northgate-advisors.com

Une copie du fichier de configuration principal de WordPress a été laissée dans le dossier public avec une extension de fichier différente. Comme cette extension n'est pas .php, le serveur ne l'exécute pas, il transmet simplement le texte. Lorsque l'on interroge cette adresse sur Internet, on obtient le fichier dans son intégralité, qui contient le nom de la base de données, l'identifiant de l'utilisateur de la base de données, le mot de passe de la base de données, ainsi que les neuf éléments d'authentification clés et sels, ainsi que la clé d'envoi Mailgun. Nous avons vérifié que le fichier a été mis à disposition le 30 juillet 2026 et n'avons pas conservé de copie de son contenu.

Ce que cela signifie concrètement. La clé de messagerie permet à n'importe qui d'envoyer des e-mails qui semblent provenir de votre domaine, ce qui constitue un moyen tout trouvé de pratiquer le phishing à l'encontre de vos propres clients. Les clés d'authentification permettent à un attaquant de falsifier des sessions et des formulaires. Le mot de passe de la base de données est limité par le fait que celle-ci n'accepte que les connexions provenant du serveur lui-même et que le port de la base de données n'est pas accessible depuis l'extérieur, ce que nous avons vérifié ; il n'est donc pas directement utilisable depuis Internet, mais il devient immédiatement utilisable par quiconque parvient à s'introduire sur ce serveur.

Quatre dossiers distincts contiennent les documents des clients que le serveur web met à la disposition de toute personne qui en fait la demande. Nous avons vérifié qu'un fichier de chaque ensemble pouvait être téléchargé sans problème depuis l'Internet public, et nous n'en avons conservé aucun.

• 5 606 documents fiscaux dans uploads/client-statements/, nommé dans une séquence simple (statement_5393.pdf, statement_3084.pdf). Le dossier n'est protégé par aucun moyen de sécurité et la numérotation est prévisible, ce qui permet de parcourir l'ensemble de la série. Les scanners automatisés procèdent ainsi systématiquement.
• 27 factures dans wp-content/billing_invoices_temp/, intitulé invoice-4395.pdf et d'autres similaires, tout aussi faciles à deviner. Le dossier contient bien une règle d'accès, mais celle-ci est écrite pour Apache alors que votre site fonctionne sous nginx ; elle n'a donc aucun effet.
• 1 113 fichiers envoyés via vos formulaires dans uploads/fluentform/.
• 1 248 pièces jointes répartis dans 248 dossiers de tickets d'assistance dans uploads/fluent-support/. Il s'agit des ensembles les plus sensibles parmi les quatre : les noms de fichiers eux-mêmes, visibles dans l'adresse, font référence à des attestations fiscales, des relevés bancaires, des polices d'assurance et des relevés de comptes d'investissement, chacun étant associé au nom de famille d'un client.

Une distinction est importante pour déterminer le degré d’urgence de chaque ensemble. Les documents fiscaux et les factures sont numérotés de manière séquentielle ; ainsi, n’importe qui peut les répertorier sans rien savoir de votre site. Les fichiers de formulaires et de tickets comportent une chaîne aléatoire dans leur nom ; ils ne peuvent donc pas être devinés un par un, mais rien n’empêche non plus d’y accéder : le nom suffit, et celui-ci peut être divulgué via l’historique du navigateur, les en-têtes de référence, les liens partagés, ainsi qu’à toute personne ayant accès à la base de données. L’obscurité n’est pas une protection.

Il s'agit de données relatives à la fiscalité, à la facturation et à la correspondance des clients, qui constituent des données à caractère personnel sensibles au sens du RGPD. Considérez la possibilité d'un accès non autorisé comme un risque réel et non théorique, étant donné que le site était également sous le contrôle des pirates au cours de cette même période.

Votre module de sécurité tente effectivement d'empêcher l'exécution des fichiers PHP dans le dossier « media », mais il le fait à l'aide d'une règle .htaccess, or les fichiers .htaccess sont une fonctionnalité d'Apache que nginx ignore complètement. Toutes les règles de ce type sur ce site sont inactives, y compris celle-ci.

Nous l'avons vérifié directement. Un fichier PHP existant dans le dossier « media » a été sollicité depuis Internet et le serveur l'a exécuté au lieu de renvoyer son contenu. Le contrôle des règles de protection de votre site a abouti à la même conclusion le 27 juillet : l'exécution de code PHP dans le dossier « media » n'est pas bloquée.

