Comment supprimer l’alerte « site dangereux » de Google

Quelle alerte avez-vous ?

• Un avertissement rouge en plein écran (« Site dangereux », « Site trompeur », « Le site contient des logiciels malveillants ») : Google Safe Browsing a signalé le site pour logiciels malveillants, hameçonnage ou logiciels indésirables. Chrome, Firefox et Safari utilisent cette liste, donc la plupart des visiteurs sont bloqués.
• « Ce site a peut-être été piraté » sous votre résultat dans Google : Google a trouvé du contenu ajouté par un pirate, généralement des pages de spam, des liens cachés ou des redirections vers d’autres sites.
• Une action manuelle dans la Search Console : une personne chez Google a examiné le site pour non-respect des règles anti-spam. Cela se traite dans le rapport Manual Actions, pas dans Security Issues.

Étape 1 : confirmez ce que Google a trouvé

Recherchez votre domaine sur la page d’état des sites Safe Browsing (dans le Rapport de transparence de Google). Ouvrez ensuite Google Search Console, choisissez votre propriété et allez dans Security & Manual Actions → Security issues. Le rapport indique le type de problème et liste des URL d’exemple. Si le site n’est pas encore dans la Search Console, ajoutez-le comme propriété de domaine et validez-le avec un enregistrement DNS TXT.

Étape 2 : trouvez les pages infectées

Ouvrez les URL d’exemple dans une fenêtre privée, mais sachez que les piratages se cachent souvent des propriétaires connectés et ne s’affichent qu’aux moteurs de recherche ou aux visiteurs venant de Google. Récupérez la page comme le fait Googlebot et cherchez les scripts, iframes ou redirections que vous n’avez pas ajoutés :

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://yourdomain.com/ \
  | grep -iE '<script|<iframe|http-equiv="refresh"' | head -n 20

Sur le serveur, listez les fichiers PHP modifiés récemment. Les attaquants déposent souvent des fichiers dont le nom ressemble à celui de fichiers WordPress :

find /path/to/site -type f -name '*.php' -mtime -14 -printf '%TY-%Tm-%Td %p\n' | sort

Sous WordPress, WP-CLI compare les fichiers du cœur et des extensions avec les copies officielles et affiche chaque compte administrateur :

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Les scripts injectés se trouvent souvent dans la base de données (articles, widgets, options), là où une analyse des fichiers ne les voit pas :

wp db search '<script' --all-tables
wp db search 'eval(' --all-tables

Vérifiez aussi les fichiers .htaccess à la recherche de règles qui redirigent uniquement les moteurs de recherche ou les visiteurs venant de Google :

grep -rnE --include=.htaccess 'HTTP_REFERER|HTTP_USER_AGENT|base64' /path/to/site

Étape 3 : nettoyez le site et fermez la faille

Supprimer le spam visible ne suffit pas : si la porte d’entrée reste ouverte, l’infection revient en quelques jours. Suivez cette liste :

• Faites d’abord une sauvegarde complète des fichiers et de la base de données, même du site infecté, pour comparer.
• Remplacez le cœur de WordPress, les extensions et les thèmes par des copies neuves issues des sources officielles ; n’essayez pas de les nettoyer ligne par ligne.
• Supprimez les extensions et thèmes inutilisés et mettez tout le reste à jour. Voir comment repérer les extensions obsolètes avec des vulnérabilités connues.
• Supprimez les comptes administrateur inconnus, puis changez tous les mots de passe : utilisateurs WordPress, espace d’hébergement, SFTP/SSH, base de données et messagerie.
• Remplacez les clés secrètes de wp-config.php (wp config shuffle-salts) pour déconnecter toutes les sessions volées.
• Supprimez les pages de spam listées par Google. Renvoyez 404 ou 410 pour elles, pas une redirection vers la page d’accueil.

Le nettoyage pas à pas se trouve dans Comment savoir si votre site WordPress est piraté (et le nettoyer). Si vous n’êtes pas sûr que le site est propre, restaurez une sauvegarde antérieure à l’infection puis mettez tout à jour.

Étape 4 : demandez un examen

Seulement quand tout le site est propre, revenez au rapport Security issues, cochez I have fixed these issues et choisissez Request review. Décrivez ce que vous avez fait, problème par problème, par exemple : « JavaScript injecté supprimé de 14 articles, extension de diaporama obsolète remplacée par la version actuelle, compte administrateur inconnu supprimé et tous les mots de passe changés. » Selon Google, l’examen prend environ un jour pour l’hameçonnage, quelques jours pour les logiciels malveillants et peut prendre plusieurs semaines pour le spam lié à un piratage. Une fois l’examen approuvé, les alertes disparaissent généralement des navigateurs et des résultats de recherche en 72 heures environ. Ne renvoyez pas de demande tant qu’un examen est en cours, et ne mettez pas le site hors ligne : Google doit pouvoir l’explorer pour le vérifier.

Étape 5 : évitez que cela se reproduise

• Laissez les notifications e-mail de la Search Console activées ; c’est souvent par là que vous apprenez un nouveau problème.
• Activez les mises à jour automatiques des extensions de confiance et supprimez celles dont vous n’avez pas besoin.
• Utilisez la connexion en deux étapes pour chaque administrateur. Voir comment sécuriser la connexion WordPress.
• Conservez des sauvegardes hors du serveur avec plusieurs points de restauration, et testez une restauration.

Ce que vérifie HackGrade

HackGrade n’interroge pas la liste Safe Browsing de Google ; utilisez pour cela le Rapport de transparence et la Search Console. Son analyse gratuite signale les portes d’entrée les plus courantes, comme un cœur, des extensions et des thèmes WordPress obsolètes avec des vulnérabilités connues, des noms d’utilisateur exposés et XML-RPC. L’analyse approfondie, réservée aux propriétaires vérifiés, recherche aussi du code injecté comme de fausses pages CAPTCHA. Voir aussi Mon site a-t-il été piraté ?