« Site trompeur en vue » : sortir de la liste rouge Google
L'écran rouge plein cadre — « Site trompeur en vue », « Ce site risque d'endommager votre ordinateur » — est la sanction la plus brutale du web. Elle ne vient pas d'un simple avertissement de certificat mais de Google Safe Browsing, la base de données de sites malveillants utilisée par Chrome, Firefox, Safari et Edge. Autrement dit : la quasi-totalité des navigateurs du monde bloquent votre site simultanément, et le trafic tombe à zéro en quelques heures.
Cette alerte signifie que Google a détecté sur vos pages du contenu correspondant à du phishing, à des logiciels malveillants ou à des redirections trompeuses. Dans l'immense majorité des cas, le propriétaire du site n'y est pour rien : le site a été piraté et sert du contenu injecté à son insu, souvent uniquement aux visiteurs venant des moteurs de recherche. La sortie de liste suit une procédure précise, et l'ordre des étapes compte.
Étape 1 : identifier ce que Google reproche exactement
Ne devinez pas : Google vous dit précisément ce qu'il a trouvé. Ouvrez la Search Console, section Sécurité et actions manuelles, rubrique Problèmes de sécurité. Vous y trouverez la catégorie du problème — hameçonnage, logiciels malveillants, téléchargements indésirables, ingénierie sociale — et, le plus souvent, des exemples d'URL concernées. Ces URL sont le point de départ du nettoyage.
Si votre site n'est pas encore associé à la Search Console, associez-le immédiatement : sans elle, vous ne pourrez ni voir le détail du signalement ni demander l'examen. La vérification par enregistrement DNS ou fichier HTML prend quelques minutes.
Attention à une nuance importante : la catégorie « ingénierie sociale » englobe aussi les publicités trompeuses et les faux boutons de téléchargement fournis par une régie tierce. Si vous affichez des publicités, le contenu incriminé peut venir d'un annonceur et non de votre code.
Étape 2 : nettoyer réellement le site
Commencez par une sauvegarde complète de l'état actuel (fichiers et base de données) avant toute modification : c'est votre pièce à conviction et votre filet de sécurité. Cherchez ensuite les injections classiques — code obfusqué en base64 ou eval dans les fichiers PHP, fichiers modifiés récemment, scripts inconnus dans l'en-tête ou le pied de page du thème, entrées suspectes dans les options du CMS, comptes administrateurs que vous n'avez pas créés.
Beaucoup de compromissions sont conditionnelles : le code malveillant ne se déclenche que pour les visiteurs arrivant depuis Google, ou seulement sur mobile, ou une fois par adresse IP. C'est pourquoi le site vous paraît sain quand vous le consultez. Testez en simulant un visiteur venu d'un moteur de recherche, ou consultez le code source de la page récupéré depuis un autre réseau.
Sur WordPress, PrestaShop ou Joomla, la réinstallation propre du cœur et des extensions depuis les sources officielles est plus rapide et plus sûre qu'une chasse fichier par fichier. Changez ensuite tous les mots de passe : administration, FTP/SFTP, base de données, panneau d'hébergement. Enfin, refermez la porte d'entrée : mettez à jour le CMS et les extensions, supprimez celles qui ne sont plus maintenues, et vérifiez qu'aucun fichier sensible ni sauvegarde n'est exposé publiquement — c'est souvent par là que la compromission est arrivée.
Étape 3 : demander l’examen (et ne pas le rater)
Une fois le site réellement propre, retournez dans la Search Console, section Problèmes de sécurité, et cliquez sur « Demander un examen ». Décrivez concrètement ce que vous avez fait : nature de la compromission, fichiers nettoyés, extension vulnérable supprimée, mots de passe changés, mesures de prévention mises en place. Une demande vague et générique se solde souvent par un refus.
Le délai d'examen va de quelques heures à quelques jours pour les logiciels malveillants, et peut être plus long pour le phishing. Point crucial : une demande refusée parce que le site est encore infecté vous fait repartir en fin de file d'attente. Mieux vaut passer une heure de plus à vérifier le nettoyage que d'enchaîner trois demandes refusées.
Vérifiez également l'état de votre domaine dans l'outil public de diagnostic Safe Browsing de Google, et pensez aux autres listes : certains navigateurs et antivirus s'appuient sur des bases distinctes (Microsoft SmartScreen, listes d'antivirus), qui ont chacune leur propre formulaire de contestation.
Après la sortie de liste : éviter la récidive
Un site nettoyé mais non corrigé se refait pirater dans les semaines qui suivent, souvent par la même faille. Les priorités sont connues : maintenir le CMS et les extensions à jour, supprimer les thèmes et modules inutilisés, imposer des mots de passe uniques et la double authentification sur les comptes d'administration, et ne jamais laisser accessibles les fichiers sensibles (.env, .git, sauvegardes .sql ou .zip à la racine).
Mettez en place une surveillance : un scan externe régulier vérifie que votre configuration ne réexpose pas de fichiers sensibles, que les en-têtes de sécurité sont en place et qu'aucune bibliothèque JavaScript vulnérable n'a été réintroduite. Une politique CSP stricte limite en outre l'impact d'une future injection en interdisant au navigateur d'exécuter des scripts venus de domaines non autorisés — c'est l'une des rares protections qui réduisent réellement la portée d'un piratage réussi.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Combien de temps pour sortir de la liste rouge ?
De quelques heures à plusieurs jours après une demande d'examen acceptée, selon la catégorie du signalement. Le facteur déterminant n'est pas le délai de Google mais la qualité du nettoyage : chaque demande refusée fait perdre plusieurs jours.
▸Mon site me paraît normal, pourquoi Google le bloque-t-il ?
Parce que le code injecté est très souvent conditionnel : il ne s'active que pour les visiteurs venant d'un moteur de recherche, sur mobile, ou une seule fois par adresse IP, précisément pour rester invisible aux yeux du propriétaire. Fiez-vous aux URL d'exemple fournies dans la Search Console plutôt qu'à votre propre navigation.
▸Puis-je être blacklisté à cause de mes publicités ?
Oui. Les catégories « ingénierie sociale » et « téléchargements indésirables » couvrent les publicités trompeuses et les faux boutons de téléchargement servis par une régie. Identifiez la régie fautive, bloquez l'annonceur ou changez de partenaire, puis demandez l'examen.
▸Le référencement se remet-il après une mise en liste ?
Généralement oui, une fois l'alerte levée : le trafic remonte progressivement sur quelques semaines. Les dégâts durables viennent surtout de la durée du blocage et de la perte de confiance des visiteurs, d'où l'intérêt d'agir dans les heures qui suivent la détection.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-07-27 ]