Combien de temps un site reste-t-il piraté si on ne fait rien
Sans rien faire, un site piraté reste compromis des jours à des années. Le spam s'indexe, la blacklist arrive, l'hébergeur coupe. Attendre « que ça passe » empire le dossier et le prix. Trois horloges distinctes : fichiers, listes, métier. Aucune ne s'arrête toute seule. Même après six mois, l'ordre reste copie puis panel : trop tard pour l'index, jamais trop tard pour commencer.
Des jours à des années. Le spam s'indexe, la blacklist arrive, l'hébergeur coupe. Attendre « que ça passe » empire le dossier et le prix.
Ça ne « passe » pas : ce qui s'accumule
Une backdoor n'a pas de date de péremption. Tant que l'entrée (extension, FTP, voisin) est ouverte, quelqu'un d'autre que vous peut écrire. Les symptômes, eux, varient : une semaine de calme, puis des titres japonais, puis Chrome. Ce calme n'est pas une guérison. Un site peut-il revenir seul.
Ce qui s'accumule : pages spam dans l'index, listes Safe Browsing, IP mail, confiance clients, parfois une table lue. Le coût réel n'est pas la facture de nettoyage.
Premiers gestes : même après trois mois d'attente, on commence par copier, pas par réinstaller. Les journaux, eux, ont souvent déjà rotaté : la copie fichiers reste.
Des jours : bots, copies, second payload
Dès qu'un shell répond 200, d'autres bots le trouvent. Phishing collé, mineur, spam. Un incident « petit » du lundi est un compte suspendu le jeudi. Cryptominage, phishing.
Chaque jour sans copie, c'est un jour de journaux qui rotatent. Logs.
Rançon plus rare, même logique : plus on attend avec les accès ouverts, plus ça chiffre. Rançongiciel.
Des semaines : Google, Ads, clients
`site:` se remplit. Safe Browsing. Ads coupées. Avis. Pages spam. Blacklist. Ads.
Les positions mettent plus longtemps à revenir que l'alerte à partir. Attendre pour « ne pas faire de vagues » fait les vagues dans l'index.
Clients : captures, bouche-à-oreille. Boutique : obligation d'informer parfois. Vitrine vs boutique.
Des mois et des années : le site oublié
CMS plus maintenu, prestataire parti, PHP ancien : le site « tourne encore » et sert de porte aux voisins du compte. CMS oublié. Isolation.
Nous ouvrons des dossiers dont l'entrée date de 18 mois. Le client appelle le jour de la suspension, pas le jour de l'entrée.
Éteindre est parfois plus honnête que « on verra l'année prochaine ».
L'hébergeur coupe : une horloge qui n'attend pas
Leur scan, un rapport d'abus tiers, le CPU. Vous n'avez pas choisi la date. Archive, adresse perso, constat. OVH, o2switch, guide.
Attendre après la coupure « que le support se lasse » n'arrive pas. La file veut une cause traitée.
Relancer toutes les heures n'accélère pas. Un constat, si.
Ce que l'attente fait au prix
Plus de fichiers, plus d'URLs à désindexer, parfois plus de données en jeu, parfois un second prestataire qui a « réinstallé » par-dessus. Le forfait de nettoyage monte. Le CA perdu aussi.
Déléguer tôt sur un petit site coûte moins que déléguer tard sur un index pourri. Choisir un prestataire.
Créer un compte : le prix s'affiche avant l'accès. Attendre ne le fait pas baisser.
Un site peut-il avoir l'air normal tout ce temps ?
Oui. Cloaking, admin épargné, mineur JS seulement sur mobile. « Chez moi ça marche » pendant six mois. Site OK chez moi.
D'où les tests même sans alerte Chrome — si un client a envoyé UNE capture.
HTTPS vert n'est pas une durée de vie. Cadenas.
Reprendre la main : l'ordre, pas le calendrier magique
Copie, panel, ticket, tests, nettoyage, maj après propreté, trente jours. Que vous attendiez trois jours ou trois mois, l'ordre est le même. La durée du chantier, elle, allonge avec l'attente.
Nettoyage : souvent 1–3 jours ouvrés une fois lancé. Listes : davantage. SEO : semaines. Délai remise en ligne.
WAF après, pas comme substitut d'attente. WAF. Attendre derrière un WAF pendant que le shell tourne n'est pas une stratégie ; c'est un abonnement.
Le calendrier passé ne se rattrape pas. Le suivant commence par une copie ce soir, même après six mois. C'est le seul geste qui n'est jamais « trop tard ».
Six mois plus tard : par où recommencer sans tout jeter
Même ordre : constater ce qui est encore en ligne (mobile, `site:`, Search Console), copier, panel, ticket s'il y a abus, puis nettoyer. L'index est plus sale, les listes plus longues, le métier peut avoir vécu avec. Ce n'est pas une raison de tout réécrire le dimanche. Un site ne revient pas seul.
Le devis sera plus haut (désindexation, voisins, parfois données). Chiffrer le coût réel évite de choisir un 49 € qui ignore six mois de pages. Choisir un prestataire.
CMS oublié resté ouvert tout ce temps : éteindre est parfois plus honnête. CMS oublié. Créer un compte. Les logs de l'entrée, eux, ont souvent déjà rotaté : les dates de fichiers et l'archive restent.