C'est plus grave qu'il n'y paraît. La porte dérobée découverte le 28 juillet était un fichier PHP situé précisément dans ce dossier, dissimulé sous un GIF89a en-tête afin qu'il soit considéré comme une image lors du téléchargement. La suppression de ce fichier a permis de résoudre le problème. Tant que les téléchargements peuvent s'exécuter, la prochaine faille liée au téléchargement de fichiers dans l'un de vos 54 plugins produira à nouveau le même résultat.

Trois comptes disposant de tous les droits d'administrateur se sont connectés au site entre le 22 et le 23 juillet. Leurs adresses e-mail indiquent les outils utilisés : shellcode.lol, shelltool.invalid, ainsi qu'un nom généré automatiquement associé à un nom de domaine d'apparence plausible. Chacun d'entre eux s'est connecté avec succès dès la première tentative, sans avoir essuyé d'échec préalable, ce qui exclut toute hypothèse de devinette de mot de passe et signifie que les comptes ont été créés par la personne qui les a ensuite utilisés.

Votre équipe a supprimé ces trois comptes entre le 23 et le 26 juillet, et il ne reste aujourd’hui aucun administrateur inattendu. C’est la bonne issue, mais un compte disposant de droits d’administrateur peut tout faire avant d’être supprimé : installer un plugin, modifier des fichiers de thème, consulter l’intégralité de la base de données, exporter des données clients. Partons du principe que tout cela était possible pendant ces quelques jours.

Le 28 juillet à 01 h 03, l'analyse anti-malware de votre site a signalé un fichier du dossier « media » comme malveillant, avec un niveau de gravité de 100. Le fichier était dissimulé sous la forme d'une image (il commençait par le texte GIF89a) et son code assemblait, lettre par lettre, les noms de fonctions dangereuses afin de déjouer les scanners. Ces fonctions permettaient d’accepter un fichier téléchargé, d’écrire des fichiers sur le disque et d’exécuter des commandes système. En clair : un outil permettant de télécharger n’importe quoi et d’exécuter des commandes sur votre serveur.

Le fichier a disparu du site aujourd’hui et nous avons vérifié que l’adresse renvoie désormais une réponse « page introuvable ». L’alerte figure toutefois toujours dans la liste des alertes nouvelles et non traitées ; or, la notification était activée avec une adresse de destination valide à ce moment-là, ce qui signifie que quelqu’un aurait dû recevoir un e-mail à ce sujet le 28 juillet. Ce même scan recense également 35 plugins et thèmes obsolètes, dont aucun n’a non plus fait l’objet d’une prise en compte.

Un outil de diagnostic autonome est installé à la racine de votre site. Nous avons vérifié que l'adresse était correcte le 30 juillet. Cet outil ne fait pas partie de WordPress et n'utilise pas les identifiants de connexion à WordPress ; il est protégé par un mot de passe unique qui lui est propre. L'outil peut lire votre journal de débogage, réécrire votre fichier de configuration principal et enregistrer le texte complet des requêtes de base de données, c'est pourquoi SAVEQUERIES est activée dans votre configuration et pourquoi un fichier d'interception de la base de données se trouve dans wp-content.

Le texte des requêtes de base de données n’est pas un contenu anodin. Il contient des hachages de mots de passe, des identifiants de session et tout ce que vos formulaires transmettent, ce qui, pour ce site, inclut les données clients. Deux autres éléments aggravent encore la situation : la sauvegarde de configuration qui divulgue vos identifiants dans C-1 a été créée par ce même outil, et votre scanner de logiciels malveillants est explicitement configuré pour ignorer ce répertoire ; c’est donc le seul endroit du site qui n’est soumis à aucun contrôle.

Nous avons examiné son code et n'avons détecté aucun comportement malveillant caché : les actions sensibles sont protégées par un mot de passe et un jeton d'authentification. Le problème n'est pas qu'il soit malveillant, mais qu'il soit présent sur un site de production traitant des données fiscales.

Votre compte d'administrateur principal compte actuellement huit connexions simultanées. sessions, tous provenant de l'adresse 192.0.2.117 (un fournisseur d'hébergement, et non une connexion professionnelle), qui se présentaient tous comme node plutôt que dans un navigateur. Ils ont été créés par paires les 23, 24, 26 et 28 juillet et restent valables jusqu'au 11 août.

