hors de notre contrôle peuvent exister ».

Safe Browsing si le contenu est aussi de l'hameçonnage ou du malware : autre file, après site propre.

Salariés et clients qui ont vu

Une phrase interne : vous avez vu, nous aussi, ne partagez pas, voici le canal officiel. Les captures personnelles des salariés : demandez-les pour le dossier, puis demandez de ne plus les faire circuler.

Clients choqués : excuse de gêne, pas de roman. Si des données étaient affichées, basculez sur l'information RGPD, pas sur un « on a eu un petit deface ».

Réseaux : un post unique, pas un collage du propos (vous le republieriez).

Lien avec la porte d'entrée

Une défiguration « signée » n'est pas plus « amateur » qu'un shell discret. Souvent moins discret, même entrée. Cherchez comptes, fichiers à la racine, mu-plugins, permissions 777. La preuve des propos ne remplace pas la chasse à la porte.

Si le message demande une rançon, documentez, ne payez pas, traitez comme un rançongiciel de comm' + accès. Autre guide, même copie des preuves.

Créer un espace pour le nettoyage. Joignez la capture, pas un lien encore en 200.

Dossier et suites

Pièces : captures, fichiers, logs, ticket, éventuellement plainte, constat d'huissier si décidé. Assurance si le contrat couvre l'interruption et l'intervention.

Le registre : une ligne « contenus illicites exposés, durée, retrait ». Même sans fuite classique.

Ne gardez pas le propos en home « pour l'avocat » en 200. L'avocat a la capture. Les visiteurs, non. Une page de maintenance neutre le temps du retrait des caches vaut mieux qu'une home « on a été vandalisés » qui republie l'insulte en filigrane.

• Capturer, puis retirer.
• Preuve hors site, accès limité.
• Porte fermée, caches purgés.