Quels journaux conserver si une plainte est envisageable

Pourquoi « plus tard » est trop tard

Les hébergeurs rotent les journaux en quelques jours. Une réinstall, un « reset » cPanel, un changement de machine déplacent ou effacent. Le reflexe de tout casser pour que le site revienne est le plus fréquent destructeur de preuves. Copiez d'abord, même infecté. C'est déjà dans l'esprit des premiers constats.

Une plainte six semaines plus tard sans access.log, c'est un récit. Avec des extraits horodatés, c'est un dossier. L'utilité n'est pas de « rattraper le hacker » — rarement — c'est l'assurance, le débat prestataire, parfois la CNIL. Voir porter plainte.

Demandez les archives à l'hébergeur le jour J, par ticket écrit. « On verra lundi » est souvent un seau vide.

La liste utile, pas l'intégrale

HTTP access et error, journaux PHP, FTP/SFTP, auth panel, mail (file d'envoi), cron, éventuellement WAF. Liste des fichiers avec dates (un `ls` horodaté, un inventaire). Dump de base daté. Captures d'écran (barre d'adresse, messages navigateur). Tickets hébergeur, Search Console, emails d'abus.

Zone DNS et historique registrar si le mail a bougé. Exports des règles de transfert. Pas besoin de 200 Go de binaires CMS si vous avez déjà le zip métier : priorisez ce qui date l'intrusion et le périmètre données.

Les RUA DMARC et DSN mail si l'incident est aussi une usurpation. Indexez, ne noyez pas.

• Journaux serveur et auth.
• Copie site + base datée.
• Échanges hébergeur / Google / abus.

Horodatage et intégrité

Nommez les archives avec la date UTC, l'origine (hébergeur, export panel), qui a copié. Un hash du zip (SHA-256) noté dans le constat évite le « ce fichier a été modifié après ». Vous n'avez pas besoin d'un huissier pour ça en première intention.

Ne « nettoyez » pas les logs avant copie (retirer des lignes qui vous gênent). L'intégrité, c'est tout le fichier, quitte à annoter ensuite.

Les captures : date système visible si possible. Un téléphone qui recadre trop ne montre plus l'URL.

Où les mettre, qui y accède

Stockage à accès limité : pas le Drive partagé de toute l'équipe, pas Slack. Les logs contiennent des IP, parfois des emails, parfois des tokens. C'est un traitement. Listez qui a le dossier dans le registre.

Le prestataire de nettoyage peut en détenir une copie le temps du chantier, puis la rendre ou la détruire selon contrat. Exigez-le par écrit.

Chiffrez si le support est un cloud grand public. Ce n'est pas du théâtre : c'est cohérent avec le discours RGPD TPE.

Durée et RGPD

Garder des preuves d'incident n'est pas « illégal ». Les conserver sans limite sur un Dropbox ouvert, si. Bornez : le temps du sinistre, de la prescription utile, d'un contrôle. Plusieurs semaines au minimum, souvent des mois si assurance ou plainte. Puis purge ou archivage froid restreint.

Ne confondez pas avec une obligation d'effacer tout le lendemain « pour RGPD ». Vous détruiriez ce qui permet de protéger les personnes (savoir ce qui a été lu).

Les données clients dans un dump-preuve : accès encore plus serré que les access.log.

Ce que la gendarmerie attend

Un récit daté, des extraits lisibles, pas un cours. IP, heures, URL, captures de la page illicite si défiguration. Ils n'ont pas besoin du cœur WordPress complet le premier jour. Un dossier factuel passe mieux qu'un « on s'est fait hacker par la Russie ».

La cyber n'ouvrira pas une instruction pour chaque vitrine. Les pièces servent surtout si vous avez un préjudice chiffrable, une usurpation, des menaces. Préparez-les quand même : l'assureur les reprend.

Ne « complétez » pas un log. L'interpolation se voit et tue la crédibilité.

Pièges : rotation, mutualisé, CDN

Mutualisé : logs parfois partagés ou tronqués. Demandez la fenêtre exacte. CDN : les IP vues par Apache sont celles du CDN ; gardez aussi les en-têtes si vous les logguez. Sinon, notez la limite.

Object cache, reverse proxy, plusieurs frontaux : l'heure d'un fichier et l'heure d'un log peuvent diverger. Notez les fuseaux.

Un plugin de sécurité qui « répare » en écrasant les fichiers sans copie : perte de preuve. Isolez avant de laisser un cleaner agir.

Lien avec le constat et l'assurance

Le constat indexe les archives (nom, hash, date). L'assureur veut ça plus que quatre factures sans avant/après. Pièces dossier.

Si vous créez un espace, vous n'envoyez pas 20 Go à l'inscription. Vous dites que les logs existent et où. Transmission ensuite, canal restreint.

La plainte se nourrit de cette étagère. Sans étagère, elle reste symbolique — ce qui peut suffire à un dossier assurance, encore faut-il le récépissé et le récit aligné.

• Copier avant réinstall.
• Hors serveur, accès limité, hash.
• Indexer dans le constat.