Faut-il mettre son site hors ligne après un piratage ?
Dans la plupart des cas, non : une coupure prolongée coûte plus cher en référencement que l’incident. L’exception tient en trois situations — page d’hameçonnage, téléchargement forcé, rançongiciel encore actif. Voici comment décider en cinq minutes, sans éteindre le domaine par réflexe.
Dans la plupart des cas, non : une coupure prolongée coûte plus cher en référencement que l'incident. L'exception : une page d'hameçonnage ou un rançongiciel actif.
Couper le site ou couper les accès
« Mettre le site hors ligne après un piratage » mélange deux gestes. Couper les accès (panel, FTP, admin CMS, sessions) est presque toujours utile, et tout de suite. Éteindre le vhost, pointer le domaine vers une page d’erreur, ou laisser l’hébergeur suspendre : c’est autre chose. Ça retire le site de la circulation, y compris pour vous, pour Google, et pour les preuves que vous n’avez pas encore copiées.
Le réflexe vient de la peur que « les visiteurs voient encore le virus ». Dans un défacement, une redirection SEO ou un spam déjà indexé, garder le site joignable permet de constater, de comparer, et d’éviter que l’index perde vos vraies pages. Dans un kit d’hameçonnage servi en 200, l’inverse est vrai : chaque minute en ligne alimente Safe Browsing et le ticket d’abus.
Donc la question n’est pas « on coupe ou on ne coupe pas ». C’est : qu’est-ce qui est en ligne précisément, et qui le voit. Si vous ne savez pas encore, ne touchez pas au DNS. Changez le mot de passe du panel, ouvrez un ticket, copiez. Ces trois gestes n’éteignent rien.
- Toujours : changer panel + FTP, révoquer les sessions admin.
- Souvent : garder le site joignable le temps du constat.
- Parfois : maintenance ou 403 sur une URL frauduleuse seulement.
- Rarement : extinction complète du domaine.
Ce que coûte vraiment une mise hors ligne
Googlebot qui reçoit des 503 ou des timeouts pendant plusieurs jours désindexe, ou au moins décale le crawl. Les positions mettent ensuite plus longtemps à revenir que le temps du nettoyage. Une vitrine fermée trois jours pour une home défigurée que personne n’aurait plus vue après une heure de travail : le rapport est mauvais.
Côté métier, les formulaires, les prises de rendez-vous et le tunnel de commande s’arrêtent. C’est un argument pour isoler une URL, pas pour éteindre le domaine. Une boutique peut refuser le paiement et garder le catalogue. Un site vitrine peut servir une home propre dès que le fichier d’accueil est rétabli — sans que l’entrée soit encore fermée, d’où l’ordre : constater d’abord.
La coupure détruit aussi votre capacité à tester comme un visiteur. Plus de redirection mobile à reproduire, plus d’inspection Search Console utile, plus de HTML « vu par Google ». On se retrouve à nettoyer à l’aveugle. C’est le motif le plus fréquent des dossiers qui durent une semaine au lieu de deux jours.
Les trois cas où il faut couper tout de suite
Première exception : une fausse page bancaire ou un kit d’hameçonnage répond 200 sur votre domaine. Là, chaque visiteur est une victime potentielle, et chaque hit nourrit le signalement. Coupez cette URL (retrait du fichier, règle 403, maintenance sur ce chemin), pas forcément tout le site si le reste est sain.
Deuxième : un téléchargement forcé (exe, apk, js packagé) servi depuis un dossier public. Motif de blacklist parmi les plus rapides. Retirez le fichier, bloquez l’extension au niveau Apache/Nginx, prévenez l’hébergeur avec le chemin.
Troisième : un message de rançon encore actif, chiffrement en cours, ou script qui continue d’écrire. On isole le compte (permissions, processus PHP, cron), on fige une copie si elle existe encore, on ne laisse pas le payload tourner « pour voir ». Dans ces trois cas, une page de maintenance temporaire est un moindre mal.
Maintenance ciblée plutôt qu’extinction du domaine
WordPress : un plugin de maintenance ou un `.maintenance` à la racine coupe tout le front. C’est brutal. Préférez une règle sur le chemin frauduleux (`/wp-login.php` clone, `/secure/`, un dossier à nom aléatoire). Nginx : `location` + `return 403`. Apache : `RedirectMatch` ou `Require all denied` sur ce préfixe.
