Facture d'hébergement qui explose après un piratage

Ce que la ligne « dépassement » veut dire

Mutualisé : CPU minutes, inodes, envois mail, parfois bande passante. VPS : CPU burst, trafic sortant, snapshots qui gonflent. Cloud : instances oubliées, GPU, IPs. La facture ne dit pas « piratage ». Elle dit une métrique. C'est à vous d'aligner cette métrique sur un process, un cron, un pic `mail()`.

Sans cet alignement, le support répond « usage constaté, dû ». Avec les dates du pic, le PID, le motif d'abus, la conversation change. Pas toujours un avoir — souvent une remise partielle ou un étalement. Jamais si le process tourne encore pendant que vous négociez.

Ouvrez les graphiques du panel et exportez-les (capture horodatée). Ils disparaissent au cycle suivant. C'est votre pièce, autant que la facture PDF.

Trois consommations, trois preuves

Mineur : CPU plat, peu de hits, binaire dans `tmp`. Preuve : ligne de process, cron, e-mail « resource abuse ». Spam : quota mail, journal d'envoi, listing Spamhaus éventuellement. Générateur : inodes, milliers de fichiers, `site:` explosé, I/O disque. Voir processeur saturé pour le tri technique.

Un quatrième : un CDN ou un backup qui part vers l'extérieur (rsync d'une archive infectée de 40 Go toutes les heures). La bande passante sortante explose, le CPU pas forcément. Les logs FTP / jobs backup parlent.

Ne mélangez pas les trois dans le ticket. « On a été hacké » sans métrique finit dans la file générique. « CPU 100 % du 12 au 14, process xmrig, retiré le 14 18 h » va dans la file abuse, qui a le pouvoir de greffer un geste.

• CPU / mineur : process + cron.
• Mail : journal d'envoi + coupure.
• Inodes / pages : dossier + sitemap.
• Trafic : job backup ou exfil.

Figer les dates avant d'écrire au support

Une frise : premier symptôme visiteur, premier e-mail hébergeur, heure du kill / du retrait, heure où le graphique redescend. Cette frise est le cœur du mail de contestation. Sans elle, vous racontez une semaine floue.

Copiez le site et les logs hors compte. Une fois la facture payée sous pression, certains panels rotatent les stats. Vous n'aurez plus le graphe du pic.

Si plusieurs sites partagent le compte, isolez lequel a consommé. L'hébergeur facture le compte, pas le vhost. Un site vitrine innocent paie le mineur du vieux WordPress d'à côté — d'où l'intérêt d'isoler les sites après coup.

Nettoyer avant de demander un geste commercial

Demander un avoir pendant que le cron relance le mineur, c'est un non. Le support abuse vérifie. Envoyez le constat : trouvé, retiré, mots de passe panel changés, cron vide. Puis la phrase sur la facture. Deux paragraphes, pas un roman.

« C'est nettoyé » sans détail ne suffit presque jamais — le même mot que pour une suspension. Joignez la référence du ticket d'abus s'il existe.

Ne menacez pas de partir dans le premier message. Vous pouvez partir ensuite. La menace avant le constat ferme la discussion commerciale.

Ce que les hébergeurs acceptent (et refusent)

Souvent accepté : geste commercial sur un premier incident documenté, étalement, parfois annulation de l'overage mail si le journal montre un script hors métier. Souvent refusé : récidive à 30 jours, VPS dont vous aviez les clés root et aucun durcissement, « je n'ai pas vu le mail d'alerte » alors que l'alerte était cochée.

Les conditions générales parlent d'usage. Un piratage n'est pas automatiquement « à leur charge ». Certains le traitent comme un geste commercial, pas comme une garantie. Lisez le contrat avant d'exiger un avoir « de droit ».

OVH, o2switch, Infomaniak, PlanetHoster n'ont pas la même file. Adressez-vous à l'abuse / facturation citée dans le mail, pas au chat général avec un copier-coller Facebook.

Migrer n'annule pas l'overage

Changer d'hébergeur laisse la facture du précédent due. Le nouveau compte, si vous uploadez le zip sale, prend une suspension et une seconde facture. Deux dossiers, zéro économie.

Si vous partez après nettoyage, partez propre : fichiers comparés, cron vide, pas de PHP dans uploads. Le nouvel hébergeur n'est pas un antivirus magique.

Un « illimité » marketing n'est pas une licence de mineur. Les fair-use se réveillent précisément sur ces pics. Lisez la page ressources avant de crier à l'arnaque.

VPS, bande passante, et snapshots

Un VPS facturé à l'usage (Scaleway, AWS, un cloud « à la minute ») peut sortir une facture absurde en 72 h : instance upscalée par un script, snapshot horaire, trafic sortant. Coupez les ressources orphelines dans la console cloud, pas seulement le PHP du site.

Les snapshots contiennent le malware. En garder un « au cas où » est bien ; en tourner 48 à l'heure est une ligne de facture. Vérifiez la politique de rétention le jour J.

La bande passante sortante vers la Chine ou un pool minier est un indicateur d'exfil ou de mineur. Demandez le top des destinations si l'hébergeur le fournit. Ça oriente plus qu'un scan de thème.

Assurances et « préjudice d'exploitation »

Une RC pro cyber, si vous en avez une, demande des pièces : facture, constat, dates, parfois dépôt de plainte. Voir pièces assurance. L'overage hébergeur est souvent éligible ; le « manque à gagner SEO » l'est rarement sans expert.

Ne gonflez pas. Un assureur qui voit une facture contestée deux fois et un constat flou classe le dossier. Les graphes et le ticket abuse suffisent souvent.

La TVA et la compta : un avoir hébergeur se traite comme un avoir. Gardez les deux PDF (facture, avoir) pour l'expert-comptable. Ce n'est pas le sujet technique ; c'est celui qui arrive à J+30.

Pour que ça ne recommence pas le mois suivant

Alertes ressources à un seuil bas, cron relu, mots de passe panel distincts, PHP interdit dans uploads. Un second overage à 30 jours se conteste très mal. C'est vu comme une porte restée ouverte — et souvent ça l'est.

Google Safe Browsing n'a rien à voir avec cette facture, sauf si le générateur a aussi posé de l'hameçonnage. Ne joignez pas un réexamen Google au ticket facture : mauvaises files.

Vous pouvez déclarer le site pour le nettoyage ; la négociation facture reste la vôtre (le contrat est au nom de la société). Un constat d'intervention est précisément le PDF que le support facturation comprend.

• Alertes CPU / mail / inodes.
• Cron et tmp relus à J+7.
• Pas de second site fragile sur le même compte.
• Constat écrit conservé avec la facture.