En bref : si votre hébergeur a bloqué le site, c'est généralement l'indice d'un code malveillant ou d'un abus, mais cela peut aussi être de la précaution. Le déblocage n'intervient en règle générale qu'une fois la cause éliminée. Vous êtes concerné ? Contactez-nous immédiatement. Nous clarifions la situation à distance, nettoyons le compte et nous concertons avec votre hébergeur sur la réactivation.
Ne supprimez rien et ne réinstallez rien pour l'instant. Pas même à la demande de l'hébergeur. Les traces, les journaux et les fichiers doivent être conservés jusqu'à ce que tout soit sécurisé. Appelez-nous ou écrivez-nous sur WhatsApp, ou utilisez Signaler une urgence.
Votre site a-t-il été bloqué ?
Un blocage se manifeste de manières très diverses :
- le site est inaccessible ou affiche une page d'information de l'hébergeur
- un e-mail ou un ticket mentionne « malware », « abuse », « phishing » ou « spam »
- le panneau d'hébergement est bloqué, FTP et messagerie ne fonctionnent plus
- seules certaines fonctions sont désactivées, par exemple l'exécution de PHP ou l'envoi d'e-mails
- le site fonctionne, mais l'hébergeur exige des mesures dans un délai donné
Lisez attentivement la notification : on y trouve souvent des noms de fichiers, des horaires ou des messages importants pour l'analyse. Qui a été coupé par précaution le reconnaît généralement au fait que l'hébergeur ne cite aucun fichier précis. Là aussi, il faut examiner, car une mise hors service ne prouve ni l'infection ni son absence.
Ce que vous faites tout de suite
- Conserver la notification de l'hébergeur : gardez l'e-mail, le ticket et une capture d'écran avec la date. Quel délai a été indiqué ?
- Ne pas nettoyer de votre propre chef. Qui supprime ou renvoie des fichiers peut détruire des traces et risque un nouveau blocage.
- Demander poliment à l'hébergeur : de nommer les éléments trouvés, de conserver les journaux de la période, de préserver l'accès en lecture ou par export de sauvegarde. Vous trouverez un modèle de demande sous Comment interroger votre hébergeur sur l'état des correctifs.
- Vérifier l'envoi d'e-mails : si du spam est parti du serveur, les blocages persistent sinon. Le serveur envoie du spam donne des indications sur la cause.
- Noter les accès : panneau d'administration, FTP, SSH, base de données, back-office du CMS. Ne changez les mots de passe qu'après concertation.
- Clarifier les conséquences pour l'activité : l'accessibilité du site ou de la messagerie est-elle critique pour votre activité ? Dites-le-nous alors tout de suite.
- Nous contacter avant de laisser passer des délais ou de changer d'hébergeur.
Comment PHP SOS aide-t-il concrètement ?
- Faire le point : nous lisons la notification de l'hébergeur, clarifions le compte, l'étendue et les systèmes, et discutons des fonctions encore accessibles.
- Sécuriser et contenir : dans la mesure où l'hébergeur donne accès, nous sécurisons les fichiers, la base de données et les journaux et coupons les accès qui ne sont plus dignes de confiance.
- Examiner et nettoyer : nous recherchons les webshells, les fichiers manipulés, les comptes étrangers et les mécanismes qui rechargent du code malveillant. Le déroulement correspond à Supprimer les logiciels malveillants et les webshells.
- Fermer l'entrée et le démontrer : nous clarifions comment l'attaquant est entré et fermons la faille. Ensuite, nous rédigeons une description compréhensible que vous pouvez remettre à l'hébergeur pour la réactivation.
- Se concerter et durcir : si vous l'autorisez, nous parlons avec votre hébergeur, accompagnons le déblocage et donnons des recommandations pour l'exploitation à long terme.
La page Site web piraté : aide d'urgence décrit comment nous traitons l'incident en général.
Qui est responsable pour les sites bloqués ?
Dans l'hébergement mutualisé, l'hébergeur contrôle le serveur et PHP, et vous contrôlez vos fichiers et vos applications. Que l'hébergeur réagisse à PHP2Shell ne signifie pas que votre site est sain. Inversement, cela ne dispense pas votre hébergeur de ses propres obligations. La répartition est décrite dans Hébergement mutualisé : ce que fait l'hébergeur et ce que vous devez faire. Après un blocage, il vaut la peine de demander quelle version de PHP est réellement en service et si l'état des correctifs est confirmé. Nous ne faisons aucune déclaration sur l'avancement des correctifs d'un hébergeur donné. C'est à lui de le confirmer par écrit.
