Pourquoi surveiller trente jours après un nettoyage
Trente jours, c'est la fenêtre où une porte oubliée se manifeste : URL asiatique qui réapparaît, cron hebdomadaire, admin fantôme. Surveiller cette fenêtre n'est pas de la paranoïa. Notre garantie couvre la même faille, pas une refonte ni une nouvelle extension abandonnée laissée en place.
C'est la fenêtre où une porte oubliée se manifeste. Une URL asiatique qui réapparaît, un cron, un admin. Notre garantie couvre cette fenêtre, pour la même faille.
Pourquoi trente jours, pas trois
Un cron quotidien se voit en 48 h. Un cron hebdomadaire, un bot qui repasse le dimanche, une campagne qui réutilise une backdoor laissée « au calme » : ça tient en semaines. Trente jours couvrent ces rythmes sans transformer le suivi en abonnement éternel. Au-delà, c'est de la maintenance, pas de la garantie d'incident.
Dans les dossiers que nous reprenons, le second appel arrive souvent entre J+4 et J+21. La home avait été « remise ». Un mu-plugin ou un voisin de compte n'avait pas été vu. Trois jours de tests n'auraient rien montré.
Cette fenêtre commence quand le site est réellement traité et testé comme un visiteur, pas le soir où l'on installe un plugin. Tests avant victoire.
Ce qui se manifeste dans cette fenêtre
Une URL asiatique nouvelle dans `site:`. Un PHP à la racine daté d'après le nettoyage. Un administrateur créé. Une charge CPU à 3 h (minage). Un formulaire qui recommence à envoyer du spam. Un Worker Cloudflare ou une Page Rule que personne n'avait ouverts. Cryptominage.
Moins spectaculaire : une option de pied de page réécrite, un sitemap pirate resoumis, un compte FTP « backup » encore actif. La revue des rôles et des FTP à J+7 attrape ça. Moindre privilège.
Rançongiciel : si des fichiers se rechiffrent, l'entrée n'était pas fermée, ou la sauvegarde était sur le même compte. Rançongiciel. Payer n'est pas une étape, même à J+15.
- `site:` une à deux fois par semaine.
- Dates de fichiers à la racine.
- Liste des utilisateurs privilégiés.
Ce que « la même faille » veut dire
La garantie que nous affichons porte sur la porte traitée : la même extension, le même compte forcé, le même upload. Si le site se réinfecte par ce chemin parce qu'un reste a été manqué, on revient. C'est le sens d'un constat écrit : on sait ce qui a été fermé.
Ce n'est pas une assurance tous risques. Une autre extension abandonnée, non listée, non remplacée, qui casse six semaines plus tard, est un nouvel incident. D'où l'intérêt de la liste des abandonnés à froid, pendant la fenêtre, pas après.
Un voisin de compte non traité n'est pas « une autre faille mystérieuse » : c'est souvent le même dossier mal borné. Si le constat mentionnait l'isolation et qu'elle n'a pas été faite, le retour est prévisible. Isolation.
Ce que la garantie ne couvre pas
Une refonte, un changement de constructeur, une maj PHP hasardeuse faite hors consignes, un thème nulled réinstallé « parce que le design ». Un mot de passe panel redonné à quinze personnes. Un nouveau site posé sur le même compte sans isolation.
Les listes Google et antivirus ont leur propre horloge. Nous accompagnons les réexamens après un site propre ; la latence de Safe Browsing n'est pas une réinfection. Blacklist.
CNIL, assureur, communication clients : le constat sert ; la déclaration vous incombe. Un retour d'infection n'est pas automatiquement une nouvelle violation de données — encore faut-il constater. Fuite de données.
Comment surveiller sans vivre dans les logs
Trois gestes courts, deux fois par semaine : `site:`, home en navigation privée mobile, coup d'œil aux utilisateurs et aux dates à la racine. Pas besoin de lire 10 000 lignes d'access.log chaque matin. Si un signal apparaît, là on ouvre les journaux. Lire les logs hébergeur.
Search Console : alerte e-mail sur les problèmes de sécurité. Facture / CPU chez l'hébergeur. Un WAF déjà en place : un coup d'œil hebdomadaire, pas une angoisse horaire. WAF après piratage.
Si la messagerie du domaine avait été coupée, gardez l'adresse perso sur le ticket jusqu'à la fin de fenêtre. Un e-mail d'abus J+20 que vous ne voyez pas recommence le piège. Mail coupé.
Hébergeur, Google, clients : trois horloges
Réouverture hébergeur : jours ouvrés après constat. Safe Browsing : 24 à 72 h souvent, parfois plus. Positions et pages spam : semaines. Délivrabilité mail : encore après. Un site « rouvert » n'est pas un site « oublié de Google » ni un site « les clients ont compris ».
Pendant les trente jours, ces horloges bougent toutes. Ne les fusionnez pas dans un seul « c'est pas encore bon ». Délai de remise en ligne.
Ticket d'abus : une fois le constat envoyé, attendez la file. Un second constat si quelque chose revient, pas un mail par heure. Guide suspension.
Si ça revient : ne pas tout casser
Recopiez l'état. Ne restaurez pas « la dernière sauvegarde » par réflexe. Comparez avec l'archive du premier nettoyage : qu'est-ce qui est nouveau ? C'est souvent plus court que le premier passage.
N'installez pas trois plugins cleaner. N'allumez pas un WAF en mode panique qui casse le checkout. N'annoncez pas aux clients « nouvelle attaque massive » avant d'avoir classé : reste ou nouvelle porte. Un site peut-il revenir seul : presque jamais tout seul ; souvent une porte restée ouverte.
Contactez-nous sur le même dossier si vous êtes dans la fenêtre de garantie. Créer un compte si vous n'en avez pas : le suivi est plus simple avec un fil unique que par dix e-mails épars.
Après J+30 : habitudes, pas abandon
La garantie se termine. Les habitudes non : maj des composants tenus, liste des abandonnés, revue des admins, sauvegardes hors serveur. C'est de la maintenance. Elle coûte moins cher qu'un troisième incident.
Mettre à jour sans casser : vous pouvez rallumer des maj auto ciblées. Choisir un prestataire si vous voulez une maintenance, ce n'est plus le même contrat qu'un nettoyage.
Un silence de trente jours est un bon signe. Ce n'est pas une immunité. Les bots, eux, n'ont pas de fenêtre de garantie.