Pourquoi Google a-t-il signalé mon site comme dangereux ?

Si Google a signalé votre site comme dangereux, c’est qu’il a détecté, ou soupçonne, qu’une ou plusieurs pages pourraient mettre les visiteurs en danger.

Vous pouvez voir :

• une page d’avertissement rouge avant l’ouverture du site
• une mention « Dangereux » dans le navigateur
• un avertissement à côté de votre site dans la recherche Google
• un message indiquant que le site a peut-être été piraté
• une notification dans Google Search Console
• des signalements de clients qui ne parviennent plus à accéder au site

Cela ne signifie pas forcément que toutes les pages sont infectées. Cela ne signifie pas non plus automatiquement que votre entreprise a publié volontairement un contenu nuisible.

Cependant, l’avertissement doit être traité comme un véritable incident de sécurité tant que la cause n’a pas été identifiée. Google peut afficher des avertissements lorsqu’il détecte du contenu piraté, du code malveillant, de l’hameçonnage (phishing), des pages trompeuses, des téléchargements dangereux ou tout autre comportement susceptible de nuire aux visiteurs.

L’avertissement ne disparaît normalement pas simplement parce que la page d’accueil semble de nouveau correcte. Le site doit être analysé, nettoyé, sécurisé, puis soumis à Google pour un examen de sécurité.

Que veut dire Google par « dangereux » ?

Google utilise des messages différents selon le problème qu’il pense avoir détecté.

Vous pouvez voir des avertissements comme :

• « Ce site risque d’endommager votre ordinateur »
• « Ce site a peut-être été piraté »
• « Site trompeur en vue »
• « Le site que vous allez ouvrir contient des logiciels malveillants »
• « Le site que vous allez ouvrir contient des programmes dangereux »

La formulation exacte peut varier selon le navigateur, l’appareil et le type de problème.

Ces avertissements peuvent apparaître à deux endroits principaux :

Dans la recherche Google

Google peut afficher un avertissement à côté de votre résultat ou retirer de ses résultats certaines pages compromises.

Dans le navigateur

Google Safe Browsing peut afficher un avertissement en pleine page avant que Chrome ou un autre navigateur compatible n’ouvre le site.

Le fait que vous ne parveniez pas à reproduire l’avertissement ne prouve pas qu’il a disparu. Les avertissements Safe Browsing peuvent dépendre de la page, du navigateur ou du contexte de navigation. Google recommande d’utiliser le rapport sur les problèmes de sécurité de Search Console comme référence principale pour savoir si un problème détecté est toujours actif.

Cela signifie-t-il que mon site a été piraté ?

Souvent, mais pas toujours.

Google classe les problèmes de sécurité en plusieurs catégories.

Contenu piraté

Quelqu’un a peut-être ajouté des pages, des liens ou du texte sans votre autorisation.

Par exemple :

• des pages de spam sur des produits ou services que vous ne vendez pas
• des liens vers des sites sans rapport
• des pages créées dans une autre langue
• du texte masqué
• des redirections inattendues
• de nouveaux comptes administrateur

Malware ou code malveillant

Le site peut contenir du code conçu pour nuire aux visiteurs, les rediriger, charger des logiciels indésirables ou effectuer des actions que le propriétaire du site n’avait pas prévues.

Hameçonnage ou contenu trompeur

Une page peut imiter un service de confiance ou tenter de persuader les visiteurs de :

• saisir un mot de passe
• fournir des informations de paiement
• télécharger un fichier
• appeler un faux numéro d’assistance
• communiquer d’autres informations confidentielles

Contenu tiers dangereux

Le problème peut provenir d’un élément intégré au site, comme :

• un réseau publicitaire
• un script externe
• une iframe
• un widget compromis
• un téléchargement tiers
• une ressource externe chargée par un plugin

Le propriétaire d’un site peut donc recevoir un avertissement même lorsque le contenu visible de la page semble normal. Le rapport sur les problèmes de sécurité de Google distingue le contenu piraté, les malwares, les logiciels indésirables et les problèmes d’ingénierie sociale.

D’abord : n’ignorez pas l’avertissement et ne le contournez pas

Lorsque vous voyez une page d’avertissement rouge, évitez de cliquer à plusieurs reprises pour passer outre et examiner le site comme un visiteur ordinaire.

