Un devis de nettoyage de site : ce qu'il doit contenir
Un prix sans périmètre n'est pas un devis. Fichiers, base, blacklist, délai, garantie, et surtout ce qui n'est pas inclus : voilà ce qui permet de comparer deux offres sans se faire vendre une refonte déguisée.
Périmètre (fichiers, base, blacklist), délai, garantie, ce qui n'est pas inclus (refonte, nouvelles fonctionnalités). Un prix sans périmètre n'est pas un devis.
Ce qu'un devis utile tranche avant le premier fichier
Vous n'achetez pas « un nettoyage ». Vous achetez un constat, une fermeture d'entrée, une vérification visiteur, et souvent un accompagnement Google. Si le document ne dit que « WordPress + malware — 490 € », vous ne saurez jamais si la base, le voisin de compte et le réexamen sont dedans.
Un devis lisible tient en une page : CMS et version, symptômes décrits par vous, ce qui sera inspecté, ce qui sera livré par écrit, délai, prix, exclusions. Le reste est du décor. Nous affichons le prix avant que vous envoyiez un accès : c'est le même principe, côté création de compte.
Si on vous demande les identifiants pour « pouvoir chiffrer », inversiez. Un ordre de grandeur se donne sur les symptômes (redirection mobile, pages japonaises, phishing, boutique). Le surplus se discute après copie, pas avant.
Le périmètre : fichiers, base, index, listes
Quatre couches reviennent. Les fichiers (cœur, thème, extensions, racine, uploads). La base (options, posts, utilisateurs, parfois commandes). L'index Google (sitemaps pirates, préfixes à retirer). Les listes (Safe Browsing, antivirus, parfois Ads). Un forfait qui n'en nomme qu'une vous laisse les trois autres.
Précisez aussi le compte d'hébergement, pas seulement « le site ». Un blog abandonné à côté de la boutique est une rampe. Si le devis ignore les autres dossiers du panel, demandez-le. C'est le cas développé dans WordPress et PrestaShop sur le même compte.
Pour une alerte Chrome ou un ticket d'abus, le constat écrit fait partie du périmètre, pas d'un extra. L'hébergeur et Google le réclament. Un mail « c'est clean » ne rouvre pas un compte suspendu.
- Fichiers : comparaison au zip officiel, racine, mu-plugins, cron.
- Base : utilisateurs, options, contenus injectés — pas un dump restauré à l'aveugle.
- Index : robots.txt, sitemaps, retrait de préfixe si besoin.
- Listes : réexamen Safe Browsing une fois le site réellement propre.
Délai, disponibilité, et les trois horloges
Le nettoyage tient souvent en un à trois jours ouvrés. La levée Safe Browsing : 24 à 72 heures après un site propre. Les pages spam dans `site:` : une à plusieurs semaines. Un devis qui promet « remise en première page lundi » mélange les trois horloges. Relisez.
Demandez ce qui est livré à J+1 (site joignable, phishing coupé, accès tournés) et ce qui reste en suivi (réexamen, désindexation). C'est honnête. C'est aussi ce que décrit la page retrait d'une blacklist Google.
La disponibilité compte : un forfait « sous 10 jours » alors que Chrome bloque vos clients n'est pas le même produit qu'une intervention sous 24 h. Faites écrire le délai de prise en charge, pas seulement le délai de fin théorique.
Garantie : trente jours, pour quelle faille
« Garanti » sans phrase est un adjectif. Une garantie utile dit : même entrée, même famille de payload, fenêtre de trente jours, hors nouvelle faille d'une extension que vous réinstallez, hors mot de passe que vous redonnez en clair. C'est le cadre dans lequel nous travaillons.
Elle ne couvre pas une refonte, un changement de thème « pendant qu'on y est », ni un second CMS sur le même compte laissé sale. Si le devis est muet, posez la question par écrit. La réponse fait partie du contrat.
Une garantie qui exige que vous n'installiez plus rien pendant un an n'est pas tenable. Une garantie qui exige que vous appliquiez les mises à jour listées dans le constat, si.
La colonne « n'est pas inclus »
C'est la colonne la plus utile. Refonte graphique, nouvelles fonctionnalités, migration d'hébergeur, montée de version PrestaShop 1.6 → 8, rachat de liens, « remise au niveau SEO d'avant ». Si ce n'est pas écrit en exclusion, vous le découvrirez en extra.
Mélanger nettoyage et refonte allonge tout et masque les portes. Deux projets, deux devis : c'est le sujet de profiter du piratage pour refondre. Un prestataire qui fusionne les deux dans une seule ligne « remise à neuf » vend le second au tarif du premier — ou l'inverse.
La notification CNIL, la plainte, l'échange avec l'assureur : un nettoyeur fournit le constat, pas la déclaration à votre place. Si le devis promet de « s'occuper du RGPD », demandez ce que ça veut dire concrètement. Souvent : rien d'opposable.
- Refonte, nouveau thème, nouveau builder.
- Migration d'hébergeur (sauf si chiffrée à part, après site propre).
- Recouvrement SEO « comme en 2024 ».
- Déclarations CNIL / clients (constat oui, signature non).
Forfait WordPress contre régie : quand chacun ment
Un forfait a un sens sur un WordPress vitrine, un symptôme clair, un compte isolé. Il ment dès que la boutique, le headless, le voisin de dossier ou la sauvegarde sale s'en mêlent. Une régie a un sens sur un PHP métier sans zip officiel. Elle ment si on vous facture des heures pour relancer Wordfence en boucle.
Demandez le plafond. « Forfait 390 €, au-delà on bascule en régie » est acceptable si le seuil et le tarif horaire sont écrits. « On verra » ne l'est pas. À l'inverse, une régie sans estimation haute n'est pas comparable à un forfait voisin.
Méfiez-vous du forfait qui inclut « tous les plugins de sécurité » : pendant l'attaque ils ajoutent du bruit. On les pose à la fin, comme filet. Voir installer un plugin de sécurité pendant l'attaque.
Les phrases qui doivent vous faire relire
« On réinstalle WordPress, ce sera plus propre. » Sans lecture de la sauvegarde, c'est souvent remettre le shell. « On change de domaine pour repartir. » Vous perdez l'historique, l'attaquant recommence : changer de nom de domaine. « On s'occupe de Google, vous n'avez rien à faire. » Personne ne lève Safe Browsing à votre place si le phishing répond encore 200.
« Accès TeamViewer permanent inclus. » Ce n'est pas un plus, c'est un risque. « Licence premium offerte. » Demandez d'où vient l'archive. Un zip nulled est une porte, pas un cadeau — le cas Stripe PrestaShop le montre assez.
Un devis qui ne mentionne ni copie hors serveur, ni rotation des mots de passe, ni test mobile / navigation privée, décrit un coup de balai, pas une fermeture.
Comparer deux devis sans tout mélanger
Alignez les quatre couches, le délai de prise en charge, la garantie, les exclusions. Le moins-disant qui ignore la base et Search Console n'est pas moins cher : il est incomplet. Le plus-disant qui inclut une refonte n'est pas plus sérieux : il est hors sujet.
Regardez aussi ce qu'on vous demande comme accès. Un coffre révocable et un compte nominatif, c'est le bon signal. Un SMS avec « tous les mots de passe » et une session AnyDesk, c'est le mauvais. Le détail est dans quels accès un prestataire doit demander.
Si vous hésitez encore entre faire seul et déléguer, le critère n'est pas le prix du devis : c'est votre capacité à comparer un fichier à son zip et à lire un journal. Sinon, un devis clair coûte moins cher qu'une deuxième infection.