Meta refuse les publicités : destination « malveillante »
Meta refuse les pubs parce que son crawler a vu une destination « malveillante ». Comme Ads : recours après nettoyage, avec des dates. Un pixel injecté par l’attaquant peut aussi poser problème — auditez GTM et le thème, pas seulement le Business Manager.
Comme Ads : le crawler Meta a vu le site. Recours après nettoyage, avec dates. Un pixel injecté par l'attaquant peut aussi poser problème : auditez GTM et le thème.
Ce que Meta a visité
Le robot Facebook / Meta Sharing / ads crawler ouvre l’URL de destination, parfois le domaine entier, parfois une landing d’annonce. Il n’est pas connecté à votre admin. Il n’a pas votre cache Cloudflare allowlisté. « Chez moi ça s’affiche » n’est pas un recours.
L’écran « site trompeur » Chrome et le refus Meta sont cousins, pas jumeaux. L’un peut tomber avant l’autre. Traitez le contenu (phishing, spam, JS). Les deux files en profiteront.
Le Sharing Debugger (ou équivalent actuel) montre ce que Meta a scrapé. Gardez une capture après purge. C’est votre preuve « maintenant propre », datée. Si le debugger affiche encore un titre japonais ou une image de casino alors que le live est une vitrine, vous n’êtes pas prêts à recourir : cache Meta ou cache chez vous, même combat que pour Google.
Malware, phishing, « low quality » : lire le motif
Les libellés bougent. Distinguez : destination malveillante (contenu / malware) vs politiques créa (promesses, avant-après) vs compte (identité). Un refus « landing » ne se soigne pas en changeant la visuel de la pub seulement. Un refus créa ne se soigne pas en renouvelant Let’s Encrypt.
Si le motif est flou, le centre d’aide du compte + le détail de l’ad set. Ne déposez pas trois recours sur trois motifs inventés.
Un certificat expiré n’est pas le même tiroir (CERT vs trompeur). Meta peut quand même râler sur le HTTPS ; ce n’est pas Safe Browsing.
Pause, users, Business Manager
Pause les ad accounts concernés. Listez les admins BM, les partenaires, les pixels, les catalogues. Un user « agence 2021 » ou un inconnu : révoquez. Ce n’est pas le piratage du site, c’est le piratage du compte pub — parfois cumulé.
2FA sur le compte Facebook perso qui détient le BM. Un BM sans 2FA après un site pirate est une invitation à la suite (spam de page, pubs illicites à votre nom).
Ne créez pas un second BM « propre » le soir-même avec le même site sale. Même logique que le second compte Ads.
Le pixel et GTM ne sont pas la pub
Un pixel Meta injecté par l’attaquant (thème, header, GTM) envoie vos audiences et parfois des events bidons. Ça peut valoir un flag à part. Auditez : vue source, GTM versions, plugins « pixel ». Retirez l’inconnu, gardez le vôtre (ID que vous retrouvez dans le BM). Un ID que vous ne voyez pas dans le gestionnaire de pixels est un ID à tuer, même « ça fait longtemps que ça tourne ».
Un second pixel vers un ad account que vous n’avez pas : coupez. Notez l’ID (constat).
Clarity / Hotjar ajoutés pareil : autre article, même après-midi d’audit tags.
Nettoyer le site, puis le recours
Même exigence qu’Ads : 410 sur les kits, pas de redirect home, faces http/www propres, cache vide. Guide Ads pour l’esprit du recours ; le formulaire Meta est dans le compte. Dates, ce qui a été retiré, URL testées. Joignez le debugger « après » et une phrase sur le pixel : un recours qui ne parle que du visuel de la pub rate le motif destination.
Safe Browsing encore rouge : attendez si le motif Meta est malware. Leur robot retombera sur l’écran ou le kit. Voir retrait blacklist.
Un recours par vague, pas un par heure. Relancer n’accélère pas.
Landings, WhatsApp, lead forms
Les instant forms Meta restent chez Meta : moins liés au site, encore liés à la réputation du compte. Les destinations « message WhatsApp » + site dans la pub : le site est quand même visité parfois. Les landings hors site (unbounce) : à nettoyer aussi si elles étaient dans le compte.
Catalogue / boutique Instagram : URLs produits. Un produit qui pointe vers un chemin spam. Inventaire.
Formulaire RDV si la destination est un form WordPress.
Ce qui durcit le dossier
Recours trop tôt. Nouveau compte. Contournement (URL shortener vers le même kit). Changer de domaine pub sans nettoyer. Tout cela est lu comme de l’évitement — le même mot que le 301 vers l’accueil pour un phishing.
Des créas encore en ligne qui promettent « site sécurisé, commandez » pendant l’écran rouge : arrêtez-les. Cohérence.
Payer un « hacker Facebook » pour débloquer : arnaque classique. Le recours officiel + le site propre.
Reprise et surveillance du pixel
Après acceptation : une campagne test, petite. Vérifiez le pixel (un seul ID, events sains). J+7 : pas de second pixel revenu (thème / GTM).
Alignez la reprise avec Ads / LSA (campagnes locales) pour ne pas rouvrir une régie trop tôt.
Le site se déclare à part. On n’a pas besoin de votre BM à l’inscription. Premiers gestes si le HTML est encore douteux.