Site blacklisté par Google : déblacklister un site WordPress piraté, étape par étape

Un site blacklisté par Google ne redevient pas visible parce que vous avez supprimé deux fichiers suspects. L'avertissement ne tombe qu'après un réexamen, et cet examen se prépare. Un nettoyage de surface vous expose à un blocage de trente jours pendant lesquels aucune demande n'est recevable. Ce guide donne la procédure appliquée en intervention : identifier le type d'alerte, nettoyer, condamner la faille d'origine, puis demander l'examen avec les bons éléments. Il s'adresse aux dirigeants et e-commerçants qui découvrent l'alerte sans être développeurs.

« Site blacklisté par Google » : deux alertes que tout le monde confond

Le mot blacklist recouvre deux mécaniques sans rapport l'une avec l'autre. Les confondre fait perdre des jours : on part chercher des liens toxiques alors que le problème est une porte dérobée, ou l'inverse.

L'avertissement Safe Browsing

C'est l'écran rouge affiché avant votre site dans Chrome, Firefox ou Safari : « Ce site est peut-être piraté » ou « Site trompeur devant ». Il vise les sites porteurs d'un logiciel malveillant, transformés en page d'hameçonnage ou truffés de redirections. Le déclenchement est automatique.

Vos visiteurs le voient, vous pas forcément. Google indique que la navigation sécurisée affiche ses avertissements selon le contexte de navigation, ce qui rend ces alertes difficiles à reproduire à volonté.

L'action manuelle pour spam

Ici, votre site n'est pas dangereux : il est jugé non conforme. Pages générées automatiquement, texte caché, contenu injecté. La sanction n'est pas un écran rouge mais une chute, voire une disparition des résultats de recherche. Un site piraté cumule très souvent les deux : le pirate injecte des pages de spam en même temps qu'il installe sa porte dérobée.

Origine des données : aide Google Search Console, « Rapport sur les problèmes de sécurité », et documentation Google Search Central, consultées en juillet 2026.

Comment vérifier en 5 minutes si votre site est blacklisté

Trois vérifications suffisent, dans cet ordre. Elles vous indiquent quel rapport ouvrir, donc quelle procédure suivre.

1. Le rapport « Problèmes de sécurité » de la Search Console

C'est la source de vérité, et Google le présente lui-même comme la référence fiable pour savoir si un site est concerné. Encore faut-il que la propriété soit validée : dans son bilan annuel sur les sites piratés publié en mars 2017, Google indiquait que 61 % des propriétaires de sites piratés n'avaient reçu aucune notification, faute de site validé dans la Search Console (Google Search Central, « NoHacked year in review », 2017).

2. Ce que voit réellement votre visiteur

Ouvrez votre site en navigation privée, sur mobile et sur ordinateur, déconnecté de l'administration. Beaucoup de redirections malveillantes WordPress ne se déclenchent que pour les visiteurs venus d'un moteur de recherche, ou uniquement sur téléphone.

3. Les blacklists e-mail, celle qu'on oublie

Si votre serveur a servi à expédier du spam, votre adresse IP ou votre domaine peut figurer sur des listes anti-spam totalement indépendantes de Google. Le symptôme : vos devis et vos confirmations de commande n'arrivent plus. Le déblacklistage Google ne règle pas ce point, il demande une démarche distincte auprès de chaque liste.

Erreur observée en intervention : le dirigeant ne constate rien d'anormal depuis son poste, en déduit que Google se trompe, et attend. C'est logique, et c'est précisément le piège : l'absence de notification ne prouve rien, puisque l'alerte n'arrive que si le site est validé dans la Search Console. Le délai de découverte se compte alors en semaines, pas en heures.

Déblacklister un site WordPress : la procédure complète

L'ordre compte davantage que les outils. Une demande d'examen déposée trop tôt coûte plus cher qu'une journée de nettoyage supplémentaire. Si vous découvrez tout juste la compromission, commencez par notre guide d'action d'urgence pour un site WordPress piraté.

Étape 1 — Geler la situation

Ne supprimez rien. Sauvegardez l'état infecté, fichiers et base de données : c'est votre seule trace du vecteur d'attaque. Changez ensuite les mots de passe hébergeur, FTP, base de données et comptes administrateurs, puis passez le site en maintenance si vous le pouvez.

Étape 2 — Nettoyer réellement

Réinstallez le cœur de WordPress depuis les sources officielles, remplacez thèmes et extensions par des versions téléchargées à nouveau, purgez la base des scripts injectés, supprimez les comptes administrateurs inconnus. Un scanner ne détecte que ce qu'il connaît déjà : les portes dérobées se logent aussi dans un thème inactif, un fichier d'apparence légitime ou une ligne de la table des options.

