# Sécurité informatique pour les gestionnaires d'immeubles et les entreprises immobilières

> Portail locataires, sinistres, dossiers : comment les gestionnaires d'immeubles protègent leurs systèmes PHP contre PHP2Shell et leurs locataires.

Source : https://phpsos.de/fr/branchen/immobilien-hausverwaltung/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** pour la sécurité informatique d'un gestionnaire d'immeubles, ce sont surtout les systèmes par lesquels locataires et propriétaires transmettent des données qui comptent : portails, déclarations de sinistres et formulaires de candidature pour des logements. Clarifiez lesquels fonctionnent sur votre propre serveur, faites confirmer le correctif PHP et tenez une voie de remplacement prête pour les déclarations de sinistres urgentes.

## Quels systèmes PHP utilisent les gestionnaires et les agents immobiliers

De nombreuses administrations travaillent avec un logiciel métier pour les biens, les loyers et les charges. Vers l'extérieur s'ajoutent d'autres systèmes : portails locataires et propriétaires avec stockage de documents, formulaires en ligne de déclaration de sinistres avec envoi de photos, annonces de logements avec formulaire pour les candidats et dossier de candidature du locataire, espaces pour les assemblées de copropriétaires avec procès-verbaux et décisions.

Une partie est exploitée comme service de l'éditeur de logiciel, une autre fonctionne sur le site web propre, souvent WordPress avec des extensions immobilières. Pour PHP2Shell, c'est précisément cette distinction qui est décisive.

S'y ajoutent des interfaces que presque personne ne remarque au quotidien : les annonces immobilières sont transférées automatiquement du logiciel métier vers le site web et les portails immobiliers, les relevés de compteurs viennent des prestataires de mesure, les ordres aux artisans passent par des formulaires propres. Chacune de ces connexions nécessite des identifiants, souvent enregistrés sur le serveur web. Après un incident, ils doivent tous être renouvelés, sinon une porte dérobée reste ouverte à l'attaquant vers les systèmes voisins.

## Quelles données locataires et propriétaires confient

Dans une administration d'immeubles se trouvent des baux, des coordonnées bancaires pour les prélèvements, des décomptes de charges, des relevés de compteurs, des échanges de courriers sur des défauts et des litiges ainsi que des photos de logements. Pour les candidats s'ajoutent des dossiers de candidature avec justificatifs de revenus, copies de pièces d'identité et renseignements de solvabilité. Dans les portails de propriétaires figurent décisions, fonds de réserve et parfois des informations sur les systèmes de fermeture.

Pour les attaquants, ces données sont intéressantes pour deux raisons : elles permettent l'usurpation d'identité, et elles fournissent tout ce qu'il faut pour des e-mails de fraude crédibles, par exemple une prétendue nouvelle coordonnée bancaire pour le loyer. Les fichiers envoyés sont en outre une voie d'attaque typique. Comment mettre en œuvre les envois de façon sûre, le guide [Envois de fichiers en PHP](https://phpsos.de/fr/ratgeber/datei-upload-sicher/) l'explique.

## Gestion immobilière et sécurité informatique : ce qu'un incident signifie

Si le portail tombe en panne, le canal pour les déclarations urgentes comme les dégâts des eaux ou les pannes de chauffage manque. Cela met le téléphone et le service d'astreinte sous pression, mais c'est planifiable. Une attaque passée inaperçue est plus dangereuse :

- Des locataires reçoivent de fausses demandes de paiement avec un IBAN étranger, qui citent de vraies données contractuelles.
- Les dossiers de candidature de candidats à un logement sont copiés et utilisés pour des fraudes.
- Les propriétaires perdent confiance dans l'administration, ce qui devient un sujet à la prochaine assemblée.

S'il existe des indices d'une fuite de données, une notification à l'autorité de contrôle selon la [règle des 72 heures du RGPD](https://phpsos.de/fr/compliance/dsgvo-meldepflicht-72-stunden/) peut être nécessaire. L'évaluation, vous la faites avec votre délégué à la protection des données.

> **Agir immédiatement:**
> Si personne ne confirme que PHP est corrigé et redémarré sur le serveur de votre portail, déconnectez le portail du réseau. Redirigez temporairement les déclarations de sinistres vers le téléphone et le service d'astreinte.

