Quand il faut changer d'hébergement après un piratage

Les trois motifs qui justifient vraiment un départ

Premier motif : l'isolation est structurellement impossible. Tous les sites du serveur partagent un utilisateur trop large, l'hébergeur refuse de borner PHP, un voisin (le vôtre ou celui d'un autre client) réinfecte malgré un nettoyage réel. Rester, c'est recommencer. Isoler les sites d'un compte décrit le diagnostic ; ici on parle de la décision.

Deuxième : l'IP est sur plusieurs listes (mails, parfois Safe Browsing côté voisinage), et l'hébergeur ne peut pas vous déplacer. La réputation IP se joue alors hors de votre vhost. Troisième : le support est un mur — pas de journaux, pas d'archive, ticket d'abus sans référence, messagerie coupée sans alternative. Vous ne pouvez pas constater. Sans constat, vous ne refermez pas.

Ce qui ne justifie pas un départ le soir même : un e-mail « malware détecté » traité, un WordPress mal mis à jour, la honte d'avoir été piraté. Changer pour « se punir » coûte une migration et laisse souvent la même extension abandonnée. Le guide suspension aide à rester le temps de traiter, quand c'est possible.

Migrer un site propre, jamais un site sale

Une bascule avec backdoor, cron et mot de passe panel identique déplace le problème. Le nouvel hébergeur suspend parfois en 24 heures. Vous perdez les journaux de l'ancien compte, et vous brûlez un contrat neuf. C'est le scénario de changer d'hébergeur avec un site encore infecté.

L'ordre : nettoyer (ou faire nettoyer), tester comme un visiteur, changer tous les secrets, puis copier vers la destination. La copie de migration n'est pas l'archive de suspension : celle-ci est un état des lieux souvent déjà infecté. Archive hébergeur sale.

Si le site est encore coupé, travaillez hors ligne sur une copie, puis ouvrez sur le nouveau compte seulement une fois propre. Demandez l'archive à l'ancien support avec une adresse personnelle si le mail du domaine est mort. E-mail coupé avec le site.

• Site comparable à l'officiel, portes fermées.
• Secrets régénérés (panel, FTP, CMS, bases, SMTP).
• Tests mobile / navigation privée / clic Google OK.

IP partagée, listes noires, voisin bruyant

Sur un mutualisé, vous héritez de l'IP. Un voisin qui envoie du spam noircit la délivrabilité de tout le monde. Un voisin qui héberge du phishing peut coller une réputation web. Vérifiez si le problème est votre domaine (SPF, site compromis) ou l'IP. Le guide réputation IP sépare les deux.

Si c'est l'IP et que l'hébergeur propose un changement d'adresse ou un passage en IP dédiée, c'est moins cher qu'une migration complète. Si l'offre n'a pas ce levier, partez après nettoyage. Ne partez pas « pour voir » : une nouvelle IP sale existe aussi ailleurs.

Minage et resource abuse : l'hébergeur coupe parfois tout le compte. Traitez le cryptominage avant de juger l'hébergeur. Une suspension pour CPU n'est pas une preuve que l'offre est mauvaise ; c'est souvent une preuve qu'un process tournait encore.

Isolation impossible ou offre trop large

Quinze sites sur un cPanel, un World trop chargé, un VPS fourre-tout : même si l'hébergeur est correct, votre propre architecture est la faille. Parfois on reste chez le même prestataire, on ouvre un second compte, on éclate. Parfois on change d'offre (mutualisé borné, ou VPS avec utilisateurs séparés).

Un VPS n'est pas automatiquement « plus sûr ». Root pris, Docker oublié, SSH mot de passe : le site n'est qu'une pièce. VPS compromis. Choisir un VPS pour fuir un mutualisé sans compétences système crée un incident plus large.

Cloudflare devant l'ancien hébergement ne remplace pas l'isolation. Il masque l'IP d'origine ; le voisin local, lui, n'a pas besoin de passer le proxy. Cloudflare et site piraté.

Ce que changer d'hébergeur ne résout pas

L'extension abandonnée voyage avec les fichiers. Le Super User fantôme aussi. Le mot de passe admin réutilisé aussi. La migration n'est pas un nettoyage. Les pages spam déjà dans Google restent indexées jusqu'à désindexation. Safe Browsing suit le domaine, pas le serveur.

Le DNS chez Gandi ou ailleurs n'est pas « nettoyé » par un changement de document root. Vérifiez que les enregistrements n'ont pas bougé (A, MX, TXT). Un incident fichiers n'est pas un incident DNS — sauf si le mot de passe compte registrar était le même. Gandi : DNS et site.

Payer une rançon encore moins. Rançongiciel et pourquoi ne pas payer. Changer d'hébergeur n'obtient pas de clé de déchiffrement.

Préparer la bascule sans brûler le nouveau compte

TTL DNS baissé 24 à 48 h avant. E-mails prévus (MX : ne pas les casser si la messagerie reste à l'ancien). Mots de passe tous régénérés. Ancien cron coupé au moment de la bascule. Checklist dans migrer de nuit.

Le nouveau panel : 2FA, pas de FTP anonyme, pas de même mot de passe qu'avant. Videz les caches (plugin, CDN) après la première réponse du nouveau serveur. Un Cloudflare qui pointe encore vers l'ancien IP ou qui cache du HTML sale donne l'impression que « la migration a échoué ».

Prévenez l'ancien hébergeur que vous partez après traitement, pas que vous « rouvrez à la main » sur un miroir sale. Un ticket factuel clôt mieux qu'une disparition. Relancer toutes les heures n'accélère rien d'un côté comme de l'autre.

L'ancien compte : vider, pas oublier

Après bascule, l'ancien vhost encore en ligne est une porte et un doublon d'indexation. Coupez-le, retirez les cron, révoquez les FTP. Gardez l'archive hors ligne quelques semaines (assurance, litige), pas en HTTP.

Surveillez l'ancienne IP quelques jours : si le trafic d'attaque continue d'y taper, vous savez que des bots ont mémorisé le serveur. Ce n'est pas grave si plus rien n'écoute. C'est grave si un sous-domaine oublié y répond encore.

Facture : résiliez quand le DNS a basculé et que les mails ne dépendent plus de l'ancien. Une résiliation trop tôt coupe parfois le mail du domaine au milieu de la bascule. Infomaniak : mails et sites illustre ce collage.

Choisir la destination sans se précipiter

Critères utiles : isolation démontrable, journaux accessibles, archive à la demande, support qui accepte un constat écrit. Le prix brut d'un mutualisé à 3 € n'est pas un critère de sortie d'incident. Les fiches OVH, o2switch, Hostinger, IONOS décrivent des files différentes, pas un classement marketing.

Un prestataire de nettoyage sérieux n'exige pas que vous changiez d'hébergeur pour « valider le forfait ». S'il le fait, demandez pourquoi (isolation réelle, ou habitude). Choisir un prestataire.

Vous pouvez déclarer le site avant de décider de partir. Le constat dit parfois « restez, isolez » plutôt que « fuyez ». C'est moins spectaculaire, c'est souvent juste.