Trafic effondré après un malware : démêler alerte, index et saison
Une chute de trafic après un malware n'est pas une seule maladie. Alerte Chrome, pages spam qui diluent l'index, ou calendrier commercial : Search Console sépare les trois. Traiter la mauvaise cause fait perdre des semaines.
Alerte navigateur, pages spam qui diluent, ou simple saisonnalité. Search Console sépare les causes. Traiter la mauvaise fait perdre des semaines.
Trois chutes qui se ressemblent à l'écran
Le graphique Analytics plonge. Le réflexe est de tout mettre sur le piratage. Souvent le malware est réel — et pourtant ce n'est pas lui qui explique toute la courbe. Une alerte Safe Browsing coupe le clic depuis Chrome. Des milliers d'URL pharmacies diluent le site: et volent le crawl. Un mois creux, une fin de campagne Ads, ou un filtre de bot mal posé font le reste.
Confondre ces causes mène à des gestes inutiles : un réexamen Google alors que le problème est saisonnier, un « audit SEO » alors qu'un iframe redirige encore le mobile, un changement de thème alors que Search Console dit clairement « contenu piraté ».
Avant de toucher au site, ouvrez trois onglets : Performance (requêtes, CTR, impressions), Sécurité et actions manuelles, et le rapport de couverture / pages. Le diagnostic tient souvent en vingt minutes. Le retrait d'une blacklist Google n'est utile que si l'alerte navigateur est vraiment là.
- Alerte Chrome / Safari : le clic humain s'arrête, pas forcément le crawl.
- Spam indexé : le trafic se disperse sur des URL que vous n'avez pas écrites.
- Saison, Ads coupées, ou filtre Analytics : la courbe ment, le site peut être propre.
Lire Performance avant Sécurité
Dans Search Console, le rapport Performance dit si Google voit encore vos pages. Si les impressions tiennent et que le CTR s'écroule, les gens voient le résultat mais ne cliquent plus — typique d'un libellé « site dangereux » ou d'un titre spam qui a remplacé le vôtre. Si les impressions chutent aussi, l'index a bougé : désindexation, noindex injecté, ou simple saison.
Comparez la période à l'année précédente, pas seulement aux 28 jours. Une boutique de jouets en janvier n'a pas « perdu Google » : elle a fini Noël. Un site B2B en août non plus. Le malware arrive souvent pile sur ces creux, et on lui attribue toute la baisse.
Notez le jour exact du premier email Search Console, du premier ticket hébergeur, et du premier coup dans Analytics. Un décalage de dix jours entre l'infection et la chute d'impressions est normal : Google met du temps à recrawler. Une chute le jour même d'une coupure Ads, elle, n'est pas un mystère d'index.
Les pages injectées, horloge n°2
Tapez `site:votre-domaine.fr`. Si le compteur a explosé, ou si les titres parlent de pharmacies, de casinos, de prêts, le trafic « officiel » est dilué. Google crawl un générateur. Vos vraies pages perdent du budget et, parfois, se font cannibaliser par des URL plus « fraîches » et plus spammy.
Couper le générateur (PHP à la racine, dossier HTML, cloaking dans un mu-plugin) est la priorité. Ensuite seulement : 410 sur le préfixe, retrait d'URL dans Search Console, resoumission du sitemap légitime. Acheter un « nettoyage SEO » pendant que `wp-tmp.php` fabrique encore des pages est de l'argent brûlé.
Ces pages peuvent vivre dans `wp-content/uploads/2024/xx/` en `.php.jpg`, dans un dossier `wp-includes/fonts/`, ou être virtuelles : aucun fichier, un rewrite vers un script. Le détail est dans pages pharmacies indexées.
- Générateur encore vivant : désindexer est inutile.
- Préfixe connu : retrait temporaire + 410, pas Disallow: / sur tout le site.
- Sitemap pirate encore soumis : le retirer, révoquer l'utilisateur GSC inconnu.
La saison et le bruit Analytics
Après un piratage, GA4 se remplit souvent de sessions absurdes : pays inconnus, pages vues à 0 seconde, referers injectés. Ça gonfle puis ça retombe. Prendre une décision pub ou une alerte « reprise » sur ces sessions est une erreur. Segmentez : hostname réel, pays clients, exclusion des known bots.
