Combien coûte le nettoyage d'un site piraté en France

Pourquoi un seul « tarif malware » n’existe pas

Combien coûte le nettoyage d’un site piraté en France ? La réponse honnête est une fourchette, pas un sticker. Le travail n’est pas « enlever le virus ». C’est trouver l’entrée, retirer les portes, remettre un arbre de fichiers cohérent, tourner les secrets, parfois désindexer, parfois parler à l’hébergeur, parfois constater une lecture de base. Ces blocs n’ont pas le même temps.

Un scanner automatique + un email « c’est propre » n’est pas le même produit qu’une comparaison fichier à fichier + suivi 30 jours. Les deux s’appellent « nettoyage » sur une landing page. D’où les écarts de 1 à 10.

Le CMS compte, le volume aussi (1 vhost vs 15 sites sur le compte), l’accès (panel mort, prestataire disparu), l’urgence (phishing en 200). Un devis sans ces questions est un tarif de catalogue, pas un devis.

• CMS et surcharges (Elementor, Woo, modules maison).
• Symptôme : défacement vs cloaking vs skimmer vs rançon.
• Dégâts annexes : index, Safe Browsing, suspension, mail.
• Nombre de vhosts sur le compte.

Vitrine WordPress simple : ce qui tient dans un forfait

Cœur + quelques extensions officielles, un thème enfant léger, une home défigurée ou un PHP à la racine, panel accessible, un seul site : une intervention tenue peut entrer dans une journée. En France, on voit souvent des forfaits de quelques centaines d’euros TTC pour ce profil, constat écrit inclus, quand l’entrée est un classique (extension, admin faible).

Ça sort du forfait dès que le thème nulled est le cœur de l’infection, dès que la base injecte du JS, dès que cinq backups sales ont été restorées, dès que `site:` montre 8 000 URL. Le prestataire sérieux requalifie. Celui au forfait figé « termine » et vous rappelle dans huit jours.

Wordfence / Sucuri « réparer » n’est pas un poste à 0 € : c’est souvent un second dossier. Voir plugin pendant l’attaque.

Boutique, skimmer, comptes clients

PrestaShop, WooCommerce, Magento : le tunnel, les modules de paiement, les employés, les webservices. Un skimmer se facture comme une enquête, pas comme un défacement. Le coût d’une erreur (laisser le JS de checkout) dépasse l’intervention. D’où des devis plus hauts, et la question fuite qui s’ajoute — le constat, pas « la CNIL à votre place ».

Les commandes et stocks interdisent le rewind sauvage. Plus d’heures à comparer, moins de bouton restore. C’est du temps, donc du prix. Un forfait vitrine appliqué à une boutique est un mauvais signe.

Si une banque ou un PSP demande un scan PCI-ish, c’est un autre livrable. Demandez-le nommément. Ce n’est pas « le nettoyage ».

Spam déjà indexé et alertes Google

Couper le générateur est du nettoyage. Faire partir 15 000 URL de l’index, suivre Safe Browsing, recoller les titres : c’est du temps Search Console, parfois étalé sur des semaines. Certains forfaits l’incluent en « suivi », d’autres le facturent à part. Faites-le dire.

Un réexamen trop tôt (site encore sale) coûte des jours, pas des euros — mais ces jours sont du CA. Le retrait blacklist n’est pas un clic inclus magique.

Les pubs coupées (Google Ads, Meta) : encore un autre guichet. Le nettoyeur CMS n’est pas le compte pub. Budgetz séparément.

Ce que les forfaits à 79 € ne font pas

Ils lancent un scanner, retirent les signatures connues, vous envoient un PDF vert. Ils ne comparent pas le thème enfant, ne lisent pas `wp_options`, n’ouvrent pas le voisin `old/`, ne tournent pas les Application Passwords, ne restent pas 30 jours. Le backdoor d’une ligne passe. Vous rappelez. Le forfait « c’était pas compris ».

Certains casseurs de prix demandent un accès admin unique, posent leur plugin, et partent. L’accès reste. Vérifiez la révocation dans le devis : accès révocables, pas de compte éternel « support ».

Un prix trop bas n’est pas toujours une arnaque : c’est parfois un traitement partiel assumé. Achetez-le en connaissance, pas comme « l’équivalent » d’une intervention complète.

Ce qui n’est pas du nettoyage (et se facture ailleurs)

Refonte, migration d’hébergeur, passage PHP, reconstruction sans backup, accompagnement CNIL, avocat, pub, SEO « on remet les positions d’avant » (personne ne le promet honnêtement). Perte d’exploitation. Huissier. Formation de l’équipe.

Le durcissement (2FA, WAF, politique de maj) peut être un forfait à la suite, utile, distinct. L’installer pendant l’attaque n’est pas le nettoyage.

L’hébergeur qui facture un « unsuspend » ou un scan Imunify : ligne hosting, pas ligne incident. Parfois nécessaire, rarement suffisante.

Comparer deux devis sans se faire avoir

Cherchez : périmètre (un site / tout le compte), livrable écrit, suivi (7, 15, 30 jours), ce qui est exclu (Google, mail, boutique), accès demandés (révocables), prix avant validation. Un devis qui refuse de lister l’exclu est un devis qui surprendra.

Le moins-disant gagne si vous comparez une ligne. Il perd si vous comparez un second incident à J+10. Le vrai coût est souvent nettoyage 1 + nettoyage 2 + CA. D’où soi-même ou déléguer : le DIY n’est gratuit qu’au premier essai réussi.

Chez nous le prix s’affiche avant validation, sans accès serveur pour ouvrir le dossier. Ce n’est pas un argument de « moins cher que tout le monde ». C’est un critère de comparaison : vous savez ce que vous achetez.

Fourchettes, pas un prix magique

Ordres de grandeur 2024–2026, TTC, France, hors refonte : vitrine simple quelques centaines d’euros ; vitrine + spam indexé ou entrée tordue, plutôt le haut de la journée / le début d’un forfait supérieur ; boutique ou skimmer, souvent au-delà, parfois bien au-delà si PSP et constat de fuite ; compte multi-sites sale, multiple du premier. Un VPS rootkité n’est plus « un WordPress ».

Ces chiffres bougent. Un devis à 2 000 € n’est pas une arnaque par nature, un devis à 120 € n’est pas une affaire par nature. Relisez le périmètre.

Ajoutez le coût de ne rien faire : suspension, Ads coupées, clients qui partent. Ce n’est pas pour « faire peur ». C’est pour ne pas comparer le forfait à zéro, le comparer à l’alternative réelle. Déclarer le dossier affiche un prix avant que vous envoyiez les clés.