Fiche Google Business : le site de destination est compromis
La fiche Google Business reste. Le clic vers le site, lui, tombe sur une alerte. Prévenez les clients par un post, traitez le site, ne créez pas une seconde fiche « le temps que ça passe ».
La fiche reste, le clic vers le site tombe sur une alerte. Prévenez les clients par un post, traitez le site, ne créez pas une seconde fiche « le temps que ça passe ».
Ce que la fiche montre encore
Google Business Profile n'efface pas votre restaurant ou votre cabinet parce que le site est piraté. Le Knowledge Panel, les horaires, le bouton d'itinéraire restent. Ce qui casse, c'est le bouton Site web et, parfois, un libellé de sécurité au moment du clic.
Les clients qui vous cherchent « près de moi » voient donc une fiche vivante et atterrissent sur un écran rouge. Ils concluent que vous avez fermé, ou que c'est une arnaque. Ce décalage — fiche saine, site dangereux — est le cas le plus fréquent après un malware local.
Ne jugez pas l'état du site depuis le Wi-Fi du magasin, souvent en whitelist. Testez le lien de la fiche en 4G, navigation privée. C'est ce que fait le client dans la rue.
Le clic, pas le NAP
Nom, adresse, téléphone n'ont généralement pas été réécrits. L'attaquant veut le trafic web, pas votre SIRET. Vérifiez quand même : un numéro remplacé par un call-center, un site changé vers un .xyz, un bouton « commander » qui pointe ailleurs. Ces modifications passent parfois inaperçues pendant des semaines.
Dans le gestionnaire de fiche, ouvrez l'historique des modifications si vous y avez accès. Un changement d'URL à 3 h du matin n'est pas vous. Revenez à l'URL HTTPS canonique, celle du certificat, pas une « landing de crise » sur un autre domaine.
Si la fiche a été transférée ou si un gestionnaire inconnu apparaît, révoquez-le comme vous révoqueriez un utilisateur Search Console. Le même email revient souvent dans Ads et Analytics. Voir utilisateurs GSC inconnus.
- URL du bouton Site web.
- Numéro de téléphone et WhatsApp.
- Gestionnaires et e-mails du compte Google.
- Lien de réservation / commande (TheFork, planity, Woo).
Un post plutôt qu'une deuxième fiche
Un post Google (« site en maintenance, téléphone et adresse inchangés, ne saisissez rien sur une page de carte ») calme plus de monde qu'un silence. Restez factuel. Ne promettez pas une date de rétablissement Google que vous ne tenez pas.
Créer une seconde fiche « Cabinet Dupont — temporaire » est la pire idée du dossier. Google les fusionne ou les marque comme doublon ; vous passez pour un spam local ; la fiche historique perd des avis. Le temps que le site soit propre se compte en jours, pas en mois.
Si vous devez absolument donner une URL, un formulaire simple sur un sous-domaine propre — vraiment propre, pas le même WordPress — peut servir. Dans 9 cas sur 10, le téléphone de la fiche suffit le temps du nettoyage.
Avis, messages et usurpation
Pendant l'incident, des avis « arnaque » apparaissent. Répondez une fois, factuel, sans polémique. Ne les faites pas supprimer en masse : ça aggrave le soupçon. Les messages de la fiche (chat) : répondez, ne donnez pas de lien de paiement improvisé.
Un attaquant qui a le compte Google de la fiche peut répondre aux avis à votre place ou changer le site. Validation en deux étapes sur ce compte, maintenant. Ce n'est pas « plus tard, après le FTP ».
Si quelqu'un a créé une fiche pirate avec votre nom, le signalement de doublon / usurpation est un autre dossier que le malware. Ne les mélangez pas dans le même texte à Google.
URL de destination : les quatre variantes
La fiche pointe parfois vers `http://`, parfois vers `www`, parfois vers une landing Ads. Safe Browsing classe des URL, pas « la marque ». Un `https://exemple.fr` vert et un `http://www.exemple.fr` encore redirigé vers un kit : le client qui clique la fiche prend la mauvaise.
Alignez la fiche sur l'URL canonique HTTPS, celle que Search Console inspecte propre. Fermez la redirection sale sur les trois autres. Un certificat expiré + une alerte malware se cumulent dans la tête du client — même si ce sont deux problèmes.
Les paramètres `?utm_source=gmb` doivent aboutir au même HTML. Un cloaking sur `utm` existe. Testez le lien exact copié depuis la fiche.
Local Pack et saison de l'alerte
Le Local Pack peut rester visible pendant que le clic site meurt. Vous avez donc encore des appels, plus de visites web. Ce n'est pas « Google qui vous a pardonné ». C'est un canal (téléphone) qui n'a pas besoin du CMS.
Ne concluez pas que le référencement local est sauvé. Une alerte prolongée, des avis d'incident, un site qui répond 500 : le pack finit par glisser. Traitez le site comme pour le reste de la blacklist, pas comme un sujet « SEO local à part ».
Si vous aviez des campagnes Local Services ou Ads local, elles suivent la destination. Même ordre que Ads suspendu.
Après le vert Chrome
Quand Safe Browsing lève, le bouton Site web redevient cliquable sans écran rouge, parfois avec 24 h de décalage selon les appareils. Un post de suivi (« site rétabli, méfiez-vous des pages de carte hors notre domaine ») clôt la séquence.
Demandez une inspection de l'URL de la fiche. Si Googlebot voit encore un autre HTML, le client aussi, par intermittence. Ne célébrez pas trop tôt.
WordPress local (resto, artisan) : les portes habituelles — Forminator oublié, thème nulled, File Manager. Le guide WordPress s'applique tel quel. Une fiche propre ne ferme aucune de ces portes.
Ce qu'il ne faut pas toucher
Ne supprimez pas la fiche pour « recommencer ». Les avis partent. Ne changez pas le nom de l'établissement pour y coller « officiel » ou « nouveau site ». Ça ressemble à du spam de fiche.
Ne pointez pas la fiche vers une page Facebook « le temps du nettoyage » si vous pouvez éviter : vous perdez le signal local web et vous habituerez Google à une autre destination. Exception courte, si le site est hors ligne pour phishing bancaire.
Pour le nettoyage du CMS, déclarez le site. Nous n'avons pas besoin du mot de passe de la fiche à l'inscription.