Ces sessions n'ont pas été créées par quelqu'un qui aurait saisi un mot de passe : le mot de passe enregistré pour ce compte est toujours au format ancien, et WordPress met automatiquement ce format à jour dès la première utilisation d'un mot de passe correct. Cela signifie donc qu'un élément crée des sessions d'administrateur par programmation. Nous avons écarté la connexion de gestion via WP Umbrella , qui utilise des adresses différentes et fonctionne différemment.

L'explication la plus probable est qu'il s'agit de votre propre intégration, étant donné qu'un compte utilisateur nommé « PortalApp » existe sur le site. Cela ferait de ce comportement un phénomène normal, bien que peu recommandable. L'autre possibilité est que ce compte ne vous appartienne pas, auquel cas il s'agit d'un accès administrateur permanent. Nous ne pouvons pas faire la distinction entre ces deux cas depuis l'extérieur, et la période durant laquelle les comptes des attaquants étaient actifs recoupe ces dates.

Votre scanner signale que ces quatre éléments utilisent une version pour laquelle une vulnérabilité a été rendue publique, ce qui signifie que les détails techniques sont accessibles à tous. Au total, 35 plugins et thèmes ne sont pas à jour, notamment l'ensemble de la suite Thrive, WooCommerce, Amelia et la suite Fluent.

C'est sans doute par là que l'intrusion a eu lieu. La porte dérobée s'est glissée sous la forme d'un fichier d'apparence d'image dans le dossier « media », ce qui correspond à la signature d'une faille dans la gestion des téléchargements ; or, Fluent Forms est le composant de ce site qui gère les fichiers téléchargés par les clients. Nous ne pouvons pas déterminer quelle faille a été exploitée sans consulter les journaux d'accès de votre serveur, mais le fait de conserver ces versions en place maintient la porte dérobée dans le même état qu'elle était le 22 juillet.

WordPress intègre un éditeur qui permet à un administrateur de modifier les fichiers des thèmes et des extensions directement depuis le navigateur. Sur ce site, cette fonctionnalité est activée. Cela signifie que toute session d'administrateur permet d'exécuter du code arbitraire, sans qu'il soit nécessaire de télécharger ou de transférer des fichiers.

Étant donné que trois comptes d'administrateur appartenant à des pirates étaient connectés au cours du mois de juillet, cette fonctionnalité était à leur disposition. Elle devrait être désactivée définitivement : les modifications légitimes doivent passer par le processus de déploiement de votre agence, et non par l'éditeur du navigateur.

Au cours des sept derniers jours, le site a enregistré 393 tentatives de connexion infructueuses provenant de 221 adresses différentes, auxquelles s'ajoutent 56 tentatives bloquées par le système de protection des connexions et 21 tentatives d'énumération des noms d'utilisateur. Si l'on examine l'historique complet du plugin, l'ampleur de la campagne est plus importante : le nom d'affichage Daniel a été pris pour cible environ 500 fois et Rossi Marta environ 179.

Ce qu'il faut retenir, c'est qu'il s'agit là de vrais noms de vraies personnes présentes sur votre site, et non pas des noms habituels admin des tentatives de devinette. Cela signifie que les pirates ont récupéré les noms d’auteurs sur vos pages et testent actuellement les mots de passe des comptes connus. Une adresse par nom, réparties de manière dispersée, à un rythme délibérément suffisamment lent pour passer pour du trafic normal.

Un seul de vos huit comptes d'administrateur dispose d'une authentification à deux facteurs activée. Pour les sept autres, seul un mot de passe correct constitue un obstacle, et les mots de passe sont justement ce que cette campagne vise à obtenir à terme.

L'intégration OneDrive met en cache ses données d'autorisation dans un dossier sans contrôle d'accès, et nous avons constaté qu'un fichier qui s'y trouve était accessible depuis Internet. Le nom du fichier à lui seul révèle déjà l'adresse du compte associé et l'identifiant de votre tenant Microsoft. Dans l'état où nous l'avons examiné, le fichier de jeton était vide, mais sur un site en production, c'est à cet emplacement que se trouve un jeton d'accès valide à votre OneDrive.

Un jeton valide de ce type permet d'accéder en lecture et en écriture au stockage de documents connecté, sans mot de passe et sans déclencher de notification de connexion.

