# Supervision de sécurité pour serveurs web

> Supervision de sécurité des serveurs : nous surveillons fichiers, processus, connexions et flux de vos serveurs web et signalons toute anomalie avec une analyse claire.

Source : https://phpsos.de/fr/leistungen/security-monitoring/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** la supervision de sécurité d'un serveur consiste à observer en continu les serveurs web pour y déceler des signes d'attaque, au lieu de ne réagir que lorsque des clients se plaignent. Nous surveillons les fichiers, processus, connexions, flux et journaux de vos serveurs PHP et analysons chaque anomalie de façon compréhensible. Vous détectez ainsi les problèmes plus tôt et disposez, en cas d'urgence, des traces nécessaires.

## Pourquoi la supervision de sécurité compte précisément maintenant

PHP2Shell a montré avec quelle rapidité une nouvelle faille peut devenir une menace pour des millions de serveurs. Unit 42 a dénombré plus de 22,6 millions d'instances exposées et potentiellement vulnérables. En même temps, il n'existe pas d'indicateurs de compromission (IOC) publiés et confirmés. Qui veut savoir si quelque chose se passe sur son propre serveur doit observer le comportement.

De nombreuses intrusions ne sont découvertes que tard, souvent par des tiers : un avertissement de Google, un blocage par l'hébergeur pour envoi de spam, un signalement d'un client. D'ici là, les journaux ont souvent tourné et les traces sont perdues. La supervision de sécurité raccourcit ce délai et veille à ce que les journaux soient encore là quand on en a besoin. Pour la direction, cela signifie surtout une chose : les décisions en cas d'urgence reposent sur des faits plutôt que sur des suppositions.

## Ce que nous surveillons

| Domaine | Ce à quoi nous veillons |
|---|---|
| Fichiers | fichiers PHP nouveaux ou modifiés, code exécutable dans les dossiers d'envoi, modifications de `.htaccess` et de la configuration |
| Processus | commandes lancées depuis les workers PHP, processus permanents inconnus, workers qui plantent |
| Connexions | connexions SSH et panneau d'administration, nouveaux comptes administrateur dans le CMS, échecs répétés |
| Réseau | connexions sortantes inhabituelles, envoi soudain de courriels, nouveaux ports ouverts |
| Journaux | schémas de requêtes inhabituels, accumulations d'erreurs, lacunes dans la journalisation |
| État | versions de PHP, du CMS et des paquets comparées aux mises à jour de sécurité connues |

Comment vérifier manuellement de tels signaux, [Analyser les journaux du serveur web après une attaque](https://phpsos.de/fr/ratgeber/logfiles-auswerten/) le décrit. Pour les accès d'administration, nous recommandons en plus les mesures de [Protéger les connexions d'administration contre la force brute](https://phpsos.de/fr/ratgeber/brute-force-login-schutz/).

## Comment PHP SOS aide-t-il concrètement ?

1. **Saisir la situation de départ :** nous recensons les serveurs, applications, journaux existants et la surveillance actuelle, et définissons ce qui est normal. Sans cet état initial, on ne peut pas repérer avec certitude ce qui sort de l'ordinaire.
2. **Mettre en place la surveillance :** nous installons le contrôle d'intégrité des fichiers, la transmission des journaux vers un emplacement de stockage séparé et des règles pour les conséquences typiques d'une attaque. Les journaux sont placés de telle sorte qu'un attaquant présent sur le serveur web ne puisse pas simplement les supprimer.
3. **Réglage fin :** pendant les premières semaines, nous adaptons les règles afin que vous ne soyez pas submergé de fausses alertes, par exemple dues à des mises à jour ou déploiements réguliers.
4. **Signaler et analyser :** nous signalons les anomalies avec une analyse : ce qui a été observé, quelle est la probabilité d'une attaque et ce qu'il faut faire ensuite.
5. **Rapporter :** à intervalles réguliers, vous recevez une synthèse avec les événements, les mises à jour en attente et des recommandations.

> **Astuce:**
> Conservez les journaux sur un système séparé. Pour PHP2Shell, la presse spécialisée conseille de sauvegarder les journaux du serveur à partir du 20 octobre 2026. Qui les stocke de manière centralisée les a encore même lorsque le serveur web doit être réinstallé.

