En bref : pour supprimer l'alerte Google sur un site piraté, vous devez d'abord fermer la cause et retirer tous les contenus malveillants. Ce n'est qu'ensuite que vous demandez le réexamen dans la Google Search Console. Qui le demande trop tôt ou ne supprime que les traces visibles risque un rejet, car les portes dérobées et les pages de spam cachées subsistent le plus souvent.
Quelles alertes Google affiche et pourquoi
Google met en garde de deux façons contre les sites compromis. Dans les résultats de recherche, une mention peut apparaître sous votre entrée indiquant que le site a peut-être été piraté. Pour des constats plus graves, par exemple des logiciels malveillants ou de l'hameçonnage, les navigateurs affichent via Google Safe Browsing une page d'alerte rouge avant même que le site ne se charge.
La cause est presque toujours constituée de contenus introduits par des attaquants : de nombreuses pages de spam pour des médicaments, des jeux d'argent ou des contrefaçons de marque, des redirections vers des sites étrangers, du code malveillant visant les visiteurs ou de fausses pages de connexion. Pour votre entreprise, cela signifie moins de visiteurs, des clients déstabilisés et, dans la boutique, des pertes de chiffre d'affaires directes.
Les problèmes trouvés par Google figurent dans la Google Search Console, sous Sécurité et actions manuelles, dans le rapport Problèmes de sécurité. Des exemples d'URL y sont souvent indiqués et donnent un premier point de repère.
D'abord nettoyer, puis demander le réexamen
L'ordre est décisif. L'alerte Google est un symptôme ; tant que la faille est ouverte et qu'une porte dérobée existe, les contenus reviennent, souvent peu après la suppression.
Une mise à jour du CMS ne comble pas à elle seule toute faille. Avec PHP2Shell, la vulnérabilité se trouve dans PHP lui-même, et un correctif ne supprime aucun logiciel malveillant déjà introduit. Vérifiez la version de PHP, l'état du correctif et les fichiers avant de demander le réexamen à Google.
Pour le nettoyage, il est judicieux de placer temporairement le site en mode maintenance ou de le mettre hors ligne. Vous protégez ainsi les visiteurs pendant que vous travaillez et empêchez l'attaquant de déposer de nouveaux contenus. Un mode maintenance devrait alors renvoyer le code de statut 503 afin que les moteurs de recherche reconnaissent l'interruption comme temporaire.
Supprimer l'alerte Google pour site piraté : pas à pas
- Préserver les preuves : sauvegarder les journaux, une copie des fichiers et de la base de données avant de supprimer quoi que ce soit.
- Contrôler la Search Console : lire le rapport sur les problèmes de sécurité, noter les exemples d'URL et rechercher des propriétaires inconnus sous Paramètres, Utilisateurs et autorisations.
- Fermer la faille : mettre à jour PHP, le CMS, les thèmes et les extensions, supprimer les extensions inutilisées, redémarrer les workers PHP après la mise à jour.
- Supprimer le code malveillant : remplacer les fichiers du noyau du CMS à partir d'une source saine, parcourir les répertoires d'upload et de cache à la recherche de fichiers PHP, contrôler
.htaccesset la configuration du serveur à la recherche de redirections étrangères. - Nettoyer la base de données : supprimer les articles de spam, les scripts introduits dans les contenus et les options, ainsi que les comptes administrateur inconnus.
- Renouveler les accès : changer les mots de passe du CMS, de l'hébergement, de la base de données, du FTP et de SSH, régénérer les clés de sécurité du CMS.
- Contrôler le résultat : tester les exemples d'URL avec l'inspection d'URL et consulter son propre site tel que Google le voit.
- Demander le réexamen : demander le réexamen dans le rapport sur les problèmes de sécurité et décrire brièvement ce qui a été trouvé et corrigé.
Traces cachées : pages de spam, cloaking et propriétaires étrangers
De nombreux piratages sont conçus de façon que les exploitants ne les remarquent pas. Les contenus de spam n'apparaissent que pour Googlebot ou pour les visiteurs venant de la recherche. Les admins connectés voient le site normal. L'inspection d'URL de la Search Console montre en revanche la récupération du point de vue de Google.
