Page de maintenance pendant le nettoyage : le texte utile
Dites que le site est temporairement indisponible, donnez un email ou un téléphone, pas le roman de l'attaque. Évitez une 200 sur l'URL de phishing : cette URL doit mourir. La maintenance est un message, pas un cache-misère pour un kit encore en ligne.
Dites que le site est temporairement indisponible, donnez un email ou téléphone, pas de détails d'attaque. Évitez une 200 sur l'URL de phishing : cette URL doit mourir.
À quoi sert la page, concrètement
Rassurer ceux qui tapent votre nom, donner un canal (téléphone, email hors site), éviter les captures « site hacké » sans contexte. Ce n'est pas un nettoyage. Ce n'est pas un 410. C'est de la comm pendant que les fichiers se traitent.
Si le danger est une URL précise (kit, redirect), on tue cette URL, on ne met pas tout le domaine en maintenance par réflexe. Une vitrine fermée une semaine coûte plus cher en SEO et en confiance qu'un bandeau honnête sur un site déjà propre à 90 %. Faut-il couper.
Les premiers gestes : constater, copier, panel. La page de maintenance vient après, si vous avez besoin de parler, pas à la place.
Le texte qui aide, le texte qui empire
Utile : « Notre site est temporairement indisponible. Pour nous joindre : … Nous travaillons à rétablir le service. » Court, daté si possible (« mise à jour le … »), sans jargon. Un logo, un téléphone que les gens connaissent déjà.
Nocif : le détail de l'attaque, les noms de fichiers, « on a été piratés par un groupe », un compte à rebours, un formulaire de contact sur la même infra encore douteuse. Trop d'aveux nourrissent la presse locale et les relances d'arnaque (« c'est nous, le support sécurité »).
Pas de faux certificat, pas de « cliquez ici pour vérifier que vous n'êtes pas un robot » : ça ressemble au phishing que vous êtes en train de retirer. Popup faux support.
- Indisponible temporairement + canal de contact connu.
- Pas de roman technique, pas de formulaire neuf sur le site sale.
- Pas de 200 rassurant sur une URL de kit.
200, 503, et ce que Google en fait
Une maintenance honnête côté SEO, c'est plutôt un 503 avec Retry-After, pas un 200 qui dit « tout va bien » en HTML. Beaucoup de plugins WordPress servent un 200. Pendant deux jours, c'est tolérable. Pendant trois semaines, Google prend ça pour votre nouveau site : une page vide.
Un 503 trop long fait aussi descendre. D'où : maintenance courte, ou site réel propre visible, pas un entre-deux d'un mois. Les horloges (nettoyage, Safe Browsing, index) ne se règlent pas avec un rideau. Blacklist.
Le noindex global du plugin maintenance : dangereux si vous l'oubliez. Plugin maintenance et indexation.
Jamais de maintenance « propre » sur le phishing
L'URL du kit doit cesser d'exister : 404 ou 410, fichier retiré. Une jolie page « nous sommes en maintenance » en 200 à cette adresse dit encore à Google et aux listes : il se passe quelque chose ici, et ça répond. Les revues Safe Browsing n'aiment pas ça. URL en 200.
Un 301 de l'URL phishing vers l'accueil : souvent lu comme de l'évitement. 410.
Un htpasswd sur le chemin du kit, en urgence, puis 410. Pas une 200 de comm.
Plugins WordPress : noindex et le piège
Les plugins « coming soon / maintenance » ajoutent parfois noindex, un template, un accès « je suis admin ». Oublier le plugin = site invisible ou template éternel. Posez une date de retrait, comme le htpasswd.
Un plugin maintenance vulnérable ou nulled est une porte de plus. Circuit officiel, ou une page statique au vhost, hors WP, si WP est le problème.
Headless : la maintenance se fait à l'edge / au front, pas seulement dans WP. Sinon le SSG continue de servir le spam cuit. Headless.
Combien de temps, et pour qui
Quelques heures à deux jours : raisonnable pour un message unique. Au-delà, rouvrez ce qui est sain (vitrine, mentions) et gardez fermé ce qui est dangereux (checkout, formulaire). Une boutique peut vendre « info uniquement » une semaine. Elle ne doit pas encaisser si le tunnel est douteux.
Les campagnes Ads : destination en maintenance 200/503, les revues râlent. Pause Ads > Ads vers une page « bientôt ». Ads.
Ne mélangez pas avec une refonte « tant qu'on est fermés ». Deux projets, le rideau n'est pas un atelier.
Clients, asso, boutique : caler le message
Resto / hôtel : téléphone de résa, pas « nos avis Google ». Cabinet / asso : un email déjà connu des usagers, pas un nouveau Gmail créé dans la nuit. Boutique : si le paiement est coupé, dites-le clairement (« commandes par téléphone ») plutôt qu'un vague « bientôt ».
Si une fuite se discute, la page de maintenance n'est PAS le lieu de la notification RGPD. Canal séparé, texte relu, après constat. Ne mixez pas « site en travaux » et « vos données ». Ça crée la panique sans prouver.
Un QR code / une carte de visite : ils tombent sur la maintenance. Le téléphone dessus doit marcher. Vérifiez.
Retirer la page : un geste daté
Site propre, tests visiteur, inspection alignée, puis on ôte le plugin / la page vhost. On vérifie que `/` est le vrai gabarit, pas le coming soon. Purge cache / CDN. CDN, Redis.
Puis, si besoin, réexamen Safe Browsing. Pas l'inverse (réexamen pendant la 503 globale).
Déclarer : dites si une maintenance est en ligne, et si une URL de kit l'est aussi. On traitera le kit d'abord, le texte ensuite. Le prix s'affiche avant les accès. Le message, vous pouvez le coller dans l'espace : on vous dira s'il est trop bavard, pas s'il est « marketing ».