Un changement peut être judicieux, mais seulement après le nettoyage et non comme voie de fuite, voir Changer d'hébergeur après un incident. Si Google a aussi marqué le site, Faire retirer l'avertissement de Google décrit la marche à suivre ensuite. Que des organisations retirent leurs sites du réseau par précaution est un schéma connu ; ce que les entreprises peuvent en apprendre figure sous Des autorités retirent leurs sites du réseau.
Ce que les hébergeurs veulent généralement voir pour le déblocage
Chaque hébergeur procède différemment, mais l'attente est similaire : vous devez montrer que vous avez compris et éliminé la cause, et pas seulement le symptôme. Sont habituels une courte description des éléments trouvés, la confirmation que le code malveillant a été supprimé et que les identifiants ont été changés, ainsi que l'indication des logiciels qui ont été mis à jour. Certains fournisseurs vérifient ensuite eux-mêmes le compte, d'autres exigent un nouveau ticket. Nous préparons ces documents de manière que vous puissiez les transmettre sans connaissances techniques. Quelles assurances donne votre hébergeur et avec quelle rapidité il réagit, c'est lui qui en décide ; nous n'avons aucune influence là-dessus et nous le disons ouvertement.
Ce que vous devriez nous envoyer
- la notification de l'hébergeur dans sa formulation exacte, avec la date et le délai indiqué
- le nom de l'hébergeur, l'offre et, si elle est connue, la version de PHP
- l'adresse du site et les autres sites du même compte
- les fonctions qui sont bloquées (site, messagerie, panneau, FTP)
- les coordonnées de l'agence ou du développeur, le cas échéant
Pourquoi PHP SOS
Nous travaillons Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous avez un interlocuteur unique, qui accompagne votre dossier et reste joignable pour les questions de votre hébergeur. Nous travaillons à distance, sans déplacement, partout en Allemagne et en Europe. Tout est documenté ; nous ne faisons pas de promesses sur la durée, car elle dépend de l'hébergeur et des constats. Nous travaillons jusqu'à ce que l'incident soit clos et documenté.
Vous êtes concerné ? Appelez-nous. Nous vous aidons.
Un blocage est pénible, mais c'est une occasion claire d'agir. Contactez-nous maintenant, par téléphone ou WhatsApp, et nous prenons le relais dès le premier message. Signaler une urgence maintenant
Questions fréquentes
Pourquoi mon hébergeur a-t-il bloqué mon site ?
Les motifs habituels sont du code malveillant sur le compte, un envoi de spam, une charge inhabituellement élevée ou des attaques parties de votre serveur. L'hébergeur protège ainsi ses autres clients. Une indication sur le blocage figure généralement dans la notification ou dans l'espace client.
Un blocage signifie-t-il que mon site a réellement été piraté ?
Pas dans tous les cas. Certains fournisseurs ont aussi mis des sites hors ligne par précaution dans le contexte de PHP2Shell. Seul un examen montre ce qu'il en est réellement. La notification de blocage est pour cela un premier indice, mais pas un indice complet.
Puis-je simplement demander à l'hébergeur de lever le blocage ?
On peut essayer, mais cela réussit rarement si rien n'a été nettoyé. De nombreux hébergeurs exigent une explication ou une preuve du nettoyage. Si le blocage est levé sans que la cause soit éliminée, le blocage suivant menace.
Dois-je changer d'hébergeur ?
Pas dans la précipitation. Un déménagement emporte le code malveillant s'il déménage avec le reste, et détruit des traces. D'abord nettoyer et clarifier la cause, ensuite décider au sujet de l'hébergeur.
Combien de temps faut-il avant que mon site soit de nouveau en ligne ?
Cela dépend de l'étendue de l'infection, de l'état des journaux et de la réaction de l'hébergeur ; c'est pourquoi nous n'indiquons aucun délai. Après la première évaluation, nous vous disons ce qu'il faut faire et quelles étapes dépendent de l'hébergeur.