Bing Webmaster signale un malware : à traiter à part
Bing a sa liste. Un site déjà vert pour Google peut rester signalé côté Microsoft, Edge et SmartScreen. Déposez le recours Bing après le nettoyage, avec les mêmes pièces, pas en copiant-collant « Search Console OK ».
Bing a sa liste. Un site propre pour Google peut rester signalé côté Microsoft. Déposez le recours Bing après nettoyage, avec les mêmes pièces.
Deux listes, deux files
Google Safe Browsing et Microsoft (Bing, Edge, SmartScreen, parfois Outlook) ne partagent pas le même bouton « réexamen ». Un Transparency Report vert ne dit rien de l'écran bleu/rouge Edge. Inversement, lever Bing n'enlève pas Chrome.
Les dossiers que nous reprenons ont souvent « oublié Bing » : le gérant est sous Chrome, ses clients entreprise sous Edge. Le site « marche chez moi » et bloque à la Défense, à l'hôpital, au lycée.
Traitez Google d'abord si c'est là que tient le trafic, mais ne clôturez pas le dossier sans un passage Webmaster Tools. Cinq minutes de plus évitent une semaine de tickets « chez nous ça bloque encore ».
Notez aussi Outlook sur le web et les liens dans les newsletters : SmartScreen les filtre parfois alors que Chrome affiche encore le site. Un commercial qui envoie un devis le mardi et se fait rappeler « votre lien est bloqué » n'a pas un problème de rédaction. Il a une liste Microsoft encore rouge. Traitez-la comme une file, pas comme un caprice du client.
Gardez un tableur simple : date du signalement Edge, URL exacte, date du clean, date du recours Bing, date SmartScreen si distinct. Cinq colonnes évitent de relancer le mauvais formulaire. Les dossiers que nous reprenons ont souvent trois e-mails envoyés à Google pour un blocage Microsoft. Le client entreprise, lui, n'ouvre que Edge : tant que cette file n'est pas traitée, le ticket « chez nous ça bloque » continue. Un constat fichiers unique se colle aux deux recours.
Où Bing affiche le signalement
Trois surfaces : un bandeau dans Edge, un résultat Bing barré ou annoté, un message dans Bing Webmaster Tools (sécurité / malware). SmartScreen peut aussi bloquer un téléchargement depuis votre domaine sans que la home soit marquée.
Notez l'URL exacte, pas seulement le domaine. Comme Google, Microsoft classe parfois un chemin (`/wp-content/uploads/invoice.php`) et pas la racine. Nettoyer la home et laisser le PHP dans uploads laisse le drapeau.
Les captures avec barre d'adresse servent au recours. Un client qui envoie une photo floue d'un écran Edge : demandez l'URL. Sans elle, vous ne savez pas si c'est SmartScreen, un proxy d'entreprise, ou Kaspersky — trois formulaires différents. Voir Bitdefender ou Kaspersky.
- Edge / SmartScreen : écran de blocage.
- Bing SERP : annotation ou retrait.
- Webmaster Tools : rapport sécurité.
SmartScreen n'est pas Search Console
SmartScreen mélange réputation de domaine, téléchargements, et signalements utilisateurs. Un `installer.php` Duplicator oublié, un ZIP d'Updraft en clair, un `backup.sql` : ça suffit. Ce n'est pas « un virus WordPress » au sens GSC.
Après nettoyage, le formulaire Microsoft / SmartScreen et le recours Webmaster Tools peuvent être deux démarches. Lisez ce que le message vous demande. Coller le numéro de ticket Search Console n'aide pas un opérateur Bing.
Le délai : souvent plus long que les 24–72 h Google. Comptez plusieurs jours, parfois une semaine. Relancer tous les matins n'accélère pas.
Ce que Webmaster Tools montre
Si la propriété Bing n'existait pas, créez-la avec le même DNS / fichier que GSC. Vous aurez le rapport. S'il existait déjà, cherchez les utilisateurs : un compte Microsoft inconnu, comme dans GSC, resoumet des sitemaps. Révoquez.
Bing indexe aussi les pages pharmacies. `site:domaine` sur Bing n'est pas le même compteur que Google, mais un générateur vivant nourrit les deux. Coupez la source une fois. Ne « désindexez que Google ».
L'outil d'inspection Bing, s'il est disponible sur l'URL, sert la même preuve que GSC : HTML vu par le robot. Gardez-le. Voir inspection URL pour la méthode, applicable aux deux.
Si vous n'avez jamais créé la propriété, le fichier `BingSiteAuth.xml` ou le CNAME `verify.bing.com` peuvent déjà exister : un prestataire ou l'attaquant a vérifié avant vous. Inventoriez DNS et racine comme pour Google. Un second fichier de vérif que vous ne contrôlez pas, c'est un second compte qui soumet encore des sitemaps.
Le recours Bing, après le site propre
Même règle qu'ailleurs : pas de recours le jour où Wordfence « répare 80 fichiers ». Site stable, plus d'URL 200 frauduleuse, puis le formulaire. Joignez le constat : chemins, dates, ce qui a été fermé (File Manager, xmlrpc si inutile, PHP uploads).
Une phrase « Google a déjà levé » est une info utile en plus, pas un substitut. Microsoft revérifie. S'il retrouve `radio.php` à la racine, il refuse.
Gardez le numéro de suivi. Un second recours trop tôt, comme chez Google, allonge.
Même nettoyage, preuves partagées
Vous ne nettoyez pas « pour Bing » et « pour Google ». Vous fermez l'entrée une fois. Les pièces (copie du site, liste de fichiers, captures) servent aux deux, à l'hébergeur, à l'assureur.
Les portes WordPress habituelles — thème nulled, plugin oublié, `installer.php` — sont décrites dans WordPress piraté et le guide WordPress. Bing n'a pas une backdoor spéciale Microsoft.
Si le signalement SmartScreen vient d'un fichier à télécharger, retirez-le du webroot, pas seulement de l'index. Un 200 sur `/backup.zip` continue d'alimenter la réputation.
Index Bing et pages spam
Bing met parfois plus longtemps à lâcher les URL pharmacies. Le 410 et le sitemap propre aident. Un Disallow: / de panique dans robots.txt les deux crawlers le voient : vous enterrez aussi vos vraies pages. Voir robots.txt après hack — le fichier est commun.
IndexNow n'est pas un bouton magique pour faire oublier du malware. Ne poussez pas des milliers d'URL encore sales.
Ne pas ignorer « parce que c'est Bing »
En France le volume Bing est faible sur beaucoup de niches, élevé sur d'autres (senior, admin, Edge par défaut). Un B2B dont les clients sont sous Windows ignore Bing à ses dépens.
Outlook et les liens dans les mails passent par SmartScreen. Un devis envoyé depuis le domaine, pendant que le site est marqué, atterrit mal — autre dossier, même réputation.
Pour un constat unique réutilisable Google / Bing / hébergeur, créez un compte. Pas besoin des accès Microsoft à l'inscription.
Si le signalement SmartScreen vient d'un téléchargement (PDF, ZIP, installer), retirez le fichier du webroot et de tout cache CDN, pas seulement de l'index. Un 200 sur `/backup.zip` continue d'alimenter la réputation même après un WordPress rutilant. Les portes habituelles — thème nulled, `installer.php`, PHP dans uploads — sont les mêmes que pour Google. Voir WordPress piraté et le guide WordPress. Pour un constat réutilisable Google et Bing, créez un espace.