L’avis officiel publié le 29 octobre 2026 décrit une faille du gestionnaire de fichiers ayant exposé certains identifiants FTP/SFTP et un nombre limité d’identifiants de messagerie web (annonce de sécurité DreamHost). Cette date et ce périmètre justifient une réponse par étapes, pas une conclusion automatique sur votre boîte : vérifiez votre compte depuis le panneau officiel ou le support, changez les mots de passe concernés et examinez tout compte où vous les avez réutilisés. Une notification préventive ne prouve pas que le contenu de votre courrier a été consulté.
Qui devrait lire ce guide ?
- Vous avez reçu une notification de réinitialisation ou un avis de sécurité DreamHost et voulez vérifier la demande sans suivre un lien douteux.
- Vous avez utilisé le gestionnaire de fichiers ou réutilisé un mot de passe associé à votre compte et devez définir vos priorités.
- Vous souhaitez réduire l’exposition future de votre adresse principale, sans confondre cette précaution avec la réparation d’un compte déjà concerné.
Dernière mise à jour : 31 octobre 2026. Informations vérifiées à partir de l’annonce officielle DreamHost publiée le 29 octobre 2026. Consultez cette annonce pour les mises à jour du périmètre et des consignes.
Après l’incident DreamHost : commencer par établir votre situation
L’avis officiel distingue plusieurs faits qu’il faut garder séparés : une vulnérabilité du gestionnaire de fichiers, certains identifiants FTP/SFTP potentiellement accessibles, un nombre limité d’identifiants de messagerie web concernés et la possibilité que le contenu de certaines boîtes ait été consulté. DreamHost indique que des identifiants concernés ont été réinitialisés et que les utilisateurs touchés sont contactés individuellement. L’enquête étant toujours en cours au moment de la vérification, l’avis ne permet pas de conclure que tous les comptes hébergés sont concernés.
Votre première tâche n’est donc pas de deviner si une boîte a été lue, mais de retrouver votre catégorie de risque. Une notification peut être préventive. Elle peut aussi vous demander une action concrète sur un mot de passe. Dans les deux cas, c’est l’état visible dans votre compte et les consignes officielles qui doivent guider la suite, plutôt que l’interprétation d’un message isolé.
Procédez dans cet ordre :
- Ouvrez le panneau de contrôle DreamHost en saisissant vous-même son adresse ou en utilisant un favori que vous aviez déjà enregistré. N’ouvrez pas de session à partir d’un lien reçu par courrier.
- Vérifiez les notifications présentes dans le compte et comparez-les avec le message reçu : type d’accès concerné, action demandée et éventuelle confirmation de réinitialisation.
- Si le panneau ne clarifie pas votre situation, demandez au support officiel de confirmer si votre compte ou vos identifiants font partie des éléments concernés.
- Notez les comptes et services qui utilisent les mêmes identifiants, puis changez les mots de passe réutilisés.
- Examinez les réglages de la messagerie et, si vous avez utilisé le gestionnaire de fichiers, les modifications récentes de vos sites.
Ne déduisez pas d’une simple demande de changement que quelqu’un a consulté le contenu de votre boîte. L’annonce distingue la réinitialisation de certains identifiants de la possibilité que le contenu de certaines boîtes ait été vu ; elle ne transforme pas chaque notification en preuve d’accès au courrier. À l’inverse, l’absence d’un avis immédiat ne suffit pas à établir que vous n’êtes pas concerné : si vous avez utilisé le service visé ou constatez un changement inhabituel, demandez une confirmation au support.
Si vous avez reçu une demande de réinitialisation
Traitez la notification comme un signal à vérifier, pas comme une preuve autonome ni comme une invitation à cliquer. Ouvrez votre compte séparément, vérifiez si la réinitialisation a déjà été appliquée et identifiez précisément le type d’utilisateur visé : compte de messagerie ou utilisateur de site associé au transfert de fichiers.
Pour un mot de passe de messagerie, suivez les étapes de modification du mot de passe d’un utilisateur de messagerie. Pour un accès de site utilisé pour le transfert de fichiers, consultez les instructions de changement du mot de passe des utilisateurs de site. Ces deux accès ne sont pas interchangeables : modifier le mot de passe de la boîte ne garantit pas que le compte FTP/SFTP est aussi sécurisé, et inversement.
