Serveur coupé pour abus : que faire

Vous venez de recevoir un courriel : un de vos serveurs a été coupé pour activité abusive. Pas de panique : aucune suppression automatique n'a lieu. Ce guide explique ce qui s'est passé, ce qui est conservé, comment vérifier si votre serveur a été piraté et comment nous répondre pour le remettre en service.

Pourquoi votre serveur a été coupé

Un système automatique observe le trafic qui sort de chaque VPS. Il ne lit que ses métadonnées — adresses et ports de destination, volumes, débits — et jamais le contenu de vos échanges ni de vos fichiers. Votre serveur a été coupé, sans préavis, parce qu'il a fait l'une de ces choses :

• sonder des centaines d'adresses à la recherche de ports ouverts (balayage) ;
• envoyer un flot massif de paquets vers une même cible (déni de service) ;
• essayer des mots de passe sur de nombreux autres serveurs (force brute) ;
• se connecter à un pool de minage de cryptomonnaies ;
• tenter d'envoyer des emails en masse par le port 25, qui est bloqué.

Le courriel précise lequel. La coupure est immédiate parce que chaque minute d'attaque abîme la réputation de nos adresses et peut faire tomber le service de tous nos clients. L'activité ne vient pas forcément de vous : un mot de passe trop simple ou une application pas à jour suffisent pour que quelqu'un d'autre se serve du serveur.

Ce qui est conservé

• son adresse IP et son disque sont conservés, et les données qu'il contient restent en place pendant la coupure ;
• aucune suppression automatique n'a lieu, quel que soit le délai ;
• le serveur est arrêté et ne vous est plus facturé le temps de la coupure ; ses instantanés, s'il en a, restent facturés tant qu'ils existent ;
• vos autres serveurs continuent de fonctionner normalement.

Dans la console, le serveur apparaît comme coupé et ne peut pas être redémarré de votre côté : seule notre équipe lève une coupure pour abus.

Nous répondre dans les 72 heures

Répondez simplement au courriel reçu, ou écrivez-nous depuis le menu Support de la console. Vous avez 72 heures pour le faire ; passé ce délai, nous décidons de la suite sans votre réponse. Dites-nous :

• ce qui tournait sur le serveur (site, application, outils) ;
• si vous reconnaissez l'activité constatée, ou si vous pensez à une erreur ;
• ce que vous comptez faire : vérifier et nettoyer le serveur, ou le supprimer.

Si vous pensez à une erreur, dites-le : un usage légitime mal interprété arrive ; nous examinons votre réponse et levons la coupure si elle est justifiée.

Vérifier si votre serveur a été piraté

Si, après examen de votre réponse, nous levons la coupure, le serveur redémarre tel qu'il était. Avant de le remettre au service de vos visiteurs, faites le tour de ces points, depuis SSH ou, s'il ne répond plus, depuis la Console de secours de la fiche du serveur :

# Dernières connexions au serveur
last -n 20

# Connexions réseau ouvertes et programmes associés
sudo ss -tunp

# Programmes qui consomment le plus de processeur
ps aux --sort=-%cpu | head -n 15

# Tâches planifiées, de root et des utilisateurs
sudo ls /etc/cron.d /var/spool/cron/crontabs

# Clés SSH autorisées
cat ~/.ssh/authorized_keys

Une connexion depuis une adresse que vous ne connaissez pas, un programme au nom étrange qui occupe le processeur, une tâche planifiée ou une clé SSH que vous n'avez pas ajoutées : le serveur a été piraté.

Dans ce cas, le plus sûr est de repartir d'une machine propre : commandez un nouveau serveur, appliquez les protections du guide Sécuriser son VPS Linux, copiez-y vos données (pas les programmes), puis supprimez l'ancien. À défaut, changez tous les mots de passe, retirez les clés inconnues, mettez à jour le système et vos applications.

Ce qui se passe ensuite

Une fois la coupure levée, le serveur reprend sa vie normale, et sa facturation aussi. Une nouvelle coupure pour abus dans les 90 jours qui suivent la levée entraîne la suspension de votre compte : l'accès à la console est bloqué et vos autres VPS sont coupés de la même façon. En cas de récidive ou de manquement grave, le compte peut être résilié après mise en demeure, comme le prévoient les conditions générales.

Et sur un serveur dédié ?

Nous n'observons pas le trafic d'un serveur dédié : ce sont les plaintes de notre fournisseur qui nous alertent. Nous vous les transmettons, et une plainte fondée peut entraîner la coupure du réseau du serveur. Le mois en cours reste dû pendant la coupure. La marche à suivre est la même : vérifier, nous répondre, corriger.