Pièces d'un dossier d'assurance pour un site piraté

Ce que le gestionnaire cherche

Un sinistre daté, une cause vraisemblable, des frais liés, des exclusions à tester. Il n'est pas expert WordPress. Il comprend : le … à telle heure, telle URL, tel ticket abus, tel PDF de constat, telles factures. La police donne la grille ; les pièces remplissent les cases.

Un devis « forfait décontamination 2 400 € » sans détail ni avant/après ressemble à une facture de confort. Découpez : diagnostic, nettoyage, durcissement, suivi. Les heures de nuit et les astreintes se justifient à part : un forfait unique « tout compris » se discute plus durement qu'une ligne horodatée.

La cohérence avec ce que vous avez dit aux clients et à la CNIL compte. Un écart se voit. Un gestionnaire lit en diagonale : le sommaire et les dates doivent coller du premier coup, sinon il range le zip et passe au dossier suivant. Dix pièces nommées battent quarante captures « IMG_8841 ».

Avant / pendant / après

Avant : captures de l'anomalie, emails clients, alerte Chrome, ticket hébergeur, Search Console (problèmes de sécurité). Pendant : logs copiés, archive du compte, décisions (coupe d'URL, reset). Après : site répond, listes des fichiers retirés, mesures (2FA, MAJ), éventuels refus de réexamen trop tôt.

Nommez les fichiers `2026-03-12_search-console.pdf`. Un dossier « images (77) » n'aide personne.

Les logs justice : extraits + hash de l'archive, pas 8 Go en pièce jointe email. Un lien de téléchargement à durée courte, annoncé dans le mail de déclaration, passe mieux qu'un WeTransfer oublié dans un fil de quinze personnes.

• Preuve de l'état initial.
• Preuve des mesures.
• Preuve du coût (factures).

Le constat au centre

Le constat technique — même court — relie cause, périmètre, données. C'est la pièce que le devis n'est pas. Sans données, dites-le. Avec données, les catégories. L'assureur cyber pose ces questions ; autant les avoir déjà.

Une page d'intervention « trouvé / retiré / corrigé » pour l'hébergeur peut s'annexer. Ce n'est pas redondant : destinataires différents, même faits.

Versions des composants d'entrée si connues. Honnêteté sur les MAJ. Voir exclusions.

Factures et périmètre des travaux

Prestataire, dates, heures si astreinte, objet. Séparez le « tant qu'on y est on refait le logo ». Le second n'est pas le sinistre. Si l'assureur a imposé *son* expert, ses factures suivent leur circuit ; les vôtres, le vôtre, avec l'accord préalable si exigé.

Frais internes : seulement si le contrat le prévoit, avec un justificatif (pas un forfait gérant inventé).

Hébergeur : heures de support payantes, IP dédiée *après* accord, pas un upgrade « colère » non prévu.

Preuves de l'interruption

Boutique fermée : extraits de commandes J-7 vs J0, page de maintenance datée, analytics en chute (avec prudence : un cloaking fausse les stats). Pas seulement « on a tout perdu ». Des ordres de grandeur.

Emails en rade : DSN, captures Postmaster. Lien domaine blacklisté si c'est le sujet du préjudice.

Pub coupée : email Ads, pas un chiffre au crayon. Numérotez les pièces comme le sommaire (`07-ads-suspension.pdf`) : un gestionnaire qui cherche « la cause » doit tomber sur le constat, pas sur IMG_8841.

Données et autorités

Copie de la notification si déposée, accusé, email type aux personnes (pas la liste des destinataires). Récépissé de plainte si vous en avez un. L'assureur les demande souvent pour une cyber.

Ne joignez pas le fichier clients. Un échantillon anonymisé si on vous harcèle pour « voir », plutôt un refus motivé + constat.

Le registre interne peut rester interne ; un extrait de la fiche incident suffit parfois. Pas le tableur entier.

Ce qu'il ne faut pas joindre

Dumps, secrets, clés API, mots de passe. Payloads. Accusations nominatives non étayées. 400 captures d'écran du même bandeau. Des échanges avec l'agence du type « on va les faire payer » : ça n'aide pas votre crédibilité.

Un rapport d'outil automatique de 80 pages non lu. Trois pages utiles battent le PDF usine.

Des liens encore actifs vers le malware. Texte et captures, fichiers isolés.

Remettre le lot, une fois

Un envoi structuré (sommaire + pièces numérotées), puis des compléments datés si on vous les demande. Relancer avec le même zip tous les deux jours noie le gestionnaire.

Gardez une copie du lot (c'est votre dossier, pas seulement le leur). Accès restreint : il contient des preuves sensibles.

Le chantier site peut avancer via créer un compte pendant que le lot s'assemble. Facturez et constatez au fil de l'eau, pas six mois après. Si le gestionnaire demande « la cause exacte », renvoyez au constat (composant, fenêtre), pas à un adjectif (« attaque sophistiquée »). Les exclusions se discutent sur des versions et des dates, pas sur l'émotion.

• Sommaire + constat + factures + tickets.
• Pas de secrets, pas de dump.
• Un lot, des compléments datés.