Iframe de réservation remplacée par une fausse

Le visuel ment, l’URL moins

Calendly, Zenchef, TheFork, Planity, Reservio, un module Doctolib : le visiteur voit un calendrier familier. L’attaquant n’a pas besoin de cloner parfaitement. Il change le `src` de l’iframe vers un clone qui collecte des noms, des téléphones, parfois une carte « pour garantir ». Vous, vous testez en étant connecté au page builder et vous voyez encore l’ancien bloc en cache.

Vue source déconnecté, téléphone, le `src` et les `data-` du script d’embed. Notez l’hôte. S’il n’est pas calendly.com / le domaine officiel de votre outil, ou un hostname que votre console affiche, c’est assez pour couper. Un homoglyphe (ca1endly, calendly-secure.…) se lit mieux sur papier que dans une police de thème. Copiez l’URL, lisez-la hors du site.

C’est le cousin du formulaire RDV : ici le métier est souvent resto, salon, cabinet à fort week-end. Le coût d’un samedi de fausses résas (ou de cartes prises) dépasse le dimanche sans widget.

• Iframe src + script src.
• Lien « ouvrir dans un nouvel onglet » du widget s’il existe.
• Bouton Google Business « Réserver » : quelle URL.

Comparer à la console du prestataire

Connectez-vous à Calendly / Zenchef / etc. depuis un favori que vous avez tapé à la main (pas un lien d’email). L’embed officiel, l’ID de compte, le slug d’event. Comparez caractère à caractère à ce que le site sert.

Des users inconnus dans la console du prestataire : révoquez, 2FA. L’attaque peut être chez eux (compte volé) autant que dans votre thème. Deux tickets possibles.

Si vous n’avez plus le mot de passe de Zenchef et que l’iframe pointe encore vers « votre » restaurant : récupérez le compte chez eux avant de croire le HTML.

Où l’iframe se fait remplacer

Page « Réservation », widget header, popup Elementor, extra thème, GTM (Custom HTML), un article « menu de Noël ». Plusieurs copies. En nettoyer une laisse les autres. Les landings Ads « offre dimanche » sont les championnes de l’oubli : encore en ligne, encore payées, encore sales.

Un shortcode WordPress qui enveloppe l’iframe : le shortcode est propre, l’option en base non. Comme les liens injectés, grep large.

CDN cache : purge après correction. Google et le client Orange peuvent voir l’ancienne iframe encore une heure.

Couper sans perdre toute la salle

Retirez l’iframe, mettez téléphone + « réservez au … » ou un lien officiel ouvert depuis la console (lien d’événement Calendly, pas un HTML chez vous). La page peut rester 200. Si l’iframe était un kit bancaire, 410 sur ce chemin (phishing 200). Prévenez la salle avant 19 h un vendredi : mieux vaut un service au téléphone qu’un service qui encaisse des acomptes fantômes.

Fiche Google : bouton Réserver. Pointez vers le téléphone ou le lien officiel le temps du doute — URL fiche.

Prévenez la salle / le standard : des résas déjà prises sur le faux widget n’existent pas chez vous. Ne les honorez pas « pour faire plaisir » sans vérifier ; certaines sont des leurres.

Paiement et données dans le faux widget

Acompte, CB « no-show », RIB : obligations PSP et constat. Même si vous n’êtes pas une boutique Woo : c’est un tunnel de paiement pirate sur votre nom.

Noms + téléphones + heures : données clients. Guide fuite si le volume et la nature le justifient. Un resto de 40 couverts le samedi, ce n’est pas théorique.

Ne demandez pas aux clients de « rentrer à nouveau leur carte chez nous pour vérifier ». Vous reproduisez le schéma de l’attaquant.

GTM, thème, pages « réservation » multiples

GTM : un tag HTML iframe. Versions du container. Users GTM. Le thème enfant. Les landing Ads qui ont leur propre embed (campagne « menu été ») — souvent oubliées, encore en ligne.

TheFork / widget réseau : parfois un script que le groupe pousse. Vérifiez aussi leur statut. Ne les accusez pas trop tôt ; vérifiez le src chez vous d’abord.

Ads locales : destination = page iframe sale. Coupez la campagne ou changez l’URL le temps du correctif.

Remettre le bon embed

Collez uniquement le snippet fourni par la console, aujourd’hui, pas un HTML de 2022 dans un email d’agence. Testez un vrai créneau test (puis annulez).

Mots de passe site + prestataire résa + GTM. Un iframe remis le lendemain, c’est l’accès.

Premiers gestes : copie avant de jeter le HTML pirate (preuve).

Après : une URL d’embed dans un endroit sûr

Documentez l’URL officielle (gestionnaire de secrets, pas un pad public). Revue trimestrielle : src encore bon. Moins de copies (une page résa, pas cinq landings divergentes).

2FA sur Calendly / Zenchef. Users nominatifs.

Déclarer si vous ne trouvez pas toutes les copies (Ads + GTM + thème + fiche). Le week-end, coupez d’abord ; on cherche ensuite.