Changer de nom de domaine après un piratage : rarement la solution

Ce que le changement promet, ce qu'il livre

Le réflexe est compréhensible : le nom est dans Chrome en rouge, dans `site:` avec des pharmacies, dans la bouche des clients. Un nom neuf paraît plus propre qu'un nettoyage. Il l'est visuellement. Il ne l'est pas techniquement. L'entrée est sur le compte, dans un plugin, dans un mot de passe réutilisé — pas dans les lettres du `.fr`.

Ce que vous livrez réellement : un second site à brancher, des 301 à tenir des années, une Search Console vide, des boîtes mail à recréer, et souvent le même payload recopié « pour ne pas perdre les contenus ». Le premier domaine, lui, reste indexé, parfois encore en ligne, et continue de pourrir la marque.

Dans les dossiers que nous reprenons, le nouveau nom a été blacklisté à son tour dès que la copie sale a été poussée. Deux domaines brûlés au lieu d'un. Le retrait Safe Browsing se fait sur un site propre, quel que soit le nom.

Vous perdez l'historique, pas l'attaquant

Google associe des années de liens, de citations, de fiche établissement à ce nom. Un 301 bien fait en sauve une partie, jamais tout, et seulement si la destination est saine. Un 301 depuis un domaine encore générateur de spam apprend à Google que le nouveau nom est le successeur d'un site trompeur.

L'attaquant, lui, n'a pas besoin de votre `.fr`. Il a le panel, le FTP, le cron. Vous changez de vitrine, il réécrit le nouvel `index.php`. C'est la même raison pour laquelle changer d'hébergeur encore infecté échoue.

Si des pages spam sont indexées, on coupe le générateur, on répond 410 sur les préfixes, on fait recoller l'index. C'est plus long à expliquer qu'un nouveau nom. C'est plus court que de reconstruire une autorité.

Les clients, les mails, les cartes de visite

Le nom de domaine, c'est aussi `@votre-marque.fr`, les signatures, les devis PDF, les QR codes, la fiche Google, les campagnes Ads. Changer, c'est un projet d'entreprise, pas un geste de sécurité. Les mails qui partent encore de l'ancien nom pendant six mois donnent l'impression d'un bricolage — ou d'une arnaque.

Si le domaine a servi à envoyer du spam, on coupe la source, on recolle SPF/DKIM, on demande les retraits de listes. Recréer une messagerie ailleurs sans ça déplace la réputation… et perd les fils en cours. Voir emails en spam après piratage.

Pour un restaurant, un cabinet, une asso : les gens tapent le nom qu'ils ont déjà. Un nouveau domaine le lendemain d'un article local « site piraté » ressemble à une fuite, pas à une maîtrise.

Blacklist et spam : le domaine n'est pas « mort »

Safe Browsing lève l'alerte sur un site propre, souvent en 24 à 72 heures. Les titres japonais se corrigent au fil des passages du robot, une à plusieurs semaines. Ce n'est pas agréable. Ce n'est pas une mort civile.

Un réexamen trop tôt, lui, enregistre un refus et allonge le délai. Fuir vers un autre nom pour « éviter Google » alors que le phishing de l'ancien domaine répond encore 200 laisse l'alerte en place — et vos clients y atterrissent toujours via les anciens liens.

Les antivirus d'entreprise ont leurs propres listes. Ils suivent souvent le domaine historique. Un nouveau nom n'efface pas un signalement Norton sur l'URL que vos partenaires ont en favori.

• Alerte Chrome : se lève sur le domaine nettoyé, pas sur un jumeau.
• Pages spam : 410 + retrait de préfixe, pas un abandon.
• Ads / Merchant : le réviseur revisite l'URL déclarée, souvent l'ancienne.

Quand un nouveau nom se discute vraiment

Trois situations, rares, méritent la discussion — pas le lendemain matin. La marque est devenue un mot-clé de phishing pendant des mois (votre nom + « amende », « virement ») et les banques / l'AFNIC / un conseil vous le disent. Le nom lui-même est le produit d'une usurpation (vous n'auriez jamais dû l'enregistrer ainsi). Un contentieux de marque vous force à abandonner le signe.

Même là, on nettoie d'abord l'ancien : 410 sur le frauduleux, constat, listes. Puis on bascule avec des 301 maîtrisés, une communication client, et un site déjà fermé. Le nouveau nom n'est pas un cache-misère, c'est un projet de marque.

« J'en ai marre de voir ces URL dans Google » n'est pas un de ces trois cas. C'est le cas normal, et il se traite sur place.

Si vous le faites malgré tout : l'ordre

Site actuel propre. Accès tournés. Générateur coupé. Puis seulement enregistrement du nouveau nom, DNS, certificat, copie saine — pas l'archive du jour de la suspension. Search Console sur les deux propriétés. 301 page à page, pas un catch-all vers l'accueil.

Gardez l'ancien nom assez longtemps pour les 301 et pour les gens qui tapent l'URL de mémoire. Un domaine abandonné qui expire, racheté par un tiers, redevient une machine à pharmacies avec votre ancienne notoriété.

Informez. Un mail « nous conservons la même société, nouvelle adresse web » évite le soupçon d'hameçonnage — ironie fréquente quand on change de nom juste après un incident.

Le piège du « on en profite pour refondre »

Nouveau nom + nouveau thème + nouvel hébergeur + « comme ça c'est clean » : c'est le forfait le plus vendu, et le plus souvent sale. Chaque couche aurait dû attendre que la précédente soit stable.

Si un prestataire conditionne le nettoyage au changement de domaine, relisez le devis. Le nettoyage n'a pas besoin d'un nouveau `.fr`. La refonte non plus, d'ailleurs.

Nous nettoyons le domaine que vos clients connaissent. Si, plus tard, vous changez de nom pour des raisons commerciales, vous partirez d'une base que vous savez fermée.

Décider sans fuir

Ce soir, le geste utile n'est pas un enregistrement chez le registrar. C'est la copie, le panel, le test visiteur, et éventuellement une page de maintenance honnête sur l'URL de phishing. Le nom, lui, reste.

Si la honte du bandeau Chrome pèse trop, dites-le à vos clients plutôt que de disparaître. « Notre site a été visé, il est en cours de traitement, méfiez-vous des pages qui ne sont pas les nôtres » calme plus qu'un nouveau domaine inexpliqué.

Vous pouvez nous confier le dossier sur le nom actuel. C'est le périmètre normal. Un changement de marque, si vous y venez, sera un autre devis, plus tard.