Huit comptes disposent de tous les droits d'administrateur sur un site traitant des données fiscales et de paiement. Ces huit comptes correspondent tous à des personnes ou à des organisations avec lesquelles vous travaillez ; aucun n'est donc un compte malveillant, mais deux d'entre eux semblent inactifs.

• Un compte d'agence créé en octobre 2022, inactif depuis janvier 2025, dont le mot de passe enregistré est toujours au format ancien.
• Un compte d'assistance fournisseur créé le 21 mai 2026, utilisé une seule fois depuis une adresse au Bangladesh, puis inactif depuis. L'adresse correspond à celle de l'équipe d'assistance de l'un de vos fournisseurs de plugins ; il s'agit donc probablement d'un accès légitime mis en place par votre agence, mais ce compte ne devrait plus être actif.

Chaque administrateur inactif représente un jeu complet de clés dont personne ne s'occupe.

Un plugin de gestion de sites distants reste installé mais désactivé, et deux comptes administrateur conservent toujours ses paramètres de connexion, notamment une clé de connexion enregistrée. Ses tâches planifiées sont toujours enregistrées, et il a laissé un dossier contenant un clone du serveur dans le répertoire « media ».

Un outil de ce type est, par nature, un canal d'administration à distance. Lorsqu'il est désactivé, il n'est pas supprimé : les fichiers restent sur le disque et sa réactivation rétablit le canal. Il s'agit très probablement de la configuration de gestion propre à votre agence, ce qui est tout à fait normal, mais elle devrait soit être utilisée et à jour, soit être supprimée.

Quatre-vingt-onze fichiers de modèles PHP compilés ont été laissés dans le dossier « media » par un plugin de traduction qui n'est plus installé. Leur contenu est inoffensif, mais il s'agit de code exécutable dans un dossier qui ne devrait jamais en contenir, et comme le précise C-3, ce dossier exécute effectivement du code PHP sur ce serveur.

Par ailleurs, une deuxième copie complète du plugin OneDrive est disponible en version 3.5.2.1, alors que la version active est la 3.8.1. Elle n'est pas active, mais tous les fichiers qu'elle contient restent accessibles et exécutables, ce qui signifie que les failles de l'ancienne version persistent même si le plugin semble avoir été mis à jour.

Trois fichiers décrivant la configuration de votre serveur sont mis à la disposition de toute personne qui en fait la demande. Nous avons vérifié ces trois fichiers le 30 juillet :

• /.user.ini (112 octets), que votre scanner avait déjà signalé le 27 juillet et qui figure toujours parmi les problèmes non résolus. Elle révèle le chemin d'accès absolu du site sur le disque.
• /.htaccess (1 901 octets), ce qui permet à un pirate d'accéder à l'intégralité de votre ensemble de règles, y compris les chemins d'accès que vous considérez comme protégés et le plugin de sécurité à l'origine de ces règles.
• /wp-content/debug.log (220 octets), où sont consignées les erreurs PHP. Les journaux de débogage contiennent généralement des chemins d'accès aux fichiers, des extraits de requêtes et, parfois, des données transmises.

Aucune de ces informations n'est dangereuse en soi. Ensemble, elles constituent la phase de reconnaissance menée par un attaquant avant de choisir une technique, et elles sont collectées automatiquement par des outils d'analyse.

Nous avons détecté 24 fichiers de règles d'accès sur l'ensemble du site, créés par vos plugins de sécurité, de sauvegarde et de formulaires. Tous utilisent la syntaxe Apache. Or, votre serveur utilise nginx, qui ignore complètement ces fichiers.

Il s'agit d'une conséquence systématique plutôt qu'isolée : le blocage de PHP dans le dossier « media » (C-3), la protection du fichier de configuration, la Deny from all Le dossier des factures (C-2) et le dossier de mise en attente des sauvegardes apparaissent tous deux comme des protections actives dans le tableau de bord d’un plugin, alors qu’ils ne remplissent en réalité aucune fonction. C’est la seule et unique raison pour laquelle plusieurs constatations de ce rapport revêtent une gravité aussi importante.

Les inscriptions sont ouvertes, et les nouveaux comptes se voient attribuer le rôle d'« abonné ». Cela semble être un choix délibéré, compte tenu de la boutique, du système de réservation et des cours en ligne ; de plus, la liste des comptes correspond à celle de véritables clients : les pics d'inscriptions observés en février et mars coïncident avec la période des déclarations d'impôts.

