Scan Sucuri positif : l'étape d'après que les gens sautent
Un SiteCheck Sucuri rouge voit ce qu'un visiteur distant voit : iframe, redirect, spam dans le HTML. Il ne voit pas un mu-plugin silencieux. L'étape d'après n'est pas « delete malware » dans un dashboard : c'est l'accès fichiers et la comparaison.
Le scan distant voit ce qu'un visiteur voit. Il ne voit pas un mu-plugin. Après un Sucuri rouge : accès fichiers, comparaison, pas seulement « delete malware ».
Ce que le scan distant attrape
SiteCheck charge votre home (et quelques URL) comme un client HTTP. Il trouve un iframe caché, un script de spam, une blacklist listée, parfois un redirect. Utile pour confirmer « ce n'est pas que chez le client » et pour une capture datée.
Il voit le cloaking s'il se comporte comme un bot générique — pas toujours comme Googlebot. Complétez par l'inspection GSC.
SiteCheck photographie la home distante. Utile pour une capture datée et un snippet. Inutile comme méthode de chasse : mu-plugins, PHP uploads, users, voisin de compte, skimmer checkout. Enchaîner Sucuri, VirusTotal et Quttera, c'est collectionner des badges. L'étape d'après est la copie et les zips officiels. Un vert distant et un WordPress encore pris : le cas le plus fréquent après « on a tout nettoyé ».
Collez le snippet SiteCheck dans un grep serveur : le domaine ou l'iframe cité y est souvent en clair. Sans ça, le badge rouge ne dit pas si c'est le thème, un widget ou une page `/rx/`. Téléchargez le rapport le jour J, l'interface change.
Ce qu'il rate à coup sûr
Les PHP non liés à la home : `mu-plugins/x.php`, `uploads/2021/01/a.php`, un cron, un user admin, `wp-config` include, le voisin de compte. Un SiteCheck vert et un WordPress encore pris : le cas le plus fréquent après un « on a tout nettoyé, Sucuri est green ».
Un skimmer sur `/checkout` seulement. WooCommerce.
Ajoutez au rapport SiteCheck une checklist locale : mu-plugins, PHP uploads, users admin, cron système, autres vhosts. Si la checklist est vide, le vert distant ne veut rien dire. Un skimmer `/checkout` n'apparaît pas sur la home. WooCommerce.
Un SiteCheck vert le matin et un skimmer sur /checkout le soir : le scan distant n'a jamais promis le tunnel. Sur une boutique, le badge home ne clôt pas. WooCommerce.
- mu-plugins et must-use.
- PHP dans uploads.
- Comptes et clés.
- Autres vhosts du panel.
Lire le détail, pas le badge
Le rapport cite parfois une URL, un snippet, une liste noire (Google, Norton). Notez l'URL : c'est votre cible de 410 / de retrait. Le badge seul ne dit pas si c'est un js dans le thème ou une page `/rx/`.
Plusieurs listes : traitez-les une par une. Norton, Blacklist Google.
Après le rouge : FTP, pas un autre scan en ligne
Enchaîner Sucuri, VirusTotal, Quttera, encore Sucuri : vous collectionnez des badges. L'étape suivante est la copie, les dates, les zips officiels. Par où commencer.
Un second scan distant sert après le clean, pour voir si le HTML public a changé — pas comme méthode de chasse.
Un second SiteCheck sert après purge de cache, pour voir si le HTML public a changé. Ce n'est pas une méthode pour trouver un `radio.php`. Par où commencer.
J+0 chasse locale, pas VirusTotal puis Quttera puis encore Sucuri. Ces outils se parlent et vous donnent le même HTML public. Le mu-plugin, eux, ne le verront jamais. Par où commencer.
Sucuri plugin vs SiteCheck
Le plugin gratuit ajoute un WAF cloud si vous avez un DNS chez eux, et un scanner local limité. Ce n'est pas l'équipe incidente. L'installer pendant l'attaque : encore du bruit. Après, éventuellement, un filet — un seul, pas Sucuri + Wordfence + iThemes. Wordfence limites.
Nettoyeur « one click » des plateformes
Des hébergeurs proposent « clean malware » d'un bouton. Ça passe une signature, parfois Imunify. Même limite. Relisez mu-plugins et le thème enfant après. Demandez le rapport de fichiers touchés.
Si l'hébergeur a « clean malware » d'un bouton, demandez la liste des fichiers touchés. Relisez le thème enfant. Imunify et les repair auto ont le même angle mort que Wordfence.
Revérifier trop tôt
Cache CDN : SiteCheck voit encore l'ancien HTML. Purgez, attendez, retestez. Un rouge persistant 10 minutes après n'est pas un échec du clean.
Ne déposez pas les réexamens Google sur un SiteCheck encore rouge à cause du cache. Testez vous-même en privé.
Quand le rouge suffit comme preuve
Pour un associé, un assureur, un hébergeur : une capture SiteCheck + une inspection GSC + des chemins de fichiers. Le badge seul, non.
Revérifiez après purge CDN, pas dix minutes trop tôt. Le badge seul ne convainc ni l'hébergeur ni Ads : joignez chemins et inspections. Guide WordPress, créer un espace.
Plugin Sucuri, cache, et preuve pour l'assureur
Le plugin gratuit n'est pas l'équipe incidente. L'installer pendant l'attaque : bruit. Après, éventuellement un filet — un seul. Payer le firewall Sucuri ne retire pas un mu-plugin. Méfiez-vous du tunnel commercial au milieu d'un incident.
Cache CDN : SiteCheck voit l'ancien HTML. Purgez, attendez, retestez. Un rouge à dix minutes n'est pas un échec du clean. Ne déposez pas un réexamen Google sur ce faux rouge.
Pour un associé : capture SiteCheck + inspection GSC + chemins. Le badge seul, non. Blacklist. Créer un espace.
Les 48 heures après le badge rouge
J+0 : capture SiteCheck + URL citée. Copie. Chasse locale (pas trois autres scans en ligne). J+1 : HTML public retesté après purge. Si encore rouge à cause du cache, attendez. J+2 : listes Google / Norton selon le rapport. Le plugin Sucuri, plus tard.
Un one-click hébergeur entre-temps : demandez les fichiers touchés, relisez l'enfant. Par où commencer. Créer un espace.