PrestaShop piraté ? Nous le nettoyons en moins de 24 heures

Voici le contrat du Nettoyage de boutique PrestaShop piratée : ce que nous faisons sur votre boutique et sur son serveur, en combien de temps, ce dont nous avons besoin de votre part, ce que couvre la garantie et quand nous vous remboursons. C'est un contrat entre entreprises, qui s'adresse uniquement aux entreprises et aux professionnels qui souscrivent pour leur activité (section 1). Lisez-le avant de souscrire : lors du paiement, vous cochez une case indiquant que vous l'acceptez. Nous vous en envoyons une copie en PDF avec la confirmation de commande, et vous la retrouvez toujours dans cette commande, dans votre compte.

Qui conclut ce contrat

D'une part, BK Modules LLC, qui exerce sous le nom commercial BK Modules : société à responsabilité limitée constituée dans l'État du Nouveau-Mexique (États-Unis), dont le siège est situé 102 Gold Ave SW, Albuquerque, NM 87102, États-Unis, et dont le numéro d'identification fiscale américain (EIN) est 35-2838640. E-mail : bkmodules@bkmodules.com. Téléphone : +1 (813) 214-0078. Dans le présent contrat, « nous ».

D'autre part, l'entreprise ou le professionnel qui souscrit avec son compte bkmodules.com. Dans le présent contrat, « vous ». Si vous souscrivez au nom d'une entreprise ou de l'un de vos clients, vous nous confirmez être habilité à le faire et que cette entreprise ou ce client est lié par le présent contrat.

Uniquement pour les entreprises et les professionnels

Le présent contrat s'adresse uniquement aux entreprises et aux professionnels qui souscrivent le nettoyage pour leur activité commerciale, artisanale, libérale ou professionnelle. En souscrivant, vous déclarez que tel est votre cas. La réglementation de protection des consommateurs ne s'applique pas, et il n'y a pas de droit de rétractation.

Ce que régit ce contrat

Le Nettoyage de boutique PrestaShop piratée est un service à paiement unique : nous nettoyons une boutique PrestaShop attaquée et son serveur, nous fermons la faille par laquelle les attaquants sont entrés et nous vous donnons 30 jours de garantie. Il ne se renouvelle pas et n'est pas facturé une seconde fois. Pour ce que le présent contrat ne prévoit pas, les conditions générales de vente de bkmodules.com s'appliquent, et si les deux prévoient des choses différentes concernant le nettoyage, le présent contrat prévaut.

Les termes que nous employons

• Boutique : l'installation PrestaShop que vous indiquez lors de la souscription, avec son domaine. Le nettoyage porte sur une seule Boutique.
• Serveur : la machine sur laquelle la Boutique est installée, qu'il s'agisse d'un serveur, d'un VPS ou d'un hébergement. Le nettoyage porte sur un seul Serveur.
• Accès : les identifiants, mots de passe, clés et données de connexion que vous nous fournissez pour travailler sur la Boutique et sur le Serveur.
• Code malveillant : ce que quelqu'un a placé dans la Boutique ou sur le Serveur sans votre autorisation pour voler des données ou des paiements, détourner vos visiteurs, envoyer du spam ou revenir plus tard. Il peut s'agir d'un fichier, de code glissé dans un fichier sain, de données dans la base de données, d'un utilisateur, d'une clé ou d'une tâche planifiée.
• Point d'entrée : la faille par laquelle l'attaquant est entré. Par exemple, un module présentant une faille de sécurité connue, un mot de passe volé ou un fichier oublié sur le Serveur.
• Rapport : le document que nous vous envoyons à la fin, avec ce que nous avons trouvé, ce que nous avons fait et ce que nous vous recommandons.
• Livraison : le moment où nous vous envoyons le Rapport et vous annonçons que le travail est terminé.
• Réinfection : la réapparition de Code malveillant dans la Boutique ou sur le Serveur après la Livraison.