Dans certains cas, charger une page infectée peut exposer l’appareil à un contenu malveillant. Les sites compromis peuvent aussi se comporter différemment selon le visiteur, sa localisation, son navigateur ou la source de provenance, ce qui signifie que le propriétaire du site ne voit pas forcément le même contenu que Google ou qu’un client.

Une première étape plus sûre consiste à :

• faire une capture d’écran de l’avertissement
• noter l’URL concernée
• noter quand le problème a été signalé pour la première fois
• consulter Google Search Console
• contacter la personne responsable du site ou de l’hébergement

Si des clients sont dirigés vers une page d’avertissement, envisagez de suspendre temporairement les campagnes publicitaires et autres promotions qui envoient des visiteurs vers le site concerné. C’est une précaution pratique pour éviter de payer un trafic inutilisable et d’exposer davantage de personnes à l’avertissement.

D4Hub peut vous aider à confirmer le problème sans vous demander d’ouvrir des pages suspectes ni d’interpréter seul des rapports de sécurité techniques.

Consultez Google Search Console

Si votre site est connecté à Google Search Console, ouvrez la propriété concernée et allez dans :

Security & Manual Actions → Security Issues

(Sécurité et actions manuelles → Problèmes de sécurité, dans l’interface en français.)

Le rapport peut vous indiquer si Google a détecté :

• des malwares
• du code injecté
• des pages injectées
• du contenu piraté
• des pages trompeuses
• des téléchargements dangereux
• des liens vers des téléchargements dangereux
• des pages de connexion suspectes
• des ressources intégrées trompeuses

Le rapport peut aussi afficher des exemples d’URL.

Ces URL ne sont que des échantillons. Corriger les pages listées ne corrige pas forcément l’ensemble du site. Google précise que les exemples du rapport n’incluent pas nécessairement toutes les pages concernées : il faut donc vérifier tout le site.

Si vous n’avez pas accès à Search Console, vérifiez s’il est géré par :

• votre agence web
• un développeur
• un consultant SEO
• un compte marketing interne
• la personne qui a lancé le site à l’origine

D4Hub peut aussi vous aider à valider la propriété et à interpréter le rapport.

Que faire immédiatement ?

Inutile de commencer à supprimer des fichiers ou à réinstaller WordPress.

Les premières actions les plus utiles sont organisationnelles plutôt que techniques.

1. Notez ce que vous voyez

Rassemblez :

• une capture d’écran de l’avertissement
• le message exact
• l’URL concernée
• la date et l’heure approximative
• les e-mails reçus de Google ou de l’hébergeur
• les signalements reçus de clients
• tout comportement inhabituel remarqué récemment

WordPress recommande de documenter les symptômes et les modifications récentes en cas de compromission présumée. Ces informations aident à établir ce qui s’est passé et quand cela a pu commencer.

2. Vérifiez ce qui a changé récemment

Demandez si quelqu’un a récemment :

• installé ou mis à jour un plugin
• changé de thème
• ajouté un script de suivi
• connecté une nouvelle plateforme publicitaire
• téléversé un fichier
• créé un nouvel administrateur
• modifié la configuration de l’hébergement
• migré ou restauré le site
• partagé des identifiants d’accès avec un prestataire externe

Une modification récente n’est pas automatiquement la cause, mais elle constitue un point de départ utile.

3. Contactez l’hébergeur

L’hébergeur peut être en mesure de confirmer :

• si un malware a été détecté
• si des fichiers suspects ont été mis en quarantaine
• si une activité inhabituelle a eu lieu sur le serveur
• si le compte a été temporairement suspendu
• si une sauvegarde saine est disponible
• si d’autres sites du même compte ont été touchés

Le support de l’hébergeur peut aider à contenir l’incident, mais il ne réalisera pas forcément une analyse complète de WordPress et ne supprimera pas forcément la vulnérabilité d’origine.

4. Contactez le développeur du site ou un spécialiste de la sécurité

Un nettoyage correct peut nécessiter l’accès à :

• WordPress
• les fichiers du site
• la base de données
• les logs de l’hébergement
• les sauvegardes
• les paramètres DNS ou CDN
• Search Console

Les recommandations de Google indiquent elles-mêmes que le nettoyage d’un malware peut exiger de comprendre le code et la configuration du serveur. Lorsque cela dépasse les compétences du propriétaire du site, faire appel à une assistance qualifiée est l’option recommandée.