## À quoi ressemble une alerte de notre part

Un avertissement n'est utile que s'il est compris. C'est pourquoi chaque alerte contient les mêmes éléments :

- **Qu'a-t-on observé ?** Par exemple : un nouveau fichier PHP est apparu dans le dossier d'envoi d'un site web, peu après, un worker PHP a établi une connexion sortante vers une adresse inconnue.
- **Comment l'analysons-nous ?** Le nouveau fichier et la connexion sont établis. Un lien est probable. On ignore si des données ont été transmises.
- **Qu'avons-nous déjà fait ?** Par exemple sauvegardé le fichier et, si convenu, mis le site web en mode maintenance.
- **Que devez-vous décider ?** Par exemple si le site web reste hors ligne jusqu'à ce que la cause soit élucidée.

Les événements anodins, par exemple une mise à jour régulière de plugin, nous les reconnaissons grâce à l'état initial et les regroupons dans le rapport au lieu de vous en solliciter un par un. Avec le temps, la surveillance connaît mieux vos systèmes.

## Ce que vous recevez et ce dont nous avons besoin

Vous recevez une surveillance en place avec des règles documentées, des alertes traçables avec recommandation d'action, des rapports réguliers et un stockage central des journaux. En cas d'incident confirmé, les données alimentent directement la [réponse aux incidents](https://phpsos.de/fr/leistungen/incident-response/).

De votre part, nous avons besoin de :

- **l'accès administrateur** aux serveurs, pour installer les agents et la transmission des journaux
- **un aperçu** des applications, des déploiements prévus et des fenêtres de maintenance
- **un interlocuteur** qui reçoit les alertes et peut prendre des décisions
- **une concertation avec votre délégué à la protection des données**, car les journaux peuvent contenir des données personnelles comme les adresses IP

## Ce que nous ne promettons pas

La supervision ne détecte pas toutes les attaques. Des attaquants habiles s'efforcent de rester discrets, et certaines failles laissent à peine de traces. La supervision augmente la probabilité de remarquer tôt une intrusion et fournit des données solides. Elle ne remplace ni les mises à jour ni le durcissement.

Nous ne fixons pas non plus de délais de réaction de façon générale ; ils dépendent du suivi convenu. La supervision déploie le mieux son utilité dans le cadre d'un [contrat de maintenance de sécurité](https://phpsos.de/fr/leistungen/security-wartungsvertrag/), où les mises à jour, les sauvegardes et la surveillance sont réglées ensemble.


## Questions fréquentes

**Quelle est la différence entre la supervision normale et la supervision de sécurité ?**  
La supervision normale vérifie si un serveur est joignable et dispose de suffisamment de ressources. La supervision de sécurité recherche les signes d'une attaque, par exemple de nouveaux fichiers exécutables, des processus inhabituels ou des connexions étrangères. Les deux se complètent.

**La supervision détecte-t-elle une attaque via PHP2Shell ?**  
Il n'existe pas d'indicateurs de compromission (IOC) publiés et confirmés pour PHP2Shell. La supervision peut toutefois rendre visibles des conséquences typiques d'une intrusion, par exemple de nouveaux fichiers PHP ou des commandes lancées depuis un processus PHP. Il n'existe pas de garantie de succès.

**Dois-je pour cela installer un logiciel sur le serveur ?**  
Le plus souvent oui, par exemple un agent pour l'intégrité des fichiers et la transmission des journaux. Nous convenons avec vous, et le cas échéant avec votre hébergeur, des outils utilisés, afin que l'exploitation et la protection des données conviennent.

**La supervision de sécurité fonctionne-t-elle aussi avec un hébergement mutualisé ?**  
Seulement de façon limitée. Sans accès aux processus et aux journaux système, il reste surtout la surveillance des fichiers et des contenus depuis l'extérieur. Une surveillance complète exige un serveur dédié ou géré.

## Sources

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI : office fédéral allemand de la sécurité des technologies de l'information](https://www.bsi.bund.de/)