## Le vide de responsabilité typique

| Système | Exploitation | Qui corrige PHP |
|---|---|---|
| Logiciel métier au bureau | Responsable informatique | le plus souvent non concerné |
| Portail comme service de l'éditeur | Éditeur de logiciel | Éditeur, demander une confirmation |
| Portail sur serveur propre | Hébergeur ou prestataire | selon le contrat, souvent non clarifié |
| Site web avec annonces de logements | Agence et hébergeur | Hébergeur pour l'hébergement web |

S'y ajoute que, dans les petites administrations, personne n'a la vue d'ensemble. L'agence connaît le site web, le responsable informatique les PC de bureau, l'éditeur de logiciel son portail.

## Associer correctement propriétaires, conseils syndicaux et locataires

Dans la gestion de copropriété (WEG, selon le droit allemand), les propriétaires et les conseils syndicaux ne sont pas seulement des personnes concernées, mais aussi des donneurs d'ordre. Ils attendent à juste titre que l'administration rende compte ouvertement et de façon documentée en cas d'incident. Un court rapport indiquant la cause, les systèmes concernés, les mesures prises et l'état d'avancement est préférable au silence jusqu'à la prochaine assemblée.

Les locataires ont surtout besoin d'indications pratiques : quelle voie de déclaration s'applique actuellement, que les coordonnées bancaires ne changent pas par e-mail et à qui ils peuvent transmettre des messages suspects. Des textes coordonnés évitent que concierges, gestionnaires et comptabilité donnent des informations différentes.

## Les premières heures pour la direction

1. Recenser tous les portails et formulaires et déterminer pour chacun où il fonctionne.
2. Faire confirmer par écrit l'état des correctifs en 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le backport, et le redémarrage.
3. Sauvegarder les journaux à partir du 20 octobre 2026 et faire vérifier les répertoires d'envoi à la recherche de fichiers inconnus.
4. Vérifier les comptes de collaborateurs des portails et les sécuriser après le nettoyage par l'[authentification à deux facteurs](https://phpsos.de/fr/ratgeber/zwei-faktor-admin/).
5. Par précaution, indiquer aux locataires que les coordonnées bancaires ne changent pas par e-mail.

## Comment PHP SOS aide-t-il concrètement ?

- Nous recensons vos portails et formulaires et clarifions les responsabilités avec l'éditeur, l'agence et l'hébergeur.
- Nous vérifions l'état des correctifs et le redémarrage et examinons les dossiers d'envoi et les bases de données à la recherche de webshells.
- En cas d'infection, nous nettoyons dans le cadre de l'[assistance d'urgence pour les sites web piratés](https://phpsos.de/fr/leistungen/website-gehackt-notfallhilfe/) et documentons l'incident pour le délégué à la protection des données et l'assureur.
- Avec un [contrat de maintenance de sécurité](https://phpsos.de/fr/leistungen/security-wartungsvertrag/), PHP reste durablement à jour et surveillé sur vos serveurs.


## Questions fréquentes

**Notre portail locataires est un logiciel d'un éditeur. Sommes-nous concernés ?**  
Si le portail fonctionne comme service chez l'éditeur, celui-ci est responsable du serveur et de PHP. Demandez-lui l'état par écrit. Si le même logiciel fonctionne sur votre propre serveur ou chez votre hébergeur, le correctif et le redémarrage relèvent de vous ou de votre prestataire.

**Quelles données du dossier de candidature des locataires sont particulièrement sensibles ?**  
Les justificatifs de revenus, les copies de pièces d'identité, les renseignements de solvabilité et les indications sur l'employeur se prêtent à l'usurpation d'identité et à la fraude. Ils ne devraient être conservés que le temps nécessaire à la location. Combien de temps, vous le clarifiez avec votre délégué à la protection des données.

**Comment empêcher de fausses demandes de paiement adressées aux locataires ?**  
Indiquez aux locataires que vos coordonnées bancaires ne changent pas par e-mail ou message de portail sans que vous le confirmiez par une seconde voie. Après un incident, vous devriez avertir activement les locataires. Sur le plan technique, le durcissement des portails et l'authentification à deux facteurs pour les comptes des collaborateurs aident.

## Sources

- [php.net : avis de sécurité](https://www.php.net/)
- [BSI : alertes et recommandations](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [RGPD art. 33 : notification à l'autorité de contrôle](https://dsgvo-gesetz.de/art-33-dsgvo/)