Ce dont nous avons besoin pour travailler : vos Accès

Pour commencer, nous avons besoin de deux Accès : l'accès SSH au Serveur avec l'utilisateur root, c'est-à-dire avec l'administration complète du Serveur, et le back-office de PrestaShop avec un profil SuperAdmin. Sans root, nous ne touchons à rien : le délai ne commence pas, et si vous ne l'obtenez pas dans les 7 jours qui suivent le paiement, le remboursement de la section 9 s'applique.

Vous nous les fournissez dans votre compte bkmodules.com, dans le formulaire dont nous vous envoyons le lien avec la confirmation du paiement. Si votre hébergement est mutualisé, demandez à votre hébergeur s'il vous donne root avant de souscrire.

Ce que laisse un attaquant se trouve en général en dehors du dossier de la boutique : dans des tâches planifiées, chez d'autres utilisateurs du système ou dans des fichiers qu'un accès limité ne permet ni de voir ni de modifier. Avec un accès limité, nous ne saurions pas si le Serveur est propre, c'est pourquoi nous ne commençons qu'avec root. Si root cesse de fonctionner pendant notre intervention, nous nous arrêtons jusqu'à ce qu'il soit rétabli.

Les mises à jour des modules

Il nous faut aussi les mises à jour des modules qui doivent être mis à jour, car un module qui présente une faille de sécurité reste une porte ouverte. Nous vous indiquons lesquels dès que nous les trouvons. Ceux d'autres éditeurs se téléchargent depuis votre compte sur leur site ou sur PrestaShop Addons, car la licence est à votre nom : vous nous fournissez les fichiers ou l'accès à ce compte. Si le téléchargement de la nouvelle version exige d'acheter ou de renouveler une licence ou un support, ce paiement est à votre charge.

Si un travail nécessite votre panneau d'hébergement (par exemple Plesk ou cPanel), votre compte Google Search Console ou un autre service, nous vous le demandons et vous nous le fournissez par le même formulaire.

Comment nous conservons vos Accès

• Chiffrés, dans un gestionnaire de mots de passe. Jamais dans des e-mails, des tickets ou des documents.
• Seules les personnes qui travaillent sur votre Boutique, tenues au secret, les utilisent, et uniquement pour le présent contrat.
• Nous ne les communiquons à personne, sauf si une loi ou un tribunal nous y oblige. Dans ce cas, si cela nous est permis, nous vous prévenons.
• Nous les conservons jusqu'à la fin de la garantie, pour pouvoir intervenir de nouveau en cas de Réinfection. Si vous nous demandez de les supprimer avant, nous le faisons, et pour faire jouer la garantie ensuite, vous devrez nous les fournir de nouveau.
• À la fin du contrat, nous les supprimons. Si nous avons installé une clé SSH qui nous appartient sur le Serveur, nous la retirons, si nous y avons encore accès. Nous vous recommandons néanmoins de changer les mots de passe que vous nous avez fournis.
• Si nous soupçonnons que quelqu'un a pu prendre connaissance de vos Accès sans autorisation, nous vous prévenons sans délai pour que vous les changiez.