Si vous avez coupé une campagne Google Ads le jour du diagnostic — parce que le réviseur a suspendu le compte — la chute Analytics n'est pas l'index. C'est le robinet pub. Remettre les campagnes avant que le site soit propre les fera refuser à nouveau. L'ordre Ads est sur Google Ads suspendu et la page cas publicités refusées.
Un filtre de vue mal copié, un nouveau flux GA4, un Tag Manager vidé par l'attaquant : trois causes « techniques » de courbe plate sans aucun lien avec l'algorithme. Vérifiez que le conteneur GTM est encore le vôtre avant de crier à la pénalité.
Ce que l'inspection d'URL tranche
L'outil d'inspection montre le HTML que Googlebot a, et le test en direct. Si les deux diffèrent de ce que vous voyez connecté, vous avez du cloaking. Copiez ce HTML : le domaine de spam ou le script y est souvent en clair. C'est une pièce, pas un bug de l'outil.
Si Googlebot reçoit un 301 vers un casino, le trafic organique part ailleurs même sans alerte Chrome. Si Googlebot reçoit un noindex injecté dans `header.php` ou dans Yoast via `wp_options`, vos pages sortent de l'index sans malware « visible » sur la home.
Gardez les captures de l'inspection (URL, date, HTML). Elles servent au constat, à l'assureur, et à éviter le débat « chez moi ça marche ». Le mode d'emploi est dans inspection d'URL, contenu différent.
Ne pas « relancer le SEO » trop tôt
Tant que le site n'est pas propre, publier vingt articles, acheter des liens, ou changer de thème pour « envoyer un signal positif » n'aide pas. Google révise ce qu'il télécharge. Un nouveau contenu posé sur un générateur encore actif se fait indexer à côté du spam, pas à la place.
Changer de nom de domaine « pour repartir » perd l'historique et laisse l'attaquant recommencer. Recréer une propriété Search Console n'efface pas Safe Browsing. Désavouer des liens avant d'avoir retiré les liens sortants injectés envoie un signal contradictoire — voir liens sortants de spam.
Le bon geste SEO du premier jour : sitemap légitime seul, robots.txt raisonnable (pas un Disallow: / de panique), 410 sur le préfixe pirate, pages importantes demandées à la réindexation une fois le cloaking coupé. Rien d'autre.
Dans quel ordre reprendre le trafic
D'abord le site : copie, mots de passe panel, nettoyage, fermeture de l'entrée. Ensuite les listes : Safe Browsing, antivirus, Ads. Ensuite l'index : 410, retraits, réindexation des templates. Le trafic organique « comme avant » n'est pas une semaine. C'est souvent trois à huit semaines après un site réellement propre, plus si le spam a vécu longtemps dans l'index.
Surveillez `site:` tous les deux jours pendant un mois. Une nouvelle URL asiatique au jour 6 dit qu'une backdoor tourne encore — le trafic ne reviendra pas. La méthode de chasse est dans le guide backdoor PHP.
Si WooCommerce ou un tunnel de paiement était ouvert pendant l'incident, le trafic n'est pas le seul sujet : isolez le checkout. Une boutique propre pour Google et encore skimmée pour le client est un dossier plus grave qu'une courbe Analytics.
- J+0–2 : site propre, plus d'URL frauduleuse en 200.
- J+1–4 : réexamen Safe Browsing si l'alerte existe.
- J+3–14 : index qui se recale, titres qui redeviennent les vôtres.
- Semaines suivantes : positions. Pas un levier « boost ».
Quand déléguer le tri
Si vous savez lire un rapport Performance, un HTML d'inspection et un access.log, le tri alerte / index / saison se fait seul. Si vous hésitez entre « je change le thème » et « je ne sais pas ce que Google voit », arrêtez-vous avant de casser le CMS.
Déléguez aussi dès qu'Ads, Merchant ou un checkout entre en jeu : une mauvaise file (relancer les campagnes trop tôt) coûte plus cher qu'une journée d'intervention. Vous pouvez créer un espace sans envoyer d'accès serveur. Le prix s'affiche avant validation.