Si vous devez afficher un message aux visiteurs, une page statique légère (« Intervention en cours, pas de saisie de paiement ici ») vaut mieux qu’un 500. Évitez d’y mettre un formulaire « contactez-nous » qui pointe encore vers le CMS compromis.
Ne pointez pas le DNS vers un autre hébergeur « le temps de voir ». Vous perdez les logs, vous risquez une seconde suspension, et l’attaquant recommence sur le serveur neuf. La migration se discute après nettoyage, pas comme substitut à une coupure. Voir changer d’hébergeur avec un site encore infecté.
Ce que Google et les bots voient pendant la coupure
Un 503 avec `Retry-After` de quelques heures est à peu près compris. Un 404 sur tout le domaine, un timeout, ou une page parking de l’hébergeur pendant une semaine : l’index se dégrade. Les URL spam déjà présentes, elles, restent tant que vous ne les avez pas fait répondre 404/410 après coupure du générateur.
Safe Browsing continue de recrawler. Si la page d’hameçonnage est encore en 200, le réexamen échouera, coupure globale ou non — Google suit l’URL, pas « le site est en maintenance ». D’où l’intérêt de couper l’URL sale plutôt que le domaine.
Les moniteurs d’uptime et les clients, eux, voient juste « le site est mort ». Prévenez en direct les interlocuteurs utiles (pas un post public alarmiste) si la coupure dépasse quelques heures. Le détail communication est dans faut-il prévenir ses clients.
Comparaison : hors ligne vs joignable vs URL isolée
Site joignable : vous testez, Google crawl vos vraies pages, les preuves restent reproductibles. Risque : les visiteurs voient encore le symptôme. Acceptable pour défacement, spam SEO, redirection déjà connue, dès que vous pouvez poser une home propre ou retirer la ligne `.htaccess`.
URL isolée (403/maintenance sur le chemin) : bon compromis pour phishing, dossier d’uploads PHP, clone de login. Le reste du site continue. C’est la décision par défaut quand vous avez identifié le chemin.
Domaine éteint : utile seulement si vous ne pouvez pas isoler (payload partout, chiffrement en cours, hébergeur qui impose). Coût SEO et perte de diagnostic. Décision à dater : « on rouvre dès que X est retiré », pas « on verra lundi ».
- Défacement, spam indexé, redirection SEO → rester joignable, retirer le symptôme visible.
- Phishing, exe/apk, iframe d’exploit → isoler l’URL ou le dossier.
- Rançon active, minage qui va faire suspendre → isoler le compte, prévenir l’hébergeur.
Comment décider en cinq minutes
Regardez ce qui est servi, pas ce que vous ressentez. 1) Une page demande un mot de passe bancaire, un RIB, une carte ? Coupez cette URL. 2) Un fichier se télécharge tout seul ? Coupez le fichier. 3) Les fichiers se chiffrent encore ? Isolez le compte. 4) Sinon : panel, copie, ticket, tests visiteurs. Le site reste up.
Si vous n’avez pas le FTP, n’éteignez pas « au cas où » depuis le DNS. Demandez une archive et le motif. Une extinction DNS sans copie, c’est souvent une semaine de retard et un site recréé sale ailleurs.
En doute entre 3 et 4, isolez l’URL suspecte plutôt que tout le domaine. Vous pourrez toujours élargir. L’inverse (rouvrir un domaine éteint proprement) est plus long.
Remettre en ligne trop tôt, ou trop tard
Trop tôt : home propre, backdoor encore là, réexamen Google déposé, refus enregistré. Ou phishing retiré du visible mais encore en 200 sur une autre URL. Vérifiez `site:`, l’inspection d’URL, mobile, privée, avant d’annoncer « c’est fini ».
Trop tard : maintenance générale oubliée, `.maintenance` qui reste, plugin « coming soon » indexé, DNS toujours chez le parking. Mettez un rappel à H+4 et H+24. La page de maintenance n’est pas un état stable.
Si l’hébergeur tient le bouton, la remise en ligne dépend du constat écrit, pas du fait que vous ayez « coupé pour faire plaisir ». Annoncez l’intervention, pas « rouvrez ». L’ordre complet est dans mon site est piraté, que faire.