Étape 3 — Fermer le vecteur d'entrée

C'est l'étape que les nettoyages express sautent. Extension vulnérable, mot de passe réutilisé, permissions de fichiers trop larges, fichier de configuration exposé : tant que la porte reste ouverte, la réinfection arrive vite. Un audit de sécurité du site est le moyen le plus rapide d'identifier ce point d'entrée.

Nous appliquons ici la règle des 3 verrous : aucune demande d'examen tant que les trois ne sont pas fermés. Le site est propre, la porte d'entrée est condamnée, la preuve est écrite.

Étape 4 — Demander l'examen

La demande se dépose depuis le rapport concerné dans la Search Console. Décrivez ce que vous avez trouvé, ce que vous avez supprimé, et comment la faille a été refermée. Une formulation vague allonge le traitement ; un compte rendu factuel, avec le vecteur identifié et la date de correction, accélère la décision. Remettez le site en ligne avant de demander : Google doit pouvoir l'explorer pour constater qu'il est sain.

Combien de temps pour déblacklister un site ?

Google ne garantit aucun délai. Son aide indique que l'examen peut prendre de quelques jours à quelques semaines (aide Google Search Console, « Rapport sur les problèmes de sécurité », consultée en juillet 2026). Aucune date de levée n'est communiquée à l'avance, et relancer ne raccourcit rien.

Deux compteurs se superposent. Celui de Google, sur lequel vous n'avez pas de prise une fois la demande déposée. Et le vôtre : le temps de nettoyage, qui dépend de l'étendue de la compromission et de la présence d'une sauvegarde saine. Sur nos dossiers, la levée intervient en moyenne dans la semaine suivant le dépôt.

Le retour du trafic est plus lent que la levée de l'alerte. Les pages doivent être réexplorées, et les positions perdues pendant l'incident ne reviennent pas toutes le premier jour.

L'erreur qui coûte 30 jours : le statut « récidiviste »

C'est le point que presque aucun contenu français ne mentionne, et c'est le plus coûteux. Google Safe Browsing classe comme récidiviste un site qui alterne conformité et non-conformité sur une courte période. Le propriétaire d'un site désigné comme récidiviste ne peut plus demander de réexamen via la Search Console, et cet état dure 30 jours (Google Search Central, règlement relatif aux récidivistes, page mise à jour le 18 décembre 2025).

Le scénario est presque toujours identique. Nettoyage de surface, demande d'examen dans la foulée, levée obtenue, porte dérobée toujours en place, réinfection en quelques jours, nouveau signalement. Le site n'est alors plus seulement bloqué : il est privé de recours pendant un mois.

Un site vitrine peut l'absorber. Une boutique en pleine saison commerciale, non. C'est la raison pour laquelle la règle des 3 verrous n'est pas un excès de prudence : c'est ce qui vous évite de jouer votre seule cartouche trop tôt. Les symptômes à connaître avant d'en arriver là sont détaillés dans notre article sur les signes d'un site WordPress hacké.

Le faire vous-même ou déléguer : ce que coûte chaque option

Origine des données : colonne « intervention professionnelle » = périmètre et délais annoncés sur notre page de service (juillet 2026) ; colonne « nettoyage en interne » = durées observées sur nos dossiers de reprise après tentative du client

Le critère de décision n'est pas le prix, c'est la certitude. Un point l'emporte souvent sur le reste : si votre site traite des données personnelles, une violation avérée doit être notifiée à la CNIL dans les 72 heures suivant sa découverte (RGPD, article 33). Cette qualification demande de savoir ce que l'attaquant a réellement pu atteindre, ce qu'un nettoyage à l'aveugle ne permet pas d'établir.

Un site propre, une porte fermée, un dossier solide

Le déblacklistage n'est pas une démarche administrative que l'on tente au hasard. C'est la conséquence d'un nettoyage vérifiable : Google ne lève l'alerte que sur ce qu'il constate. Vous ne récupérez pas seulement un écran sans avertissement, vous récupérez des visiteurs qui n'ont plus peur de cliquer, des e-mails qui arrivent, et un site qui ne repart pas en vrille au prochain scan automatisé.

La suite se joue sur la prévention : mises à jour testées, sauvegardes externalisées et surveillance sont ce qui distingue un incident isolé d'une série. C'est l'objet de notre contrat de maintenance WordPress.

75+ sites WordPress nettoyés en 6 ans, aucune récidive constatée sur les sites sécurisés après intervention