Hébergeur, sous-traitant RGPD et piratage : qui fait quoi
L'hébergeur n'est pas responsable de votre plugin oublié. Il l'est de l'isolation des comptes et de son propre périmètre. Le constat sépare les deux. Utile si vous discutez une suspension, une migration, ou une notification.
L'hébergeur n'est pas responsable de votre plugin oublié. Il l'est de l'isolation des comptes. Le constat sépare les deux. Utile si vous discutez une suspension ou une migration.
Deux rôles, deux phrases
Vous : responsable de traitement pour le fichier clients du site. L'hébergeur : sous-traitant pour l'hébergement (et parfois le mail). L'agence : souvent un autre sous-traitant. Trois contrats, trois périmètres. Les mélanger produit « c'est OVH » alors que c'est Contact Form, ou l'inverse.
Le RGPD TPE ne disparaît pas parce que le datacenter est certifié. La certification ne patche pas votre builder.
La page fuite s'adresse à vous. L'hébergeur y entre s'il a les logs ou s'il a isolé — ou non — les comptes.
Ce que l'hébergeur doit, concrètement
Assistance raisonnable : journaux encore disponibles, archive du compte, motif exact d'une suspension, parfois un accès lecture temporaire. Isolation entre clients mutualisés (le PHP du voisin ne lit pas votre `wp-config`). Sécurité de son hyperviseur, de son panel.
Vous informer s'il constate une violation sur *son* traitement (fuite de son propre fichier d'abonnés, par exemple). Ce n'est pas automatiquement votre table Prestashop.
Un DPA ou des clauses dans les CG : durée, lieu, sous-traitants ultérieurs. Relisez-les à froid, pas seulement le jour de l'abus.
- Logs et archive si encore là.
- Isolation des comptes.
- Information sur *leur* violation, pas la vôtre par magie.
Ce qu'il ne doit pas
Nettoyer votre thème, mettre à jour vos plugins, décider si vous notifiez la CNIL, « s'occuper de Google ». Beaucoup le refusent clairement. C'est cohérent. Leur métier n'est pas votre CMS.
Ils ne sont pas responsables d'un mot de passe FTP `azerty` que vous avez envoyé à trois personnes. Ils le sont si leur panel fuit en masse — autre affaire, leurs comm'.
Un support qui dit « réinstallez WordPress » n'est pas un constat de fuite. C'est une procédure de rétablissement. Elle détruit souvent les preuves : demandez l'archive avant.
Logs, suspension, archives
Ticket factuel : référence d'abus, ce que vous voyez, que vous ne rouvrez pas à la main, demande de logs et d'archive. Relancer toutes les heures n'accélère pas. Fournir le motif et un début de constat, si.
Suspension phishing vs minage vs spam : l'ordre change. Une page d'hameçonnage se coupe tout de suite. Un compte « resource abuse » se traite comme une pompe (mail, mineur, générateur).
Si la messagerie du domaine tombe avec le site, donnez une adresse perso dès le premier message. Sinon vous ne lisez jamais la réponse — classique mutualisé.
DPA et tickets d'abus
Le DPA décrit l'assistance en cas d'incident. S'en servir : numéro de ticket, délai de conservation des logs (souvent court). Ce délai explique pourquoi on copie tout de suite.
Les équipes abus parlent malware et réseau. Les équipes RGPD, si elles existent, parlent de leur rôle. Ne collez pas un roman CNIL dans un ticket « unblock my site ». Deux fils, ou un fil très structuré.
Un sous-traitant ultérieur (anti-spam, backup partenaire) peut avoir vu le trafic. L'hébergeur doit pouvoir dire qui.
Voisin de serveur et isolation
Si le constat montre une écriture depuis un autre site du même compte, c'est souvent *votre* hygiène (vingt sites oubliés). Si c'est un autre client de l'hébergeur et une isolation faible, le débat les concerne. Distinguez dans le constat.
Une IP blacklistée à cause d'un voisin : votre site peut être propre et vos mails sales. Nettoyage local + discussion IP / migration *après* site propre. Voir délivrabilité.
Ce n'est pas une excuse pour ne pas fermer *votre* porte. Les deux peuvent être vrais.
Quand migrer, qui est « en faute »
On migre si l'isolation est nulle, si l'IP est morte, si le support refuse toute archive. On ne migre pas pour « fuir » un site encore sale : le nouvel hébergeur suspend à son tour. La faute, alors, redevient la vôtre.
Un départ en colère (« ils m'ont coupé ») sans constat laisse le prochain host sans pièce. Emportez logs et zip.
Le débat de responsabilité agence n'est pas le débat host. Trois colonnes dans un tableau, pas un seul bouc.
Notifier : qui écrit quoi
Vous notifiez la CNIL pour *vos* traitements si le risque le justifie. L'hébergeur notifie pour les siens. Un email d'abus « malware » n'est pas une notification CNIL. Les 72 h sont votre horloge sur votre fichier.
Demandez-leur par écrit s'ils considèrent une violation de *leur* côté. La réponse, même « non », se classe.
Créer un espace pour le CMS. Le ticket host, vous le tenez. Joignez les références d'abus au dossier, pas votre mot de passe panel.
- Séparer plugin / isolation / IP.
- Archive avant réinstall.
- Deux notifications possibles, deux périmètres.