Site signalé comme piraté ou dangereux par Google : faire retirer l’avertissement

Un client vous envoie une capture d’écran : quand il a voulu ouvrir votre site, Chrome lui a affiché un écran rouge « Site dangereux ». Ou bien, sous le lien de votre site dans les résultats de Google, apparaît une mention du type « Il est possible que ce site ait été piraté ». Dans les deux cas, une partie de vos visiteurs ne viendra plus.

Vous pouvez faire retirer ces avertissements. Le plus important est ensuite qu’ils ne reviennent pas.

Quel avertissement voyez-vous ?

Une seule demande acceptée suffit donc pour Chrome, Firefox et la plupart des autres navigateurs. Pour savoir quels services bloquent votre site, utilisez VirusTotal, un outil gratuit qui interroge, selon son éditeur, plus de 70 antivirus et listes de blocage (VirusTotal, en anglais).

Si un client vous parle d’un écran intitulé « Le site Web que vous allez ouvrir est trompeur », c’est le même avertissement, tel que l’affichaient les versions de Chrome antérieures à 2024.

L’écran rouge n’a rien à voir avec le cadenas

C’est la confusion la plus répandue, jusque chez un hébergeur connu et chez des modérateurs de forums d’entraide. La mention « Non sécurisé », dans la barre d’adresse, signale une connexion sans HTTPS, et un certificat la fait disparaître. L’écran rouge « Site dangereux » signale ce que contient le site : du code malveillant, une page d’hameçonnage, des redirections vers des sites dangereux. Aucun certificat ne le fera disparaître : inutile d’en acheter un pour régler le problème, et un site en HTTPS se pirate comme un autre.

Ce que dit la Search Console

Dans la Search Console, le service que Google met à la disposition des propriétaires de sites, allez dans « Sécurité et actions manuelles », puis « Problèmes de sécurité ». Google y classe ce qu’il a trouvé : injection de contenu ou de code, logiciel malveillant, pages trompeuses, téléchargements nuisibles. D’après l’aide de la Search Console :

• les adresses données en exemple ne sont pas forcément toutes les pages touchées. Corriger ces pages ne suffit pas, il faut régler le problème sur tout le site ;
• certains problèmes ne sont accompagnés d’aucun exemple d’adresse. C’est alors à vous de trouver les pages touchées ;
• les actions manuelles relèvent d’un autre rapport. Elles visent surtout les tentatives de manipulation des résultats de Google, qui ne mettent pas forcément les visiteurs en danger. Chercher la cause de l’écran rouge dans « Actions manuelles » ne mène donc nulle part.

Si votre site n’est déclaré dans la Search Console que sous son adresse avec « www », une partie des problèmes peut vous échapper : déclarez-le plutôt en « Propriété de domaine ».

Avant de demander l’examen : les conditions de Google

Avant tout examen, Google attend que vous ayez prouvé dans la Search Console que le site est bien à vous, réparé les dommages, corrigé la faille et remis en ligne le site nettoyé (guide de Google). Ce dernier point surprend. Le robot de Google doit pouvoir explorer le site : il ne doit donc trouver ni page de maintenance, ni mot de passe, ni blocage dans le fichier robots.txt (celui qui indique aux moteurs les pages qu’ils peuvent visiter), ni consigne lui demandant de ne pas indexer les pages. Si vous avez fermé l’accès au site pendant le nettoyage, rouvrez-le avant de faire la demande.

Vérifiez ensuite que ce que voit Google est propre, et pas seulement ce que vous voyez :

• l’outil Inspection de l’URL vous montre la page telle que le robot de Google l’a enregistrée (notre article sur les signes d’un piratage explique comment s’en servir) ;
• une redirection peut ne viser que les visiteurs venus d’une recherche Google, ou ceux qui consultent le site sur téléphone (notre article sur les redirections explique comment la repérer sans risque) ;
• notre analyse gratuite repère de l’extérieur une partie de ce qui fait refuser une demande, comme une page montrée à Google autrement qu’à vos visiteurs, une redirection ou un script caché.

Ce qu’il faut écrire dans la demande d’examen

Dans le rapport Problèmes de sécurité, le bouton « Demander un examen » ouvre une zone de texte. Votre texte doit expliquer le problème, décrire ce que vous avez fait et montrer le résultat. Pour un site piraté par injection de contenu, le guide de Google propose par exemple : « J’ai supprimé le contenu de spam et corrigé la faille en mettant à jour un plug-in obsolète ».