Puis-je simplement restaurer une sauvegarde ?

Parfois, mais une restauration n’est pas automatiquement une solution complète.

Une sauvegarde peut être utile lorsque :

• elle a été créée avant la compromission
• vous savez approximativement quand le problème a commencé
• elle contient des fichiers et une base de données sains
• la restaurer ne supprimera pas d’informations récentes importantes

Cependant, une restauration peut aussi :

• réintroduire la vulnérabilité qui a permis l’attaque
• contenir un malware déjà présent mais non détecté
• écraser des commandes, des contacts ou des contenus récents
• supprimer des preuves utiles
• ne pas nettoyer les autres sites ou fichiers du même compte d’hébergement

Après avoir restauré une sauvegarde, vous devez toujours comprendre comment le site a été compromis et supprimer le point d’accès d’origine. Sinon, le site risque d’être infecté à nouveau.

Pour un site e-commerce, d’abonnement ou d’adhésion, la restauration doit aussi tenir compte des transactions et des données utilisateurs créées après la sauvegarde.

D4Hub peut vous aider à vérifier si une sauvegarde convient et à planifier la restauration sans perdre inutilement des données récentes.

Puis-je simplement installer un plugin de sécurité ?

Un plugin de sécurité peut aider à détecter des fichiers suspects et à améliorer la protection, mais en installer un après l’apparition de l’avertissement ne prouve pas que le site est sain.

Une analyse peut :

• identifier des schémas malveillants connus
• signaler des fichiers modifiés
• détecter des administrateurs inattendus
• mettre en évidence des composants obsolètes
• bloquer certaines activités suspectes

Elle peut ne pas :

• reconnaître tous les types de malware
• comprendre un code personnalisé légitime
• identifier la méthode d’accès d’origine
• nettoyer les comptes externes
• réparer des fonctionnalités métier endommagées
• confirmer que toutes les portes dérobées cachées ont été supprimées

Un plugin de sécurité peut être un outil de l’analyse, pas la réponse complète.

En quoi consiste un nettoyage complet ?

La procédure exacte dépend du problème, mais une analyse fiable suit généralement ces étapes.

1. Contenir l’incident

Le premier objectif est de limiter les dégâts supplémentaires.

Cela peut impliquer de :

• restreindre l’accès au site
• désactiver temporairement les fonctionnalités concernées
• supprimer les téléchargements dangereux
• bloquer les redirections malveillantes
• suspendre les comptes compromis
• conserver une copie des fichiers et de la base de données actuels

Mettre le site entièrement hors ligne ou non dépend du type et de la gravité de l’incident.

2. Identifier les zones touchées

L’analyse doit déterminer :

• quelles URL sont concernées
• si le problème se trouve dans les fichiers, dans le contenu de la base de données ou dans les deux
• si le site contient des utilisateurs inattendus
• si un autre site du même compte d’hébergement est compromis
• si le problème vient d’un plugin, d’un thème ou d’une ressource externe
• si du code malveillant est toujours actif

Les URL fournies par Google sont des exemples, pas un inventaire complet.

3. Supprimer le contenu malveillant

Selon l’incident, cela peut inclure la suppression :

• de scripts injectés
• de fichiers modifiés
• de pages de spam
• de liens masqués
• de comptes administrateur inconnus
• de tâches planifiées malveillantes
• de téléchargements dangereux
• de ressources externes trompeuses
• d’injections dans la base de données
• de redirections non autorisées

Supprimer simplement la page mentionnée par Google peut laisser actif le mécanisme qui l’a créée.

4. Supprimer la vulnérabilité d’origine

Après avoir nettoyé l’infection visible, il faut traiter la cause.

Cela peut nécessiter de :

• mettre à jour WordPress
• mettre à jour ou remplacer les plugins vulnérables
• mettre à jour le thème
• corriger des permissions de fichiers non sécurisées
• supprimer les logiciels abandonnés
• réinitialiser les comptes compromis
• remplacer les identifiants exposés
• revoir la configuration de l’hébergement et du serveur

Sans cette étape, le site peut être réinfecté après un nettoyage apparemment réussi.

5. Tester le site

Avant de demander un examen à Google, vérifiez :

• les pages publiques
• l’administration WordPress
• les formulaires de contact
• la connexion et l’inscription
• le checkout et les paiements
• les abonnements
• les redirections
• les scripts de suivi
• les tâches planifiées
• le comportement sur mobile et sur ordinateur

L’objectif est de confirmer à la fois que le comportement malveillant a cessé et que le site légitime fonctionne toujours.