Ce que nous faisons

1. Avant de toucher à quoi que ce soit, nous copions les fichiers et la base de données de la Boutique tels qu'ils sont. Cette copie permet d'annuler une modification si besoin et garde la trace de ce qu'il y avait.
2. Nous cherchons le Code malveillant dans les fichiers de la Boutique et du Serveur, dans la base de données, dans les utilisateurs, dans les tâches planifiées et dans les journaux du Serveur, et nous identifions le Point d'entrée.
3. Nous retirons le Code malveillant des fichiers et de la base de données, ainsi que les utilisateurs, les clés et les tâches laissés par l'attaquant. Si un fichier de PrestaShop ou d'un module a été modifié, nous le remplaçons par l'original de la même version.
4. Nous fermons le Point d'entrée pour qu'ils ne puissent plus entrer par là : selon le cas, nous mettons à jour ou corrigeons le module vulnérable, supprimons le fichier oublié ou changeons le mot de passe volé. Avec les fichiers que vous nous fournissez (section 4), nous mettons aussi à jour les autres modules de la Boutique qui présentent une faille de sécurité connue.
5. Nous faisons un durcissement de base. Nous changeons les mots de passe et les clés des administrateurs de PrestaShop, de la base de données et du Serveur, et nous vous donnons les nouveaux. Nous supprimons les administrateurs et les utilisateurs que vous ne reconnaissez pas, le dossier d'installation et les fichiers inutiles, nous corrigeons les droits des fichiers et nous empêchons l'exécution de code dans les dossiers où sont envoyés les images et les documents.
6. Nous mettons le Serveur à jour avec toutes les modifications qui sont à notre portée : les mises à jour des paquets, les correctifs de sécurité, la configuration et, si nécessaire, la version de PHP, que nous montons jusqu'à la plus élevée qu'acceptent votre PrestaShop et ses modules. La seule chose que nous ne faisons pas, c'est passer le Serveur à une autre version du système d'exploitation (section 6).
7. Si Google ou le navigateur avertit vos visiteurs que la Boutique est dangereuse, ou si votre domaine figure sur une liste de spam et que vos e-mails n'arrivent plus, une fois le travail terminé, nous demandons à l'organisme à l'origine de l'alerte de réexaminer la Boutique. Pour Google, nous le faisons depuis la Search Console, avec votre accès. Le retrait de l'alerte relève de leur décision et prend en général de quelques heures à quelques jours.
8. Nous vous envoyons le Rapport, avec ce que nous avons trouvé, par où ils sont entrés, ce que nous avons fait et ce que nous vous recommandons. Les recommandations nécessaires pour la garantie sont signalées, chacune avec son délai.

Ce que l'attaque ou notre nettoyage casse dans la Boutique, nous le réparons dans le cadre de ce travail. Si le nettoyage oblige à fermer la Boutique au public pendant un moment, ou si une modification peut affecter les ventes, nous vous l'expliquons au préalable et attendons votre accord.

Nous conservons la copie du premier point jusqu'à la fin de la garantie, puis nous la supprimons. Si vous souhaitez porter plainte pour l'attaque, demandez-la-nous avant et nous vous la remettrons.

Ce que ne comprend pas le nettoyage

• La mise à jour de PrestaShop, que ce soit vers une autre version ou vers un correctif de la même version, même lorsque votre version n'accepte aucune version de PHP qui reçoive encore des correctifs de sécurité. Si le Point d'entrée ne peut être fermé qu'en le mettant à jour, nous vous l'indiquons dans le Rapport et vous en faisons un devis séparé.
• Le passage du Serveur à une autre version du système d'exploitation. Si c'est nécessaire, il faudra peut-être transférer la Boutique vers un autre serveur ou hébergement, ce que nous chiffrons et convenons avec vous séparément.
• La maintenance après la Livraison. Surveiller la Boutique, la mettre à jour et corriger ce qui ne fonctionne plus à partir de ce moment relève d'un autre contrat, la Maintenance PrestaShop.
• La récupération des données que l'attaque a supprimées ou abîmées, comme les commandes, les clients, les produits ou les images. Si vous disposez d'une sauvegarde saine, nous vous indiquons ce qui peut en être récupéré, dans le cadre d'un travail séparé.
• La correction de défauts qui ne viennent pas de l'attaque, le développement de nouvelles fonctionnalités ou la modification du design.
• L'achat de licences ou de renouvellements de modules d'autres éditeurs.
• La récupération des visites ou des positions dans Google perdues à cause de l'attaque. Pour les alertes de Google, des navigateurs et des listes de spam, ce qui est inclus, c'est la demande de réexamen (section 5).
• Les autres sites, boutiques ou comptes du même Serveur, ainsi que les comptes de messagerie. Si nous constatons qu'ils sont également infectés, nous vous le disons.
• Une expertise ou un rapport ayant valeur de preuve devant un tribunal, le dépôt de plainte et les avis à vos clients, à votre banque, à votre passerelle de paiement ou à l'autorité de protection des données.

