Chrome affiche « site trompeur » : ce que vos visiteurs voient

Ce que l'écran rouge raconte (et ne raconte pas)

Chrome a consulté la liste Safe Browsing. Classification typique : hameçonnage, site trompeur, logiciel malveillant. Ce n'est pas un certificat expiré (ça, c'est un autre interstitiel, plus « technique »). Ce n'est pas « Google n'aime pas mon SEO ». Voir signification site trompeur.

L'écran peut citer une URL précise ou l'hôte entier. Notez le texte, en anglais parfois (`Deceptive site`). Capture avec l'URL. Ça oriente le path à tuer.

Un site « trompeur » n'est pas forcément un kit banque. Une redirection, un téléchargement forcé, une page de pub agressive signalée : le même écran. Le nettoyage change ; l'écran, non. Capturez le libellé exact (`Deceptive site`, « page trompeuse ») : il oriente phishing vs malware. Sans cette capture, l'équipe cherche un `.exe` pendant que l'URL utile est un `/login` HTML. Voir ce que ça signifie.

Ce que vos visiteurs font vraiment

Les habitués cliquent « détails → visiter ». Ils vous disent « chez moi ça marche ». Les nouveaux, les mobiles, les gens pressés partent. Le trafic chute, les appels aussi (« votre site est dangereux »). Prenez ces captures clients : elles datent mieux que votre desktop d'admin.

Expliquer « cliquez ignorer » dans un e-mail de masse est une mauvaise idée. Vous entraînez à contourner un vrai warning, et ça n'enlève pas la liste. Dites : on traite, le navigateur se mettra à jour.

Les favoris et les mails internes qui pointent en HTTP peuvent afficher un mélange d'alertes. Unifiez HTTPS après le propre, pas comme substitut.

Vous ne voyez rien : caches et listes

Connecté, IP bureau, extension qui bypass. Testez un téléphone 4G, navigation privée, un collègue hors VPN d'entreprise. Les listes se propagent par paquets : Chrome à jour vs Chrome d'un client. Pas « c'est réglé » parce que vous passez.

Le Transparency Report / état Safe Browsing du domaine donne une tendance, pas une seconde près. GSC problèmes de sécurité, autre vue.

Un antivirus desktop peut ajouter son propre écran. Distinguez « Chrome rouge Google » et « Norton a dit ». Deux files. Voir alerte Norton.

• Test 4G / privé / tiers.
• Texte exact de l'interstitiel.
• GSC + Transparency Report.

Trouver la ressource encore en 200

Google réexamine ce qu'il fetch. Une URL de kit, un `radio.php`, un exe, une redirection. Inspection d'URL, `site:`, les paths des mails clients. Tant qu'un 200 dangereux existe, le rouge est mérité.

Le cloaking : vous voyez propre, Googlebot voit le kit. Inspection « tester l'URL en direct ». Voir cloaking.

www vs non-www, HTTP, un sous-domaine. Quatre fetches. Un kit sur `old.votre-domaine.fr` suffit parfois à peindre `www` selon les listes. Nettoyez tout le compte d'hébergement, pas seulement le vhost que vous ouvrez le matin. L'inspection GSC sur la propriété domaine montre ces hôtes ; une propriété URL-prefix `https://www` les rate.

Certificat, HTTP, et autres fausses pistes

Renouveler Let’s Encrypt pendant que le shell tourne : une journée perdue. Le cadenas peut être vert sous l'écran rouge. Deux systèmes.

Passer tout en HTTPS ne lave pas un HTML d'hameçonnage. Ça peut même « rassurer » la victime. Traitez le HTML.

Changer de domaine « pour que Chrome oublie » : vous perdez le SEO et l'attaquant recommence. Voir nouveau domaine.

Nettoyer, tester comme Googlebot

Porte fermée, kits en 410, redirections mortes. Inspection live de la home, de l'ancienne URL du kit, de 3 pages métier. HTML = le vôtre. Mobile.

Videz CDN. Un cache a déjà fait échouer des réexamens : Google a téléchargé l'ancien kit.

Puis seulement le formulaire de réexamen. Une phrase : retiré telle URL, corrigé telle entrée, date. Voir rédiger le réexamen.

Déposer le réexamen

Search Console → problèmes de sécurité, ou le flux Safe Browsing indiqué. Une fois. Pas un roman. Pas « s'il vous plaît c'est urgent black friday ».

Si GSC n'est pas à vous, le propriétaire doit le faire, ou Transparency / le formulaire public selon le type. Ne créez pas trois propriétés dans la panique.

Un refus : lisez le motif, testez l'URL citée, attendez, corrigez. Pas le même texte le jour même. Voir réexamen refusé.

Les 24 à 72 heures, concrètement

Après un site réellement propre et une demande acceptée en traitement, beaucoup de domaines redeviennent verts en 24 à 72 h. Ce n'est pas une garantie. Les listes locales Chrome se mettent à jour ensuite : un client peut voir rouge un jour de plus.

L'index spam (`site:` titres japonais) n'est pas cette horloge. Semaines. Dites-le à votre boss : deux phrases, deux délais.

Relancer le réexamen à H+4 n'accélère pas. Ça peut nuire. Tenez la frise : clic, statut, relecture J+1 puis J+3. Entre les deux, cherchez un 200 oublié. Annoncez 24 à 72 h aux habitués, et qu'un Chrome d'entreprise non à jour peut rester rouge un jour de plus. « Cliquez ignorer » n'est pas une consigne que vous donnez par mail.

Si l'écran reste après un feu vert GSC

GSC « aucun problème » ≠ Chrome vert. Files différentes, caches différents. Attendez la propagation, testez un Chrome à jour hors sync d'entreprise.

Firefox / Edge encore rouges : leurs listes. Proxy client : entreprise.

Vous pouvez déclarer le site. Les captures de l'écran rouge + l'URL citée raccourcissent. Ne dites pas aux clients d'ignorer l'alerte.

• Plus aucun 200 dangereux (tous hôtes).
• Inspection live propre.
• Un réexamen factuel.
• 24-72 h + patience listes locales.