Choisissez un mot de passe distinct pour chaque accès. Si vous utilisez un gestionnaire de mots de passe, créez-y une entrée séparée pour le compte de messagerie et pour l’utilisateur de site, plutôt que de conserver un seul mot de passe partagé sous des noms différents. Si un compte professionnel est administré par plusieurs personnes, coordonnez le changement avec la personne responsable afin qu’un outil de publication ou un membre de l’équipe ne perde pas l’accès sans avertissement.
Conservez la confirmation de la modification et notez la date du changement dans votre procédure interne. N’envoyez jamais votre mot de passe au support pour « vérifier » le compte. Si le panneau refuse votre connexion ou si la notification contredit l’état affiché, demandez au support de vous orienter vers une procédure de récupération officielle.
Si vous avez utilisé le gestionnaire de fichiers
L’annonce concerne une vulnérabilité du gestionnaire de fichiers et indique que certains identifiants FTP/SFTP ont été exposés. Cela ne signifie pas que chaque site hébergé ou chaque utilisateur FTP/SFTP l’a été. Votre vérification doit commencer par une question concrète : avez-vous utilisé le service de gestion de fichiers visé, et quels comptes de transfert de fichiers votre site emploie-t-il ?
Dressez la liste des utilisateurs FTP/SFTP liés aux sites concernés. Ne supposez pas qu’un compte est sûr parce qu’il porte un nom peu familier, ni qu’il a été touché uniquement parce qu’il existe. Confirmez auprès de DreamHost quels identifiants doivent être réinitialisés, puis changez ceux que l’avis officiel désigne comme concernés. Si le même mot de passe servait ailleurs, traitez cette réutilisation séparément.
Examinez aussi les fichiers du site auxquels ces comptes donnent accès. Comparez les modifications récentes à vos mises à jour prévues : fichiers ajoutés ou remplacés que personne de votre équipe ne reconnaît, changements inexpliqués dans des pages publiées, ou fichiers de configuration modifiés sans intervention planifiée. Un changement inhabituel mérite une vérification ; il ne suffit pas, à lui seul, à établir qu’il est lié à l’incident.
Pour une petite équipe, demandez aux personnes qui publient des fichiers ou mettent le site à jour de confirmer leurs opérations récentes. Cela évite d’attribuer à tort une modification légitime à une activité inconnue. Si aucune personne ne peut expliquer un changement, conservez les éléments disponibles et contactez DreamHost avant de supprimer des fichiers ou de réinstaller le site. N’effectuez pas de manipulation destructive qui rendrait l’analyse plus difficile.
Si vous avez réutilisé le même mot de passe
La réutilisation transforme un problème limité à un identifiant en risque potentiel pour chaque service qui accepte le même secret. C’est une conséquence générale de la réutilisation, pas une preuve que ces autres services ont été consultés. Appliquez donc une correction ciblée : cherchez les comptes où vous avez employé le mot de passe concerné ou une variante facile à deviner, puis remplacez ces mots de passe par des valeurs uniques.
Commencez par les comptes qui permettent de récupérer d’autres accès : votre messagerie principale, l’administration d’un site, les outils de travail ou tout compte servant à recevoir des liens de réinitialisation. Cette priorité répond à leur rôle dans la récupération des comptes. Elle ne suppose pas que l’incident DreamHost s’est étendu à ces services.
Pour chaque compte, vérifiez l’adresse de récupération et les autres moyens de récupération configurés. Si un service propose une authentification à plusieurs facteurs, activez-la selon les options disponibles et conservez ses codes de récupération dans un endroit sûr. Ne réutilisez pas une ancienne variante en changeant seulement un caractère : un mot de passe distinct réduit le risque qu’une exposition sur un service donne accès à un autre.