Ce qui n'est pas inclus, nous l'évaluons et vous en faisons un devis séparé, et c'est vous qui décidez.

En combien de temps

Nous vous livrons la Boutique nettoyée en moins de 24 heures, comptées d'affilée, de jour comme de nuit, tous les jours de la semaine, week-ends et jours fériés compris.

• Les 24 heures commencent lorsque nous disposons des deux Accès de la section 4 et qu'ils fonctionnent : le SSH root et le back-office SuperAdmin. Avant cela, nous ne commençons pas à travailler. S'il en manque un ou s'il ne fonctionne pas, nous vous le disons dès que nous le constatons.
• Le délai est suspendu tant que nous attendons quelque chose que vous seul pouvez nous fournir, du moment où nous vous le demandons jusqu'à ce que nous l'ayons : la mise à jour d'un module, un autre accès, root s'il cesse de fonctionner ou votre accord sur une modification qui affecte les ventes.
• Le délai prend fin avec la Livraison.

Garantie de 30 jours

En cas de Réinfection dans les 30 jours qui suivent la Livraison, nous nettoyons de nouveau la Boutique et le Serveur sans frais, à condition que tout le travail de la section 5 ait pu être fait. Pour cela, toutes ces conditions doivent être réunies :

• Tous les modules que nous vous avons demandé de mettre à jour ont été mis à jour.
• Vous avez appliqué, dans le délai indiqué, les recommandations que le Rapport signale comme nécessaires pour la garantie.
• Si le Point d'entrée ne pouvait être fermé qu'en mettant à jour PrestaShop ou le système d'exploitation, cette mise à jour a été faite.
• Personne n'a défait ce que nous avons fait ni rouvert le Point d'entrée.

Quand la garantie ne s'applique pas

La garantie ne couvre pas la Réinfection dans les cas suivants :

• Un module que nous vous avons demandé de mettre à jour ne l'est toujours pas, ou vous ne nous avez pas fourni ses fichiers.
• Vous n'avez pas appliqué les recommandations signalées comme nécessaires pour la garantie.
• Quelqu'un (vous, votre équipe, un autre prestataire ou votre hébergeur) modifie ce que nous avons fait, installe de nouveaux modules ou thèmes ou intervient sur le Serveur, et cela rouvre le Point d'entrée ou en ouvre un autre.
• L'attaquant entre avec un mot de passe valide volé en dehors de la Boutique et du Serveur : sur votre ordinateur, dans votre messagerie, dans votre panneau d'hébergement ou auprès d'une personne de votre équipe.
• L'attaque vient d'autres sites ou comptes du même Serveur qui n'entrent pas dans le nettoyage, ou de l'infrastructure de votre hébergeur.
• L'attaque exploite une faille de sécurité qui n'était pas publiquement connue le jour de la Livraison.
• Vous nous prévenez après les 30 jours.

Comment la demander

Écrivez-nous à bkmodules@bkmodules.com dans les 30 jours en nous décrivant ce que vous constatez. Nous vérifions s'il s'agit d'une Réinfection et si la garantie la couvre, et nous vous le disons. Si elle la couvre, nous la nettoyons en moins de 24 heures à partir du moment où nous disposons d'Accès qui fonctionnent, root compris, selon les règles de la section 7, et la garantie repart pour 30 jours à compter de cette nouvelle Livraison. Si elle ne la couvre pas, nous vous expliquons pourquoi et vous faisons un devis pour le nettoyage.

Quand nous vous remboursons

Si nous ne pouvons pas faire le travail pour une raison qui nous est imputable, nous vous remboursons tout ce que vous avez payé.

