Premiers secours · 7 min · publié le 30 août 2026

Page de maintenance pendant le nettoyage : le texte utile

Dites que le site est temporairement indisponible, donnez un email ou un téléphone, pas le roman de l'attaque. Évitez une 200 sur l'URL de phishing : cette URL doit mourir. La maintenance est un message, pas un cache-misère pour un kit encore en ligne.

Réponse directe

Dites que le site est temporairement indisponible, donnez un email ou téléphone, pas de détails d'attaque. Évitez une 200 sur l'URL de phishing : cette URL doit mourir.

page maintenance piratage texte maintenance hack maintenance vs phishing

À quoi sert la page, concrètement

Rassurer ceux qui tapent votre nom, donner un canal (téléphone, email hors site), éviter les captures « site hacké » sans contexte. Ce n'est pas un nettoyage. Ce n'est pas un 410. C'est de la comm pendant que les fichiers se traitent.

Si le danger est une URL précise (kit, redirect), on tue cette URL, on ne met pas tout le domaine en maintenance par réflexe. Une vitrine fermée une semaine coûte plus cher en SEO et en confiance qu'un bandeau honnête sur un site déjà propre à 90 %. Faut-il couper.

Les premiers gestes : constater, copier, panel. La page de maintenance vient après, si vous avez besoin de parler, pas à la place.

Le texte qui aide, le texte qui empire

Utile : « Notre site est temporairement indisponible. Pour nous joindre : … Nous travaillons à rétablir le service. » Court, daté si possible (« mise à jour le … »), sans jargon. Un logo, un téléphone que les gens connaissent déjà.

Nocif : le détail de l'attaque, les noms de fichiers, « on a été piratés par un groupe », un compte à rebours, un formulaire de contact sur la même infra encore douteuse. Trop d'aveux nourrissent la presse locale et les relances d'arnaque (« c'est nous, le support sécurité »).

Pas de faux certificat, pas de « cliquez ici pour vérifier que vous n'êtes pas un robot » : ça ressemble au phishing que vous êtes en train de retirer. Popup faux support.

  • Indisponible temporairement + canal de contact connu.
  • Pas de roman technique, pas de formulaire neuf sur le site sale.
  • Pas de 200 rassurant sur une URL de kit.

200, 503, et ce que Google en fait

Une maintenance honnête côté SEO, c'est plutôt un 503 avec Retry-After, pas un 200 qui dit « tout va bien » en HTML. Beaucoup de plugins WordPress servent un 200. Pendant deux jours, c'est tolérable. Pendant trois semaines, Google prend ça pour votre nouveau site : une page vide.

Un 503 trop long fait aussi descendre. D'où : maintenance courte, ou site réel propre visible, pas un entre-deux d'un mois. Les horloges (nettoyage, Safe Browsing, index) ne se règlent pas avec un rideau. Blacklist.

Le noindex global du plugin maintenance : dangereux si vous l'oubliez. Plugin maintenance et indexation.

Jamais de maintenance « propre » sur le phishing

L'URL du kit doit cesser d'exister : 404 ou 410, fichier retiré. Une jolie page « nous sommes en maintenance » en 200 à cette adresse dit encore à Google et aux listes : il se passe quelque chose ici, et ça répond. Les revues Safe Browsing n'aiment pas ça. URL en 200.

Un 301 de l'URL phishing vers l'accueil : souvent lu comme de l'évitement. 410.

Un htpasswd sur le chemin du kit, en urgence, puis 410. Pas une 200 de comm.

Plugins WordPress : noindex et le piège

Les plugins « coming soon / maintenance » ajoutent parfois noindex, un template, un accès « je suis admin ». Oublier le plugin = site invisible ou template éternel. Posez une date de retrait, comme le htpasswd.

Un plugin maintenance vulnérable ou nulled est une porte de plus. Circuit officiel, ou une page statique au vhost, hors WP, si WP est le problème.

Headless : la maintenance se fait à l'edge / au front, pas seulement dans WP. Sinon le SSG continue de servir le spam cuit. Headless.

Combien de temps, et pour qui

Quelques heures à deux jours : raisonnable pour un message unique. Au-delà, rouvrez ce qui est sain (vitrine, mentions) et gardez fermé ce qui est dangereux (checkout, formulaire). Une boutique peut vendre « info uniquement » une semaine. Elle ne doit pas encaisser si le tunnel est douteux.

Les campagnes Ads : destination en maintenance 200/503, les revues râlent. Pause Ads > Ads vers une page « bientôt ». Ads.

Ne mélangez pas avec une refonte « tant qu'on est fermés ». Deux projets, le rideau n'est pas un atelier.

Clients, asso, boutique : caler le message

Resto / hôtel : téléphone de résa, pas « nos avis Google ». Cabinet / asso : un email déjà connu des usagers, pas un nouveau Gmail créé dans la nuit. Boutique : si le paiement est coupé, dites-le clairement (« commandes par téléphone ») plutôt qu'un vague « bientôt ».

Si une fuite se discute, la page de maintenance n'est PAS le lieu de la notification RGPD. Canal séparé, texte relu, après constat. Ne mixez pas « site en travaux » et « vos données ». Ça crée la panique sans prouver.

Un QR code / une carte de visite : ils tombent sur la maintenance. Le téléphone dessus doit marcher. Vérifiez.

Nous ne rédigeons pas votre communiqué de crise à votre place. Qui nous sommes. On peut dire si l'URL de phishing est bien morte. Le ton, c'est vous.

Retirer la page : un geste daté

Site propre, tests visiteur, inspection alignée, puis on ôte le plugin / la page vhost. On vérifie que `/` est le vrai gabarit, pas le coming soon. Purge cache / CDN. CDN, Redis.

Puis, si besoin, réexamen Safe Browsing. Pas l'inverse (réexamen pendant la 503 globale).

Déclarer : dites si une maintenance est en ligne, et si une URL de kit l'est aussi. On traitera le kit d'abord, le texte ensuite. Le prix s'affiche avant les accès. Le message, vous pouvez le coller dans l'espace : on vous dira s'il est trop bavard, pas s'il est « marketing ».

Questions fréquentes

Je mets « piraté, ne saisissez rien » ?

+
Si le risque phishing / formulaire est réel, une phrase sobre (« ne transmettez pas d'identifiants sur ce site tant que cette page s'affiche ») peut aider. Pas un roman, pas les détails d'IOCs. Le téléphone connu reste le meilleur canal.

Une 503 pendant trois semaines, ça passe ?

+
Mal. Google décroche. Rouvrez le sain, tuez le dangereux. Trois semaines de 503, c'est souvent une refonte déguisée. Mauvais mélange.

Le plugin Elementor « coming soon » suffit ?

+
S'il sert un 200 sur tout, y compris le kit, non. S'il oublie un sous-domaine, non. Vérifiez les hôtes et les codes HTTP. Un coming soon Elementor n'est pas un 410.

Je laisse la maintenance le temps que Chrome se calme ?

+
Chrome se calme quand le contenu dangereux a disparu et que le réexamen voit du propre, pas quand une 503 cache tout. Rideau ≠ levée. Alerte Chrome.

Puis-je mettre un formulaire « laissez votre email, on vous prévient » ?

+
Pas sur l'infra encore douteuse. Un email déjà connu, un répondeur, un Google Form sur un autre compte si vraiment besoin — et encore, c'est de la collecte. Le téléphone suffit souvent.
À lire ensuite
htpasswd en urgence URL de phishing encore en 200 Plugin maintenance et indexation Faut-il couper le site Premiers gestes Déclarer mon site