La progression suit le temps de l’incident, de la découverte à la surveillance. L’angle retenu, « chronologie d’une reprise maîtrisée », commence par une observation prudente de l’installation et de son contexte. Un symptôme visible peut provenir d’un compte détourné, d’un composant vulnérable, d’un fichier modifié ou d’une donnée injectée. La réponse doit donc préserver un retour arrière, limiter les changements concurrents et définir ce qui sera considéré comme une reprise acceptable.
Distinguer une anomalie d’un changement légitime
Des redirections inattendues, des comptes inconnus, des pages ajoutées ou des alertes de l’hébergeur doivent être examinés sans précipitation. Un symptôme visible ne révèle pas forcément le point d’entrée ni toutes les modifications réalisées. Pour ce checklist chronologique, la vérification doit produire un résultat que l’intervenant peut noter et comparer. Pour approfondir cette étape, la méthode détaillée dans [[ANCRE]] peut servir de repère avant de poursuivre. Il faut rapprocher les observations du tableau de bord, des journaux, des fichiers récents et du comportement public du site. Les faux positifs site WordPress infecté existent, notamment après une mise à jour, une migration ou une modification légitime. La collecte d’indices doit aboutir à une liste vérifiable plutôt qu’à une impression générale.
Vérifier les sites et services qui partagent des accès
Le périmètre inclut le site, ses sous-domaines, l’hébergement, les procédure nettoyage virus WP comptes associés et les services qui publient ou reçoivent des données. Une installation multisite, une préproduction ou un ancien répertoire peut partager des secrets avec le site principal. Pour ce checklist chronologique, la vérification doit produire un résultat que l’intervenant peut noter et comparer. Les autres sites du même hébergement doivent être vérifiés si les permissions ou les comptes sont communs. Le périmètre doit être ajusté dès qu’un indice montre une propagation ou une origine plus large. Écrire ce qui est inclus et exclu évite les malentendus entre les intervenants.
Placer les opérations irréversibles au bon moment
L’ordre des opérations protège les preuves, limite les interruptions et évite qu’une correction en masque une autre. Les étapes irréversibles viennent après les sauvegardes, la définition du périmètre et la sécurisation des accès essentiels. Le contrôle doit rester proportionné à l’incident tout en couvrant les chemins qui pourraient maintenir la compromission. Les vérifications rapides servent à orienter le plan, pas à remplacer le contrôle approfondi. Chaque étape doit produire un résultat observable qui conditionne la suivante. Cette logique réduit les retours en arrière et facilite la coordination entre plusieurs intervenants.
Conserver une chronologie claire des décisions
Une communication utile sépare clairement ce qui est établi, ce qui reste à vérifier et les mesures déjà engagées. Les personnes à informer dépendent des fonctions touchées, des données concernées et des conséquences sur le service. Un relevé des actions, des décisions et des intervenants facilite le suivi et l’analyse après incident. L’enjeu n’est pas de multiplier les manipulations, mais de savoir pourquoi chacune est réalisée et comment son effet sera vérifié. Le bilan peut rester transparent sur les corrections tout en limitant la diffusion d’informations techniques sensibles. Annoncer trop tôt un retour complet à la normale peut fragiliser la confiance si une persistance apparaît ensuite.
Tester les fonctions critiques avant le reste
Réactiver les fonctions par étapes permet d’identifier plus facilement l’origine d’un comportement encore anormal. La remise en service doit réconcilier deux exigences : éviter une nouvelle compromission et restaurer les fonctions prioritaires. Une fois le fonctionnement confirmé, une nouvelle sauvegarde de référence et un relevé des changements clôturent la reprise. Cette lecture évite d’interpréter trop vite une anomalie et aide à séparer les corrections urgentes des améliorations de fond. Les parcours critiques doivent être validés en premier, puis les fonctions moins sensibles et les services connectés. La cohérence de la reprise dépend aussi des caches, des traitements planifiés et des plateformes qui échangent avec WordPress.