Un autre indice est une recherche avec site:ihredomain.de combinée à des termes de spam typiques. Si des pages que vous n'avez jamais créées y apparaissent, c'est un signe net. Vérifiez aussi les sitemaps soumis : les attaquants créent parfois leurs propres sitemaps pour faire indexer plus vite leurs pages de spam.
Sur le serveur, de simples contrôles en lecture seule aident à rechercher les fichiers modifiés :
# Fichiers PHP et HTML modifiés au cours des 14 derniers jours
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# Fichiers PHP dans les répertoires d'upload (il ne devrait normalement pas y en avoir)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Règles de redirection dans les fichiers .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Des règles qui redirigent différemment selon le référent ou l'agent utilisateur sont une caractéristique typique du cloaking. Pour WordPress, suivez en outre de façon ciblée les indications du guide Trouver les portes dérobées dans WordPress.
Ce qui se passe après la demande
Google réexamine le site et communique le résultat dans la Search Console. Si la demande est acceptée, les alertes disparaissent. Si elle est rejetée, Google indique généralement d'autres exemples d'URL. Vous recherchez alors de façon ciblée les contenus restants et ne redemandez qu'après le nettoyage.
Les URL de spam déjà connues de Google devraient renvoyer après le nettoyage un statut 404 ou 410 afin de sortir de l'index. Ne les redirigez pas en bloc vers la page d'accueil. Continuez à surveiller la Search Console dans les semaines qui suivent, car la réapparition de spam indique une porte dérobée négligée. Une démarche complète de suivi est décrite dans notre liste de contrôle après un piratage.
Pour que l'alerte ne se reproduise pas, quelques points devraient être réglés durablement après le nettoyage :
- Les mises à jour de PHP, du CMS, des thèmes et des extensions sont installées rapidement, et quelqu'un en est responsable.
- Les extensions inutilisées, les anciennes installations de test et les sous-répertoires oubliés sont supprimés.
- Les accès administrateur sont personnels et protégés par un second facteur.
- Une surveillance des fichiers signale les nouveaux fichiers PHP dans les répertoires d'upload et de cache.
- Les notifications par e-mail de la Search Console parviennent à une adresse lue régulièrement.
En cas de pannes prolongées ou de données clients concernées, informez aussi vos clients de façon factuelle sur l'état d'avancement. Une communication ouverte et sereine protège en général mieux la confiance que le silence.
Comment PHP SOS aide-t-il concrètement ?
- Nous préservons d'abord les traces et clarifions par quelle faille l'attaquant est entré.
- Nous nettoyons fichiers, base de données et configuration du serveur dans le cadre de la suppression de malwares et fermons la cause.
- Nous examinons le site du point de vue de Google, supprimons les propriétaires étrangers de la Search Console et préparons avec vous la demande de réexamen.
- En cas d'infection aiguë, notre assistance d'urgence pour sites piratés assure le confinement jusqu'à la clôture et à la documentation de l'incident.
Questions fréquentes
Combien de temps faut-il à Google pour retirer l'alerte ?
Cela ne peut pas être prédit de façon fiable. Le réexamen ne commence que lorsque vous le demandez dans la Search Console et dépend de la nature et de l'ampleur du problème. Vous voyez l'état dans le rapport sur les problèmes de sécurité.
Que se passe-t-il si je demande le réexamen trop tôt ?
Si Google trouve encore des contenus malveillants lors de la vérification, la demande est rejetée et l'alerte reste. Des rejets répétés peuvent retarder la vérification suivante. Ne demandez donc le réexamen qu'après un nettoyage complet.
Pourquoi est-ce que je ne vois pas moi-même les pages de spam ?
De nombreux piratages n'affichent le spam qu'aux moteurs de recherche ou aux visiteurs venant de Google, et la page normale aux admins connectés. Cette technique s'appelle le cloaking. Avec l'inspection d'URL de la Search Console, vous voyez ce que Google récupère réellement.
Dois-je reconstruire mon classement après le nettoyage ?
Après la suppression de l'alerte, la visibilité se rétablit souvent, mais pas forcément au niveau d'avant. Ce qui compte, c'est que les URL de spam disparaissent de l'index et que les vrais contenus restent accessibles sans changement.