Vous pouvez organiser le travail comme suit :
| Votre situation | Décision immédiate | Vérification complémentaire |
|---|---|---|
| Vous avez reçu une notification, sans confirmation de compromission | Ouvrez le panneau indépendamment et vérifiez l’état du compte | Demandez au support de confirmer si nécessaire |
| Vous utilisiez le gestionnaire de fichiers ou un accès FTP/SFTP concerné | Changez les identifiants désignés par DreamHost | Vérifiez les changements de fichiers que votre équipe ne reconnaît pas |
| Le mot de passe était réutilisé ailleurs | Remplacez-le sur chaque service concerné par une valeur unique | Priorisez les comptes de récupération et d’administration |
| Vous constatez une règle de transfert inconnue | Conservez les détails et demandez une vérification officielle | Ne concluez pas vous-même à un mode opératoire précis |
Cette grille sert à choisir la prochaine action, pas à diagnostiquer une intrusion. Pour aller plus loin sur le lien entre exposition d’un identifiant et sécurisation d’autres accès, consultez notre guide sur la protection de la messagerie et des comptes associés.
Si une règle de transfert ou un filtre vous paraît inconnu
Examinez les paramètres de la boîte concernée et séparez les types de réglages : adresses de transfert, filtres, redirections automatiques et règles de classement. Une entrée inconnue peut être une ancienne configuration oubliée, un réglage ajouté par un collègue ou une anomalie qui demande une enquête. Ne lui attribuez pas une origine sans vérification.
Pour chaque entrée, vérifiez l’adresse de destination, les critères de filtrage, les messages concernés et la date à laquelle vous ou votre équipe pensez l’avoir créée. Si votre service permet d’identifier le créateur ou l’historique du réglage, conservez ces éléments. Si vous n’arrivez pas à établir qui l’a configuré, transmettez les détails au support DreamHost et demandez quelle mesure appliquer.
Une règle de transfert inconnue mérite une vérification, mais elle ne prouve ni que le contenu a été lu ni que l’incident DreamHost en est la cause. Évitez de supprimer des éléments avant d’avoir conservé les informations nécessaires au support.
Après la vérification, retirez les réglages dont vous confirmez qu’ils ne doivent plus exister, en suivant les instructions du fournisseur. Si l’adresse de destination est légitime, mais n’est plus utilisée, retirez-la également selon la procédure officielle. Pour les boîtes partagées, faites confirmer la décision par les personnes responsables : un transfert établi pour un processus de travail peut sinon interrompre une réception nécessaire.
Vous trouverez d’autres repères pour examiner les réglages de confidentialité dans notre guide de décision sur l’isolation des adresses. Il aide à distinguer les protections préventives des actions nécessaires après une modification suspecte.
Si un message prétend parler de l’incident
DreamHost indique que ses messages liés à l’incident ne vous demanderont pas de vous connecter au moyen d’un lien envoyé par courriel ni de communiquer votre mot de passe. Vérifiez cette limite dans l’annonce officielle de l’incident, puis accédez séparément au panneau de contrôle pour confirmer les actions attendues.
Ne vous fiez pas uniquement au nom affiché comme expéditeur : il peut être trompeur. L’apparence d’un message, son ton alarmant ou la présence d’une référence à l’incident ne suffisent pas non plus à établir son authenticité. Le bon réflexe est de ne pas utiliser ses liens pour vous connecter, de ne pas transmettre d’identifiants et de vérifier la demande depuis le compte ouvert indépendamment.
Si vous avez déjà suivi un lien, ne saisissez pas de mot de passe supplémentaire sur la page ouverte. Fermez-la, ouvrez le panneau officiel séparément et demandez conseil au support si vous avez communiqué un identifiant ou si vous ne savez pas si la page était légitime. Si vous avez réutilisé ce mot de passe, appliquez aussi la procédure de changement sur les autres services concernés. Ne considérez toutefois pas le seul fait d’avoir reçu un message comme une preuve que votre compte est compromis.
FAQ : notification, périmètre et vérifications
Tous les utilisateurs DreamHost doivent-ils considérer leur boîte comme compromise ?
Non. L’avis décrit une faille du gestionnaire de fichiers, certains identifiants FTP/SFTP et un nombre limité d’identifiants de messagerie web. DreamHost précise que l’enquête continue et qu’une notification préventive ne signifie pas forcément que votre compte a été touché. Vérifiez votre situation via le panneau de contrôle ou le support ; ne déduisez pas une consultation de vos messages de la seule notification.
Quelle est la première démarche après un avis de réinitialisation ?