Soyez précis. Voici un modèle à adapter : remplacez ce qui est entre crochets, et retirez les phrases qui ne vous concernent pas.

Le piratage venait de [nom de l’extension ou du thème], dont la version [numéro] avait une faille connue. Je l’ai mise à jour en version [numéro] le [date].

J’ai réinstallé WordPress, les extensions et le thème à partir de leurs fichiers d’origine, et retiré le code ajouté par le pirate dans [fichiers ou réglages concernés]. J’ai supprimé [nombre] comptes administrateurs inconnus et changé tous les mots de passe.

J’ai supprimé le plan du site ajouté par le pirate, c’est-à-dire la liste de pages qu’il avait transmise à Google. Les adresses de spam citées en exemple renvoient désormais une erreur.

Le site est surveillé depuis le [date], et aucune nouvelle modification suspecte n’est apparue.

Google précise qu’une demande envoyée avant que le problème soit résolu peut ralentir le traitement de la suivante, et même vous faire classer comme récidiviste (voir plus bas).

La navigation sécurisée a aussi son propre formulaire, réservé à l’hameçonnage (formulaire de Google), pour signaler une page bloquée à tort.

Combien de temps, et si la demande est refusée

Une demande liée à un logiciel malveillant est traitée en quelques jours. Une demande liée à du spam peut prendre plusieurs semaines, car Google vérifie parfois le site à la main, ou repasse sur toutes les pages piratées (aide de la Search Console).

Une fois la demande acceptée, les avertissements disparaissent dans les jours qui suivent, le temps que la liste de Google soit actualisée dans Chrome et les autres navigateurs ; Google conseille d’attendre environ une journée avant de vérifier. Les positions dans les résultats peuvent mettre plus longtemps à revenir.

Si la demande est refusée, l’avertissement reste, et le rapport affiche parfois de nouveaux exemples d’adresses infectées. Le plus souvent, c’est qu’une partie du code malveillant a échappé au nettoyage, et ces nouveaux exemples aident à la retrouver.

Le piège des 30 jours : la règle des sites récidivistes

La navigation sécurisée de Google, celle des écrans rouges, classe récidiviste un site qui redevient dangereux plusieurs fois en peu de temps. Son propriétaire ne peut alors plus demander d’examen depuis la Search Console, et cet état dure 30 jours (documentation de Google). Aucune exception n’est prévue pour les sites piratés.

C’est le risque d’un nettoyage qui ne tient pas. La demande est acceptée, puis le code malveillant revient par une porte restée ouverte, et le site est signalé de nouveau. Si cela se répète, il est classé récidiviste, et l’avertissement risque de rester affiché tout ce temps.

Notre conseil est donc de ne demander l’examen qu’une fois que vous pouvez écrire quelle porte d’entrée vous avez fermée, puis de surveiller le site. Pour la remise en état elle-même, suivez notre guide du site piraté.

Questions fréquentes

Google peut-il signaler mon site à tort ?

Oui. Un domaine neuf ou racheté, une page de connexion prise pour de l’hameçonnage, ou une page qui paraît vide au robot de Google parce que son contenu s’affiche par un script peuvent être signalés par erreur. Mais un signalement qui revient après chaque demande est le plus souvent une infection que vous ne voyez pas depuis chez vous. Avant de conclure à une erreur de Google, vérifiez ce que son robot voit de vos pages.

Mes annonces Google Ads sont refusées : est-ce lié ?

Probablement. Google refuse les annonces qui mènent vers un site infecté, et peut suspendre le compte si le site propage un logiciel malveillant. Une fois le site nettoyé, vérifiez l’état de vos annonces dans Google Ads, car la levée de l’avertissement ne suffit pas toujours ; un compte suspendu ne se rétablit qu’après un recours.

Puis-je dire à mes clients de passer outre l’avertissement ?

Non. Si le site est infecté, le visiteur qui passe outre s’expose réellement, et Google déconseille même de désactiver cette protection. Dites-leur plutôt que le problème est en cours de traitement, puis prévenez-les quand il est réglé.