6. Demander un examen de sécurité

Une fois tous les problèmes résolus, retournez dans le rapport sur les problèmes de sécurité de Search Console et sélectionnez Request Review (Demander un examen).

La demande doit expliquer :

• ce qui a causé le problème
• ce qui a été supprimé ou réparé
• ce qui a été fait pour éviter qu’il ne revienne
• comment le résultat a été vérifié

Google conseille de corriger tous les problèmes listés sur l’ensemble du site avant de demander l’examen. Les examens peuvent prendre de plusieurs jours à plusieurs semaines selon les cas. Soumettre de nouvelles demandes à répétition avant d’avoir reçu une décision n’accélère pas la procédure.

Qu’est-ce qu’il faut éviter ?

Évitez de :

• supposer que l’avertissement est un faux positif sans l’analyser
• ouvrir à plusieurs reprises des pages suspectes
• supprimer des fichiers au hasard
• restaurer immédiatement la sauvegarde la plus ancienne disponible
• tout mettre à jour avant d’avoir conservé l’état actuel
• supprimer uniquement l’URL d’exemple indiquée par Google
• installer plusieurs plugins de sécurité à la fois
• demander un examen avant la fin du nettoyage
• partager des mots de passe par simple e-mail
• remettre le site en ligne sans le tester

Un nettoyage partiel peut faire disparaître temporairement l’avertissement tout en laissant le site vulnérable à une nouvelle compromission.

Et si le site semble tout à fait normal ?

C’est fréquent.

Le contenu malveillant peut :

• n’apparaître qu’aux visiteurs de certaines zones géographiques
• cibler les utilisateurs mobiles
• ne s’activer qu’après un clic depuis Google
• apparaître de manière intermittente
• n’être visible que par les robots des moteurs de recherche
• se trouver sur des URL cachées
• être chargé depuis une ressource externe
• ne rediriger qu’une partie des visiteurs

Google précise que le contenu compromis peut recourir au cloaking pour se cacher du propriétaire du site. Ne pas parvenir à reproduire le problème ne suffit donc pas à prouver que le site est sûr.

Consultez le rapport sur les problèmes de sécurité et les exemples d’URL avant de supposer que l’avertissement est erroné.

Google a-t-il pu se tromper ?

Une erreur de classification est possible, mais elle ne doit être envisagée qu’après avoir vérifié le site et toutes les ressources tierces intégrées.

Par exemple, une page légitime peut inclure :

• un script externe compromis
• une publicité qui redirige les visiteurs
• un téléchargement que Google juge dangereux
• une page de connexion dont le design paraît trompeur
• une ressource tierce sur laquelle vous avez un contrôle limité

Si le site a été vérifié en profondeur et que le comportement signalé est réellement absent, Search Console propose une procédure de demande d’examen. Google propose aussi des options de signalement pour les pages qui auraient été classées à tort.

Ne soumettez pas une demande d’examen en disant seulement que le site « a l’air normal ». Expliquez ce qui a été vérifié et pourquoi vous pensez que la classification ne s’applique plus.

Quand faire appel à un spécialiste ?

Demandez une assistance technique lorsque :

• Google signale un malware ou du code injecté
• des clients voient des avertissements dans leur navigateur
• le site redirige vers des pages sans rapport
• des pages inattendues apparaissent dans Google
• l’hébergeur a suspendu le compte
• vous ne pouvez pas accéder à WordPress
• vous ne savez pas quand la compromission a commencé
• aucune sauvegarde clairement saine n’est disponible
• le site traite des paiements ou des données personnelles
• plusieurs sites partagent le même compte d’hébergement
• l’avertissement revient après un premier nettoyage
• vous n’êtes pas sûr que toutes les portes dérobées ont été supprimées

Vous n’avez pas besoin d’identifier vous-même le malware avant de demander de l’aide.

D4Hub peut vous accompagner à toute étape qui vous semble floue ou bloquante, de la lecture du rapport Search Console jusqu’à la fin du nettoyage et à la demande d’examen auprès de Google.

