Quand on m'appelle
Souvent, c'est un serveur installé il y a des années par un prestataire qui n'est plus là. Personne ne sait exactement quelle version tourne dessus, qui a les accès, ni si les sauvegardes passent encore. Du coup, on évite d'y toucher.
Parfois c'est plus brutal : le site tombe un jeudi soir, revient le vendredi matin, et c'est un client qui vous l'apprend.
Ce que l'infogérance comprend
- Une supervision installée hors de votre infrastructure, avec alerte automatique. Si tout s'éteint chez vous, elle le voit quand même.
- Les correctifs de sécurité appliqués au fil de l'eau sur le système et les services exposés, avec une fenêtre de maintenance annoncée à l'avance.
- Les certificats TLS et les zones DNS, renouvellements compris.
- Des sauvegardes chiffrées sur plusieurs zones, et des restaurations réellement testées.
- Un délai de rétablissement inscrit au contrat, selon ce que vos services représentent pour votre activité.
- Un rapport mensuel court : incidents, corrections, points à surveiller.
Reprendre un serveur existant
Pas besoin de tout réinstaller. Je commence par un inventaire : machines, noms de domaine, certificats, tâches planifiées, comptes, dépendances que plus personne ne connaît. Ce document vous est remis, même si on s'arrête là.
Vient ensuite la remise à niveau : correctifs en retard, accès à resserrer, sauvegardes à relancer, supervision à installer. Dans la très grande majorité des cas, sans interruption de service.
Les attaques que vous ne voyez pas
Un site WordPress en ligne est attaqué en permanence, même s'il n'intéresse personne en particulier. Sur la quarantaine de sites que j'administre pour une fédération associative, fail2ban a compté, entre fin juillet et fin septembre 2026, plus de 250 000 tentatives de connexion ratées, soit plus de 4 000 par jour, et près de 127 000 appels suspects à l'interface xmlrpc, qui permet de tester des centaines de mots de passe en une seule requête. Plus de 6 000 adresses ont été bannies automatiquement.
Deux autres filtres surveillent l'énumération des comptes par l'API REST et les robots qui cherchent des thèmes ou des extensions vulnérables. Chaque semaine, le site le plus visité de la fédération passe en plus un audit avec WPScan, qui recense les failles connues de WordPress et des thèmes et extensions installés.
Résultat : aucun site compromis depuis 2021, et rien que la fédération ait eu à gérer elle-même.
Ce qui change pour vous
Vous n'êtes plus la seule personne capable de redémarrer le serveur. La plupart des incidents sont traités avant d'être visibles, et ceux qui l'ont été sont expliqués dans le rapport.
Tout est documenté et les comptes d'hébergement sont à votre nom. Si un jour vous travaillez avec quelqu'un d'autre, vous partez avec l'ensemble.
En pratique, on reste souvent. Une fédération associative me confie depuis 2021 l'administration d'une quarantaine de sites, d'abord sous Drupal, aujourd'hui sous WordPress. Tout a commencé par un incendie de datacenter à Strasbourg. Si vous êtes une association ou une fédération, cette page vous concerne directement.