Ce point figure ici car un formulaire d'inscription ouvert constitue la première étape classique des attaques visant à obtenir des privilèges plus élevés. Plusieurs plugins de ce site ont par le passé présenté des failles que seul un utilisateur connecté pouvait exploiter, et une inscription ouverte signifie que n'importe qui peut devenir un utilisateur connecté.

Quelques comptes utilisent des adresses e-mail jetables ou anonymes. Aucun d'entre eux ne dispose de privilèges.

Deux plugins qui ne sont plus installés ont laissé des identifiants : un gestionnaire de fichiers a laissé sa clé d'accès, et un plugin de sauvegarde a laissé des paramètres d'authentification HTTP enregistrés. Nous n'avons pas lu ces valeurs.

Un gestionnaire de fichiers mérite d'être mentionné pour une deuxième raison. Il permet un accès complet au système de fichiers depuis le navigateur, et on en trouve des traces à plusieurs endroits sur ce site, ce qui prouve qu'il a bien fonctionné ici à un moment donné. C'est le genre d'outil qui permet, à partir d'un seul compte administrateur compromis, d'obtenir un accès complet au serveur.

Trois éléments, qui, pris isolément, ne présentaient aucun danger, mais dont chacun a amplifié l'impact des événements.

• La journalisation complète des requêtes de la base de données est activée en environnement de production, ce qui explique pourquoi le journal des requêtes décrit dans H-1 contient des hachages de mots de passe et des données clients.
• La valeur par défaut wp_ préfixe de table, qui permet aux outils d'attaque automatisés de deviner les noms de vos tables sans avoir à les tester.
• Les mises à jour automatiques étant désactivées, le site dépend entièrement du calendrier de mises à jour géré, et 35 mises à jour sont actuellement en attente.

Les identifiants de votre base de données sont en soi corrects : le mot de passe n'est ni vide ni ridiculement court, et les clés de sécurité sont uniques et n'ont pas conservé leurs valeurs par défaut. Il faut désormais les modifier uniquement parce que C-1 les a rendus publics.

Ces deux adresses répondent à la requête au lieu de la refuser. Cela a plus d’importance qu’il n’y paraît : les plugins de sauvegarde enregistrent des archives complètes du site dans ces dossiers, et une seule archive contient l’intégralité de la base de données, c’est-à-dire tous les hachages de mots de passe, toutes les fiches clients et toutes les clés du site, le tout dans un seul fichier téléchargeable.

Nous tenons à préciser clairement les limites de ce que nous pouvons affirmer ici. Le contenu de ces dossiers échappe au champ d’observation de cette analyse ; nous ne les signalons donc ni comme exposés, ni comme sains. Ce que nous savons, c’est que les chemins d’accès sont actifs et que nous n’avons rencontré aucun blocage.

Vingt-huit commentaires contenant des liens vers des sites de jeux d'argent et pour adultes se trouvent dans la file d'attente des spams. Le filtre les a tous interceptés, aucun n'a jamais été publié, et aucune de vos pages ne contient ce type de contenu. Il s'agit de spams entrants courants, répertoriés uniquement pour vous informer qu'ils ont été vérifiés.

Dix cadres intégrés au contenu du constructeur de pages renvoient toujours vers un sous-domaine de préproduction. Cela ne constitue pas en soi une faille de sécurité, mais il convient de vérifier que le site de préproduction n'est pas accessible au public, car une copie d'un site contient généralement les mêmes données sans les modifications apportées lors de la maintenance.

Le site porte les traces visibles de son histoire : des tâches planifiées appartenant à un plugin de sécurité, un plugin de traduction, un journal d’activité et un outil de gestion qui ont tous disparu depuis longtemps, le nom d’une option qui conserve encore l’ancien préfixe de la table, plusieurs dossiers de cache obsolètes, une page de maintenance résiduelle faisant référence à l’ancien chemin d’accès du serveur, et une copie d’un fichier d’index. Quatorze dossiers aux noms aléatoires dans wp-content Elles peuvent paraître inquiétantes, mais il s’agit en réalité du cache des ressources du plugin de bannière de cookies, qui ne contient que du code JavaScript ; douze d’entre elles sont vides.

Il n'y a là aucune intention malveillante. C'est important, car c'est dans ce désordre que se cachent les fichiers malveillants, et parce qu'une personne qui consulte ce site à la hâte ne peut pas faire la différence.

