Responsabilité du prestataire web après un piratage

Ce qu'on ne fait pas le dimanche soir

Accuser l'agence sur les réseaux, couper tous les accès sans copie, refuser de changer les mots de passe « parce que c'est eux ». L'attaquant, lui, n'attend pas le médiateur. Fermez les portes, figez les preuves, constatez une éventuelle fuite. Le débat de faute vient après un site tenu.

Un mail factuel à l'agence (« incident en cours, on tourne les accès, on vous écrit lundi ») vaut mieux qu'un roman. Ils peuvent encore avoir des logs de leur côté.

Si l'agence est l'attaquant présumé, c'est autre chose : révocation immédiate, constat, éventuellement plainte. Reste rare. Ne le présumez pas parce qu'une facture est chère.

Lire le contrat, pas le souvenir

Qui déploie les mises à jour, sous quel délai, qui surveille, qui a les accès, où sont les sauvegardes, astreinte ou non. Un forfait « on s'occupe du site » sans périmètre est un nid à malentendus. Un contrat silencieux sur la sécu n'exonère personne automatiquement, mais il complique votre recours.

Les avenants, les emails « on ne touche plus Prestashop », les refus de budget de mise à jour : ce sont des pièces. Classez-les. Voir aussi revoir le contrat.

Le prestataire n'est en général pas responsable de traitement à votre place. Il est souvent sous-traitant. Hébergeur n'est pas l'agence, deux contrats.

• Périmètre écrit vs oral.
• Délais de patch.
• Accès et backups : qui tient les clés.

Faute, obligation de moyens, angles morts

Beaucoup de maintenances sont de moyens : faire ce qui est prévu, pas garantir l'impénétrable. Un plugin critique non patché pendant six mois alors que c'était dans le forfait pèse. Un zero-day du jour même, moins. Un thème nulled imposé par le client malgré un écrit de l'agence, encore un autre partage.

L'angle mort classique : l'agence patche WordPress, pas le compte FTP partagé ni le registrar. L'incident MX n'est « pas eux » — encore faut-il que ce soit écrit. Documentez, ne vociférez pas.

Un scan mensuel vendu comme « sécurité » qui ne regarde pas les mu-plugins n'est pas une trahison ; c'est un produit limité. Relisez la brochure.

Ce que vous, client, gardiez

Mots de passe envoyés par SMS au stagiaire, comptes « au cas où » sans 2FA, refus de mise à jour « parce que le builder casse », voisin de site abandonné sur le même FTP. Le constat doit pouvoir le dire sans vous protéger artificiellement. Ça n'annule pas une faute prestataire ; ça évite un dossier malhonnête.

Les obligations RGPD restent les vôtres pour notifier. « C'est l'agence » ne suspend pas les 72 h.

Les accès trop larges donnés à cinq prestataires : votre hygiène. L'incident le révèle. On corrige pour la suite.

Preuves utiles plus tard

Tickets de demande de MAJ restés sans réponse. Factures de maintenance pendant la fenêtre où l'extension vulnérable était connue. Journaux de déploiement. Versions figées dans le constat (« Contact Form 7 en 5.x du… »).

Pas besoin d'expertise judiciaire le premier lundi. Besoin de ne pas jeter les emails. Les logs datent l'intrusion ; les mails datent le manquement allégué.

Un rapport d'intervention tiers (nettoyage) qui décrit l'entrée aide plus qu'un échange WhatsApp « c'est de votre faute ».

Agence disparue, freelance, « un ami »

Pas de contrat, prestataire injoignable : le recours est mince. Priorité au contrôle des accès (registrar, panel, Git). Traitez comme un départ d'admin, pas comme un procès imaginaire.

L'ami qui « avait le FTP » : révoquez, documentez. La responsabilité morale n'est pas un levier juridique solide. La suite se joue sur vos mesures à vous.

Récupérez ce que vous pouvez (archives, accès doc) avant de brûler les ponts si vous avez encore besoin d'un mot de passe oublié — puis tournez tout.

Assurance et recours

Votre RC pro / cyber et celle du prestataire sont deux polices. Déclarez la vôtre tôt. Un recours contre l'agence se discute avec les contrats et parfois les assureurs, à froid.

Ne retardez pas le nettoyage en attendant de savoir « qui paie ». Le préjudice grossit. Les pièces se collectent en parallèle.

Mentir à l'assureur sur qui tenait les MAJ pour « que ça passe » est le meilleur moyen de perdre les deux dossiers.

Remettre à plat sans procès immédiat

Beaucoup de TPE gagnent plus à changer de contrat et d'accès qu'à financer un contentieux de 4 000 € pour une vitrine. D'autres ont un vrai manque (jamais de MAJ payées pendant deux ans). Le constat permet de choisir, pas la bile du lundi.

Renégociez une fois propre : délais, backups hors serveur, qui a le registrar. Créer un espace pour le chantier actuel n'implique pas de désigner un coupable dans le formulaire.

Gardez un ton factuel dans la comm' : vos clients n'ont pas à lire votre conflit prestataire.

• Site et données d'abord.
• Contrat + emails de MAJ ensuite.
• Recours à froid, pièces alignées.