Planète Casio a été inaccessible entre Jeudi après-midi (1er Avril) et ce début d'après-midi (7 Avril), affichant une erreur 403 Forbidden à tous les visiteurs.

L'interruption impromptue est le fait d'un système de sécurité chez notre hébergeur, OVH, qui cherche à déterminer s'il y a des fichiers malicieux sur les hébergements web. En cas de menace, l'hébergement est coupé de façon automatique, sans avertissement (!) et un ticket est ouvert pour traquer le problème.

Dans notre cas, OVH a principalement trouvé des .jpg contenant du code PHP uploadés comme avatars ou comme fichiers en téléchargement sur des programmes. Ces fichiers ne sont pas exécutables, cliquer dessus les télécharge juste, et bien sûr Planète Casio empêche les utilisateurs d'envoyer des fichiers nommés .php. Il n'y avait donc pas de menace réelle et certains des fichiers étaient d'ailleurs là depuis 10 ans.

Le support a fait son travail et s'est occupé de notre cas Jeudi, Vendredi et aujourd'hui (puisque week-end prolongé par le Lundi de Pâques). Ultimement les fichiers concernés ont été supprimés pour que le scan automatique ne se plaigne plus, mais on ne sait pas encore quel test exact est fait et comment éviter que ça se reproduise dans le futur.

Ultimement, la décision de couper automatiquement l'hébergement sur la base d'un tel test automatique non documenté est ridicule. OVH est essentiellement en train de nous dire que le service n'est disponible que si on ne stocke aucun fichier suspect sans nous dire ce qui constitue un fichier suspect ; notre binaire de Composer a d'ailleurs été flaggé aussi puis whitelisté.

Le VPS qui héberge la v5 n'est pas touché par ce type de risque puisqu'on gère le serveur entier. Le problème central est de bien gérer les montées de version des logiciels, ce qui est pas évident mais est au moins entre nos mains. Donc on sera ultimement libérés des contraintes arbitraires qui nous ont causé presque une semaine de downtime alors qu'il email aurait bien suffi.

Profitez bien du retour de Planète Casio !