S'il ne peut pas être fait pour une raison qui ne dépend pas de nous, nous vous remboursons ce que vous avez payé, moins 99 € de frais de gestion, qui couvrent le temps que nous réservons pour votre Boutique, l'examen de ce que vous nous fournissez et la gestion du paiement et du remboursement. Si vous avez payé dans une autre devise, nous déduisons le montant équivalent dans cette devise indiqué dans le « Récapitulatif financier ». Cela s'applique uniquement dans les cas suivants :

• Dans les 7 jours qui suivent le paiement, vous ne nous avez pas fourni les Accès de la section 4 avec root, alors que nous vous les avons demandés et rappelés. Comme nous ne commençons pas sans root, passé ce délai de 7 jours, nous vous remboursons le montant avec cette déduction.
• Les Accès que vous nous fournissez ne fonctionnent pas, ou root cesse de fonctionner pendant notre intervention, et vous ne le corrigez pas dans les 7 jours qui suivent notre avis.
• Votre hébergeur empêche le travail, parce qu'il ne donne pas d'accès root, suspend le compte ou bloque l'intervention, et la situation n'est pas réglée en 7 jours.
• Vous annulez la commande avant que nous commencions, c'est-à-dire avant notre première connexion à la Boutique ou au Serveur avec vos Accès.
• Ce qu'il faut nettoyer n'est pas ce que vous avez souscrit, parce qu'il ne s'agit pas d'une boutique PrestaShop ou qu'il y a plusieurs boutiques ou serveurs, et vous n'acceptez pas le devis pour ce qui dépasse une Boutique et un Serveur.

Si le travail reste inachevé pour l'un de ces motifs, nous vous envoyons aussi ce que nous avons trouvé jusque-là.

Une fois la Livraison faite, il n'y a pas de remboursement. En dehors des cas de la présente section, les sommes payées ne sont pas remboursées.

Nous remboursons le montant dans les 14 jours qui suivent la survenance du cas, par le même moyen que celui utilisé pour le paiement.

Vos obligations

• Nous fournir les Accès de la section 4, avec root, et les mises à jour des modules, et tenir les Accès à jour jusqu'à la fin de la garantie.
• Payer les licences ou les renouvellements de modules d'autres éditeurs qui sont nécessaires.
• Répondre au plus vite à nos questions. Tant que nous attendons votre réponse, le délai est suspendu.
• Ne rien modifier dans la Boutique ni sur le Serveur pendant que nous travaillons, ni laisser d'autres le faire. Si une autre personne ou entreprise travaille également dessus, dites-le-nous.
• Appliquer les recommandations du Rapport, en particulier celles signalées comme nécessaires pour la garantie.
• Avoir le droit d'utiliser ce qui se trouve sur la Boutique : le thème, les modules et leurs licences, ainsi que les contenus.
• Utiliser le service à des fins licites, sans rien nous demander qui soit contraire à la loi ou aux droits d'autrui.

Confidentialité et données personnelles

Tout ce que nous voyons de votre activité en travaillant sur la Boutique et sur le Serveur (données, ventes, configuration, code, documents) est confidentiel. Nous ne l'utilisons que pour le présent contrat et nous ne le communiquons à personne, y compris après la fin du contrat. Cela ne s'applique pas à ce qui est déjà public ni à ce qu'une loi ou un tribunal nous oblige à divulguer.

La façon dont nous traitons vos données est décrite dans la politique de confidentialité.

En travaillant sur la Boutique, nous traitons des données personnelles de vos clients. Pour ces données, vous êtes le responsable du traitement et nous sommes votre sous-traitant, avec les engagements de la section « Les données de vos clients lorsque nous intervenons sur votre boutique » des conditions générales, qui font partie du présent contrat : les traiter uniquement pour ce travail et selon vos instructions, avec confidentialité et des mesures de sécurité appropriées ; vous avertir sans délai de toute violation ; ne pas faire appel à d'autres sous-traitants sans vous en informer au préalable ; vous aider à répondre aux demandes d'exercice des droits de vos clients, et supprimer ce que nous détenons à la fin. Comme nous sommes établis aux États-Unis, l'accès à ces données s'effectue avec les garanties que l'Union européenne reconnaît pour ces situations, décrites dans la politique de confidentialité.

