Quelles preuves conserver après le piratage d'un site

Pourquoi figer le jour J, pas « quand on aura le temps »

Les preuves d’un piratage de site se dégradent vite : logs à 24–48 h sur mutualisé, fichiers écrasés par un cleaner, home republicée, ticket d’abus dont le lien expire. Le constat cyberattaque n’est pas un PDF joli de fin de mission. C’est un sac de pièces pris avant que le site « aille mieux ».

On fige même si on n’est pas sûr que ce soit un piratage. Une 500 + un email OVH + une capture client : mieux vaut un dossier inutile qu’un dossier vide. Le coût est un zip et trois captures. Le coût inverse est un sinistre refusé et un réexamen Google sans HTML.

Rangez au même endroit, nommé, daté. Pas dix WeTransfer dans trois messageries. Un dossier `2026-08-27-incident-domaine` avec sous-dossiers `captures`, `logs`, `archives`, `correspondances`. C’est déjà un constat.

• Horodatage système visible ou métadonnées de fichier.
• Noms de fichiers parlants (`chrome-trompeur-iphone-1412.png`).
• Hors du serveur concerné.

Les captures qui comptent (et celles qui ne servent à rien)

URL complète, date de l’appareil, message du navigateur, page défigurée, email d’abus à l’écran. Sans barre d’adresse, une photo de « page bizarre » prouve peu. Sans horodatage, Google et l’assureur vous croient sur parole pour le calendrier. Le détail visuel est dans captures à figer.

Utile aussi : Search Console (sécurité, inspection, HTML vu par Google), `site:` avec le nombre de résultats, le panel hébergeur (suspension, chemin). Une vidéo courte d’une redirection mobile si la capture statique ne montre pas le saut.

Inutile : dix selfies du même 500, un écran flou de téléphone, un recadrage qui coupe l’URL, un « print » Word. Une bonne capture par symptôme, pas un album.

La copie du compte et ce qu’elle prouve

Le zip + dump de l’état infecté montre les fichiers, les dates, les utilisateurs SQL, les options. C’est la pièce maîtresse technique. Comment la faire : sauvegarder un site déjà piraté. Elle ne prouve pas à elle seule l’identité de l’attaquant. Elle prouve l’état.

Hash (SHA256 du zip) et taille notés dans un txt. Si on vous accuse plus tard d’avoir modifié le constat, le hash tient. Ce n’est pas de la paranoïa d’huissier ; c’est deux commandes.

Gardez aussi l’archive « après nettoyage » si vous en produisez une : avant / après. L’hébergeur et l’assureur aiment cette paire.

Journaux : lesquels, quelle rétention

Access, error PHP, FTP, mail, parfois WAF. Premier hit vers le PHP fautif, IP, user-agent, heure. Copiez le jour même. Demandez à l’hébergeur s’ils ont plus long. Notez « logs indisponibles après le 26/08 » si c’est le cas : une absence documentée vaut mieux qu’un silence.

Search Console et logs CDN (Cloudflare) : autre source, parfois plus longue. Exportez les événements sécurité. Les analytics (pics de 404 sur des URL spam) datent l’indexation, pas forcément l’entrée.

Ne « corrigez » pas un log. Ne l’ouvrez pas dans Excel en réenregistrant. Copie brute + éventuellement une extrait annoté à part.

Emails, tickets, références d’abus

Email « malware détecté », ticket abuse, réponses, IDs. PDF ou `.eml`, pas un forward qui perd les en-têtes. Les en-têtes datent et authentifient l’expéditeur (hébergeur vs phishing « votre site a un virus »).

Correspondance Google (Safe Browsing, Search Console) : le refus de réexamen est une pièce — il explique un délai. Ne le jetez pas par honte.

Prestataire, agence, freelance : les mails « on a remis la home » datent les mauvaises manœuvres. Utile, pas pour accuser, pour la chronologie.

Comptes, clés, chronologie humaine

Liste des utilisateurs CMS / FTP / panel avant nettoyage (export, capture). Qui a été retiré, à quelle heure. Clés API révoquées (identifiants, pas les secrets dans le dossier). Un tableur d’une page : date, action, qui.

Cette chronologie humaine est ce que l’assureur comprend le mieux. « 27/08 09:10 panel changé, 09:40 wp-core.php isolé, 11:00 constat envoyé à o2switch #4521 ». Ça ressemble à des mesures prises. « On a sécurisé » n’y ressemble pas.

Témoins : le client qui a signalé, l’heure de son appel. Un mail de sa part avec la capture, c’est une pièce, pas du bruit.

Pour qui : assureur, Google, CNIL, clients

Assureur : horodatage, constat technique, mesures, parfois plainte. Voir déclaration cyber. Google : HTML vu par le bot, liste d’URL retirées, ce qui a été corrigé — pour le réexamen, pas un roman. CNIL : si violation, le constat d’accès aux données, volumes, catégories, mesures. Clients / banque : dates et nature du risque, pas le zip infecté.

Vous n’envoyez pas le même sac à tout le monde. L’assureur peut recevoir plus. Un client reçoit un paragraphe. Google reçoit des faits d’URL. Ne postez pas le dump SQL « pour transparence ».

Huissier / constat d’huissier : rarement nécessaire au premier incident vitrine. Parfois demandé sur un préjudice chiffré. Les captures horodatées + archive hashée couvrent la majorité des dossiers que nous voyons.

• Assureur : sac presque complet + chronologie.
• Hébergeur : trouvé / retiré / corrigé + référence.
• Google : URL et HTML, site propre avant demande.
• CNIL : seulement si le constat le justifie.

Durée de conservation et destruction

Le temps du sinistre + la prescription utile du contrat (souvent 2 ans, lisez) + obligations si données personnelles. En pratique : 24 mois pour l’archive lourde, plus long pour captures et mails (légers). Datez une revue.

Chiffrez (données clients dans le dump). Limitez les copies. Détruisez (pas la corbeille du stagiaire). Documentez la destruction si vous étiez en régime « preuve de fuite ».

Le dossier n’est pas une préprod. Ne le redéployez pas. Les premiers gestes commencent par cette discipline de copie ; ils ne s’arrêtent pas le jour où le site est vert.