Comment D4Hub peut vous aider

Une analyse D4Hub peut inclure :

• l’examen de l’avertissement et du rapport Search Console
• l’identification des URL et des composants du site concernés
• la vérification des fichiers WordPress, du contenu de la base de données et des utilisateurs
• l’analyse des plugins, thèmes et ressources externes suspects
• la coordination avec l’hébergeur
• la suppression du code malveillant, des pages de spam ou des redirections
• l’évaluation des sauvegardes et des options de récupération
• la mise à jour ou le remplacement des composants vulnérables
• la réinitialisation et la sécurisation des accès
• le test des fonctions essentielles du site
• la préparation et l’envoi de la demande d’examen de sécurité à Google
• des recommandations pour réduire le risque de réinfection

Vous pouvez contacter D4Hub dès le début de l’incident, après avoir reçu des informations de votre hébergeur ou après une première tentative de nettoyage.

Si une étape de ce guide n’est pas claire, vous n’avez pas à continuer seul. Expliquez ce que vous voyez et les accès ou informations dont vous disposez actuellement. D4Hub peut identifier l’action suivante la plus sûre.

Quelles informations inclure dans la demande d’assistance ?

Fournissez ce qui est facilement disponible :

• l’URL du site
• une capture d’écran de l’avertissement
• le message d’avertissement exact
• l’heure approximative de sa première apparition
• toute notification de Search Console
• les exemples d’URL listés par Google
• les e-mails de l’hébergeur
• les modifications récentes du site
• si WordPress est accessible
• si une sauvegarde récente existe
• si le site gère des commandes, des abonnements ou des données utilisateurs
• les tentatives de nettoyage déjà effectuées

Ne vous inquiétez pas si vous n’avez pas accès à Search Console ou si vous ne comprenez pas la description technique. D4Hub peut vous aider à récupérer et à interpréter les informations manquantes.

N’envoyez pas de mots de passe, de clés privées ou d’identifiants complets dans un message non sécurisé.

Questions fréquentes

Combien de temps faut-il à Google pour retirer l’avertissement ?

Une fois le site nettoyé, sécurisé et soumis à l’examen, Google indique qu’un examen de sécurité peut prendre de quelques jours à quelques semaines. Il ne faut pas s’attendre à ce que l’avertissement disparaisse immédiatement après la modification des fichiers.

Réinstaller WordPress supprimera-t-il le malware ?

Pas forcément. Le contenu malveillant peut se trouver dans les plugins, les thèmes, les fichiers téléversés, la base de données, la configuration du serveur ou un autre site du même compte d’hébergement. Réinstaller le cœur de WordPress ne traite qu’une partie de l’installation.

Changer tous les mots de passe résout-il le problème ?

Changer les mots de passe est une mesure de sécurité importante, mais cela ne supprime ni les fichiers malveillants, ni le contenu injecté dans la base de données, ni les logiciels vulnérables. Les identifiants doivent être sécurisés dans le cadre d’un nettoyage plus large.

Puis-je demander un examen à Google avant la fin de l’analyse ?

Techniquement, vous pouvez soumettre une demande, mais Google conseille de corriger d’abord tous les problèmes de sécurité sur l’ensemble du site. Une demande incomplète a peu de chances de faire lever l’avertissement et peut retarder la procédure.

Pourquoi l’avertissement n’apparaît-il que sur certains appareils ?

Le contenu concerné peut être limité à certaines pages, certains appareils, certains utilisateurs ou certains contextes de navigation. Google indique aussi que les avertissements Safe Browsing dépendent du contexte : ils peuvent donc ne pas s’afficher de la même façon pour tous les visiteurs.

Est-ce la même chose qu’une action manuelle de Google ?

Non. Une action manuelle concerne généralement des infractions visant à manipuler les résultats de recherche. Un problème de sécurité concerne un comportement susceptible de nuire aux utilisateurs, comme le piratage, l’hameçonnage ou les malwares. Les deux rapports sont distincts dans Search Console.

D4Hub peut-il m’aider si l’hébergeur a déjà analysé le site ?

Oui. Partagez le rapport de l’hébergeur et expliquez les actions déjà effectuées. D4Hub peut vérifier si l’infection a été entièrement supprimée, rechercher la vulnérabilité d’origine, tester le site et accompagner la demande d’examen auprès de Google.

D4Hub peut-il m’aider si je n’ai pas accès à Search Console ?

Oui. D4Hub peut aider à identifier qui gère la propriété, valider l’accès lorsque c’est possible et déterminer ce que Google a signalé.