Si l'attaque a exposé des données de vos clients

Dans le Rapport, nous vous indiquons quelles données de vos clients étaient à la portée de l'attaquant et, si on peut le savoir, s'il les a emportées. Décider s'il faut prévenir l'autorité de protection des données, vos clients ou votre passerelle de paiement, et le faire, vous revient en tant que responsable du traitement. Dans l'Union européenne, la notification à l'autorité se fait dans les 72 heures après en avoir pris connaissance : si vous pensez être concerné, commencez à la préparer sans attendre le Rapport.

Responsabilité

Nous travaillons sur votre Boutique avec la diligence et les compétences d'un professionnel, et nous nous engageons à bien faire le travail de la section 5, dans le délai de la section 7, et à respecter la garantie de la section 8. Personne ne peut garantir qu'une boutique ne sera plus jamais attaquée, et en cas de Réinfection, ce que nous vous devons, c'est cette garantie.

Nous ne sommes pas responsables :

• des dommages indirects, tels que le manque à gagner, la perte de ventes, de clients ou de données, et les interruptions de votre activité ;
• des conséquences de l'attaque, telles que les données ou les paiements dérobés, les sanctions, les réclamations de vos clients et les alertes de Google et des antivirus ;
• de ce que causent votre hébergeur, les modules, thèmes et services tiers, les modifications apportées par d'autres à la Boutique ou au Serveur et l'absence d'Accès ou de sauvegardes ;
• de ce que nous faisons en suivant vos instructions.

Notre responsabilité totale au titre du présent contrat ne peut excéder les sommes que vous nous avez versées à ce titre. Rien de ce qui précède ne limite notre responsabilité en cas de dol ou de faute lourde, ni celle que la loi ne permet pas de limiter.

Nous ne sommes pas non plus responsables des retards causés par des événements échappant raisonnablement à notre contrôle, tels que des pannes générales d'internet ou du réseau électrique, des passerelles de paiement ou des services tiers dont nous dépendons.

Quand le contrat prend fin

• À la fin de la garantie, 30 jours après la Livraison ou après le dernier nettoyage effectué au titre de la garantie, ou lorsque nous vous remboursons (section 9).
• Nous pouvons arrêter le travail si vous nous demandez quelque chose d'illégal ou si vous utilisez les Accès ou le service pour nuire à autrui, après vous avoir prévenu, sauf si la gravité des faits impose d'agir immédiatement.
• À la fin, nous supprimons vos Accès comme le prévoit la section 4, la copie de l'état dans lequel nous avons trouvé la Boutique et les copies de travail. Le Rapport, vous le gardez.

Communications par voie électronique

Vous acceptez que le présent contrat, le Rapport et les autres communications relatives au nettoyage vous parviennent par voie électronique : par e-mail à l'adresse de votre compte et dans votre compte bkmodules.com. Pour les recevoir, il vous suffit d'un navigateur, d'un logiciel de messagerie et de pouvoir ouvrir un PDF. Vous pouvez nous demander gratuitement une copie papier de chacun d'eux. Tenez à jour votre adresse e-mail, car les avis que nous y envoyons sont réputés remis.

Modifications du présent contrat

Nous pouvons mettre à jour le présent contrat. Chaque version porte son numéro et sa date d'entrée en vigueur, et s'applique aux nettoyages souscrits à partir de cette date. Votre nettoyage, garantie comprise, est toujours régi par la version que vous avez acceptée au moment de payer.

Droit applicable et tribunaux compétents

Le présent contrat est régi par les lois de l'État du Nouveau-Mexique et par les lois fédérales des États-Unis applicables.

Tout litige est soumis aux tribunaux de l'État ou aux tribunaux fédéraux siégeant dans le comté de Bernalillo (Albuquerque, Nouveau-Mexique).

Contact

BK Modules LLC · 102 Gold Ave SW, Albuquerque, NM 87102, États-Unis · bkmodules@bkmodules.com · +1 (813) 214-0078