Accédez au panneau de contrôle DreamHost sans utiliser le lien du message : saisissez vous-même l’adresse ou utilisez un favori déjà connu. Vérifiez l’état du compte, identifiez si l’avis concerne la messagerie ou un utilisateur de site, puis suivez la procédure correspondante. Si l’information n’est pas claire, demandez une confirmation au support officiel avant d’agir sur une demande reçue par courrier.
Le changement est-il nécessaire sur les autres sites ?
Oui, si vous y avez réutilisé le mot de passe concerné ou une variante prévisible. Remplacez-le par un mot de passe distinct sur chaque service concerné, en donnant la priorité aux accès qui permettent de récupérer d’autres comptes. Cela corrige le risque lié au partage d’un même secret ; ce n’est pas une indication que les autres services ont été consultés dans le cadre de cet incident.
Où chercher une redirection ou un filtre qui ne vous dit rien ?
Dans les paramètres de la boîte, vérifiez les adresses de transfert et les filtres un par un : destinations, conditions d’application et messages concernés. Comparez-les à vos configurations connues et demandez à vos collègues pour les boîtes partagées. Une entrée dont l’origine reste incertaine doit être signalée au support DreamHost ; évitez d’inventer un scénario ou de supprimer des éléments avant d’avoir conservé les détails utiles.
Une fois les vérifications terminées, séparez clairement le plan de réponse à l’incident du plan de prévention. Les changements de mots de passe, l’examen des règles de transfert et la confirmation par DreamHost servent à traiter les accès ou réglages concernés. L’isolation d’adresse, elle, limite surtout la diffusion de votre adresse principale lors de futures inscriptions à faible confiance : elle ne révoque pas des identifiants exposés et ne sécurise pas une boîte existante.
Pour une banque, un service de paiement, une démarche administrative ou tout compte qui doit rester accessible pour récupérer des données, utilisez une adresse durable que vous contrôlez. Pour les inscriptions ponctuelles, vous pouvez examiner les options d’adresse séparée proposées par MaskSend et lire notre guide des usages de l’adresse temporaire. Choisissez cette séparation pour réduire l’exposition future de votre adresse principale, une fois les mesures de sécurité du compte DreamHost effectuées — jamais comme substitut à leur mise en œuvre.
Questions fréquentes
Une notification de sécurité DreamHost signifie-t-elle que tous les comptes ont été touchés ?
Non. L’annonce officielle décrit une faille du gestionnaire de fichiers, des identifiants FTP/SFTP concernés et un nombre limité d’identifiants de messagerie web. DreamHost indique aussi que l’enquête se poursuit et qu’une notification préventive ne confirme pas, à elle seule, que votre compte a été touché. Vérifiez votre situation dans le panneau officiel ou auprès du support.
Que faire si j’ai reçu un avis de réinitialisation de mot de passe ?
N’utilisez pas le lien contenu dans le message pour vous connecter. Ouvrez vous-même le panneau de contrôle DreamHost à partir de votre favori habituel ou en saisissant l’adresse officielle, puis vérifiez les alertes et l’état du compte. Suivez les instructions de changement de mot de passe applicables à votre compte et contactez le support si l’avis ne correspond pas à ce que vous voyez.
Dois-je changer les mots de passe d’autres services après l’incident ?
Changez les mots de passe des autres services si vous y avez réutilisé le mot de passe concerné, ou une variante prévisible. Commencez par les comptes qui permettent de réinitialiser d’autres accès, puis choisissez un mot de passe distinct pour chacun. Cette précaution répond au risque créé par la réutilisation ; elle ne prouve pas que ces autres comptes ont été consultés.
Comment repérer une règle de transfert ou un filtre de courrier suspect ?
Depuis les paramètres de votre boîte, examinez séparément les adresses de transfert, les filtres et les redirections automatiques. Comparez chaque entrée à vos propres réglages et à ceux validés par votre équipe. Si vous ne reconnaissez pas une règle, ne présumez pas de son origine : conservez les détails et demandez au support DreamHost de confirmer la marche à suivre.
Testez la réception maintenant
Une boîte de réception jetable pour les inscriptions ponctuelles, un alias de transfert indépendant pour les relations durables. Réservez votre véritable adresse e-mail aux communications de confiance.