Un matin, votre site apparaît toujours dans Google, mais une ligne s’est glissée sous son adresse : « Ce site peut être piraté » ou « Site trompeur ». Le trafic s’effondre dans la journée. La plupart des gens ne cliquent pas sur un résultat marqué comme dangereux, et beaucoup ne reviendront pas même après la correction.
Cette alerte n’est pas une sanction arbitraire. Elle suit une logique précise, et elle se lève dans un ordre précis.
D’où vient l’avertissement
Google analyse en continu les sites qu’il indexe, via un service appelé Safe Browsing. Quand ses robots détectent du contenu injecté, une redirection vers un domaine malveillant ou un fichier reconnu comme dangereux, votre site est signalé.
Il existe deux messages, et ils ne veulent pas dire la même chose :
- « Ce site peut être piraté » : Google estime que des pages ont été ajoutées ou modifiées à votre insu. Votre site reste accessible.
- « Site trompeur » : plus grave. Google considère qu’il cherche activement à tromper le visiteur, souvent par de l’hameçonnage. Les navigateurs affichent alors un écran rouge plein cadre avant même la page.
Dans les deux cas, l’alerte est visible par tout le monde, y compris vos clients existants.
Le réflexe qui fait perdre des semaines
La première tentation est d’aller dans la Search Console et de cliquer immédiatement sur « Demander un réexamen ». C’est l’erreur la plus coûteuse.
Si le site est encore infecté au moment de la demande, Google refuse, et chaque refus rallonge le délai de traitement des demandes suivantes. On voit régulièrement des sites bloqués un mois entier parce que trois demandes ont été envoyées avant le nettoyage.
L’ordre est toujours le même : nettoyer, fermer la faille, vérifier, puis seulement demander le réexamen.
Ce qu’il faut faire, dans l’ordre
1. Confirmer l’infection. L’alerte peut porter sur une poignée de pages seulement. La Search Console, dans la section Sécurité, liste des URL d’exemple. C’est le point de départ du diagnostic — pas la liste complète.
2. Sauvegarder l’état actuel. Avant toute manipulation, on conserve une copie du site infecté. Elle sert de preuve et de point de retour. N’écrasez surtout pas une sauvegarde saine antérieure avec celle-ci.
3. Désinfecter. Fichiers modifiés, code injecté en base de données, comptes administrateurs frauduleux, tâches planifiées, et les portes dérobées que les pirates laissent derrière eux.
4. Fermer la faille. C’est l’étape décisive, et celle que les nettoyages express oublient. Extension vulnérable, thème téléchargé sur un site de partage, mot de passe faible, version de PHP obsolète. Tant que la cause reste ouverte, le site est réinfecté en quelques jours — et une réinfection après réexamen est nettement plus longue à faire lever.
5. Vérifier que tout refonctionne. Pages, formulaires, e-mails, tunnel de commande. Un site nettoyé dont le formulaire de contact ne part plus n’est pas un site réparé.
6. Demander le réexamen. Dans la Search Console, en décrivant ce qui a été trouvé et corrigé. Une demande argumentée passe plus vite qu’une case cochée.
Combien de temps avant que ça disparaisse
Pour un site propre au moment de la demande, la levée intervient généralement sous quelques jours. L’avertissement disparaît d’abord des navigateurs, puis des résultats de recherche.
En revanche, le trafic ne revient pas instantanément. Les positions mettent souvent quelques semaines à se rétablir, et une partie des visiteurs habituels a pris l’habitude d’aller ailleurs. C’est le coût invisible d’un piratage, et il dépasse largement la facture du nettoyage. Si les positions ne remontent pas après plusieurs semaines, c’est le signe qu’il reste un problème d’indexation à diagnostiquer, ce que couvre un audit SEO WordPress.
Si vous n’êtes pas sûr d’être piraté
L’alerte Google est un signe parmi d’autres, et elle arrive rarement en premier. Redirections, comptes inconnus, e-mails envoyés en masse : les symptômes sont détaillés dans Les 8 signes qu’un site WordPress est piraté.
À l’inverse, un site simplement inaccessible n’est pas forcément compromis. Une page blanche ou une erreur 500 relèvent le plus souvent d’une panne technique, et Google n’affiche alors aucun avertissement. Le sujet est traité dans Page blanche, erreur 500 : ce que voit votre visiteur.
Ce qu’il faut retenir
Une alerte Google n’est pas la maladie, c’est le symptôme. La faire lever sans traiter la cause revient à éteindre un voyant : le site sera resignalé, et chaque récidive coûte plus cher que la précédente en temps de traitement comme en positions perdues.
Notre intervention de nettoyage de site WordPress piraté inclut la demande de réexamen et le suivi jusqu’à disparition effective de l’avertissement dans les résultats de recherche, avec re-nettoyage garanti si des traces réapparaissent.