Les logiciels malveillants peuvent parfois se cacher au sein même du moteur de base de données, sous la forme d'un déclencheur ou d'une procédure stockée qui réinstalle une charge utile à chaque chargement d'une page. Il s'agit là de la seule catégorie de cachette qui ne peut être exclue d'après les informations disponibles ; ce cas est donc signalé comme « non résolu » plutôt que comme « nettoyé ».

Trois requêtes suffisent pour le déterminer en quelques secondes, en les exécutant sur la base de données en production :

SELECT TRIGGER_NAME, EVENT_OBJECT_TABLE, ACTION_TIMING, ACTION_STATEMENT
  FROM information_schema.TRIGGERS;
SELECT ROUTINE_NAME, ROUTINE_TYPE, ROUTINE_DEFINITION
  FROM information_schema.ROUTINES;
SELECT EVENT_NAME, STATUS, EVENT_DEFINITION
  FROM information_schema.EVENTS;

Sur un site WordPress classique, ces trois éléments ne renvoient aucun résultat. Il convient de lire attentivement tout ce qui y est indiqué.

Chaque fichier PHP a été analysé à la recherche de code caché ou chiffré, de code s'exécutant quel que soit le contenu envoyé par un visiteur, ainsi que de petits chargeurs réinstallant des logiciels malveillants supprimés. Rien n'a été détecté. Le cœur de WordPress, le thème actif, les trois plugins chargés automatiquement et les fichiers d'entrée du site sont tous tels qu'ils ont été fournis par leurs éditeurs, sans aucun code ajouté.

Les deux éléments de ce site capables d'exécuter du code arbitraire sont des outils légitimes, qui ont fait l'objet d'une analyse ligne par ligne : le gestionnaire d'extraits de code et la console de diagnostic dans H-1. Ces deux éléments soumettent cette fonctionnalité à une vérification par l'administrateur.

Aucun script injecté, aucun lien caché, aucun spam destiné aux moteurs de recherche et aucun code de redirection dans aucune page ni dans aucun paramètre de page. Chaque cadre et chaque script intégré renvoie vers une destination attendue : votre propre site, vos outils d'analyse, votre bannière de consentement, Google Maps, YouTube et un outil de modélisation financière. Les liens sortants renvoient vers les autorités fiscales cantonales et fédérales suisses, Wikipédia et d'autres sites similaires. Aucun élément de votre contenu publié n'a été modifié.

C'est la vérification la plus importante après une intrusion, car c'est celle qui résiste au nettoyage des fichiers. Les dix extraits de code stockés ont tous été lus dans leur intégralité et sont tous des travaux légitimes, soit les vôtres, soit ceux de votre agence. Aucune tâche planifiée ne contient de code. Aucun paramètre ne renferme de charge utile encodée. Chaque plugin actif dispose d'un dossier correspondant sur le disque ; il n'y a donc aucun plugin caché s'exécutant uniquement à partir de la base de données. Les paramètres d'adresse de votre site sont corrects et aucun changement d'adresse e-mail de l'administrateur n'est en attente.

Chaque source de mise à jour d'un plugin renvoie à son véritable éditeur, et il n'y a aucun signe de copies piratées de plugins, qui constituent un moyen courant pour les logiciels malveillants de s'introduire sur un site avec le consentement même de son propriétaire.

Le volume de courrier reste stable, entre 11 000 et 14 000 messages par mois depuis plus de trois ans, ce qui correspond au calendrier de diffusion de votre newsletter, avec les pics habituels en janvier et en juillet. On ne constate ni pic soudain ni envoi inexpliqué ; l'accès obtenu par le pirate en juillet n'a donc pas été utilisé pour transformer le site en relais de spam. Cela signifie également que la réputation d'envoi de votre domaine reste intacte.

Les 317 comptes ont tous été vérifiés au regard des autorisations qui leur sont attribuées. Les huit administrateurs appartiennent tous à votre équipe, à votre agence ou à un fournisseur de plug-ins, et aucun compte ne dispose d’autorisations accordées en dehors du mécanisme habituel. Le schéma d’enregistrement des clients correspond à votre activité, y compris le pic d’activité lié à la période fiscale. Les trois comptes de pirates décrits dans le document C-4 ont été supprimés, ce qui est confirmé.