Un site piraté peut-il « revenir à la normale » tout seul ?
Un site piraté ne « revient à la normale » presque jamais tout seul. Une redirection peut sembler disparaître (vous êtes reconnu) pendant que les visiteurs la voient encore. Sans fermeture de l'entrée, ça revient. Le calme est un cloaking, un cache, ou une pause — pas une guérison. Copiez, testez comme un visiteur, tournez le panel : ces trois gestes tranchent l'espoir plus vite qu'une semaine d'attente.
Presque jamais. Une redirection peut sembler disparaître (vous êtes reconnu) pendant que les visiteurs la voient encore. Sans fermeture de l'entrée, ça revient.
Pourquoi on a l'impression que « ça s'est arrangé »
Lundi : un client envoie une capture. Mardi : chez vous, la home est belle. Conclusion humaine : « c'est passé ». Conclusion technique : conditionnel, cache, ou pause. Combien de temps s'il on ne fait rien : ça s'accumule, ça ne s'évapore pas.
Les dossiers que nous reprenons ont souvent cette phrase dans le mail. Puis un `site:` plein de pharmacies.
Site OK chez moi. Espérer que « ça s'est calmé » sans ces tests, c'est signer le prochain ticket d'abus. Une semaine de silence admin n'est pas une semaine de site propre.
Vous n'êtes pas un visiteur
Cookie admin, IP bureau, desktop, France. Le script épargne ça. Mobile, clic Google, autre pays : la redirection. Ce n'est pas « revenu à la normale ». C'est le mode par défaut de beaucoup d'infections.
Un second téléphone, navigation privée, 4G. Tests.
Croire le client. Sa capture a une barre d'adresse. La vôtre, connecté, non.
Cache, CDN, Safe Browsing : des faux silences
Cloudflare a cessé de servir l'ancienne page — ou l'inverse, il la sert encore. Cloudflare. Un plugin de cache. Une interstitiel Chrome qui fait croire que « plus personne n'y va » alors que le HTML sale répond encore 200 pour Googlebot.
Safe Browsing qui se lève tout seul est rare ; une latence, oui. Ne pas déposer de réexamen n'est pas un nettoyage. Blacklist.
Hébergeur qui « a retiré un fichier » : le chemin cité, pas la porte. o2switch.
La porte ouverte et le calendrier de l'attaquant
Cron hebdomadaire, campagne, revente d'accès. Trente jours de calme, puis l'URL asiatique. Garantie 30 jours.
Voisin de compte. Isolation. Panel encore ancien. cPanel.
Sans fermer, « ça revient » n'est pas un mystère. C'est le métier de la backdoor.
Ce qui peut vraiment s'arrêter sans vous
Un CDN tiers mort (le JS ne charge plus) : le symptôme navigateur cesse, le PHP peut rester. Script tiers. Un bot qui a fini sa vague. Un certificat d'un phishing tiers expiré — votre domaine, lui, peut encore héberger le HTML.
Ce n'est pas « le site s'est réparé ». C'est un tuyau qui a cassé chez quelqu'un d'autre. Inventoriez quand même.
Une panne (plugin, 500) n'est pas un piratage qui part. 500.
Vérifier au lieu d'espérer
Mobile, privé, clic Google, `site:`, dates de fichiers, liste d'admins, cron. Si tout est vert 48 h et que vous n'avez jamais trouvé d'entrée, vous n'avez peut-être pas cherché. Copie + logs. Logs.
Search Console inspection. Search Console.
WAF vert ≠ propre. WAF.
Si ça « revient » après un vrai nettoyage
Reste (cron, voisin, compte) ou nouvelle porte (extension abandonnée). Comparez à l'archive du premier passage. Ne restaurez pas « la dernière ». Ne payez pas de rançon. Rançongiciel.
Même faille dans la fenêtre : garantie. Autre faille : nouvel incident. Choisir un prestataire.
Décider : constater ou déléguer
Si vous savez comparer un fichier à son zip et lire un access.log, continuez. Sinon l'espoir que « ça va se tasser » est le geste le plus cher. Nettoyer soi-même ou déléguer.
En attendant : copie, panel, ticket factuel si abus. Ça ne casse rien. Guide suspension.
Ne communiquez pas « tout est réglé tout seul » aux clients. Une deuxième capture vous démentira. Dites plutôt : « nous vérifions comme un visiteur, nous revenons avec un écrit ». C'est moins magique. C'est tenable.
L'espoir que ça se tasse est humain. Les bots, eux, n'ont pas d'espoir : ils ont un cron. Combien de temps.
Ce qu'il faut écrire aux clients qui « ne voient plus rien »
« Chez vous ça peut être normal et pas chez un mobile / un clic Google. Envoyez-nous une capture avec la barre d'adresse si ça revient. De notre côté nous copions, nous changeons le mot de passe d'hébergement, nous testons hors du bureau. » Pas de roman cyber. Pas de « ce n'est pas grave, ça s'est arrangé ».
Interne : une checklist des tests avant toute phrase « c'est bon » vers l'hébergeur ou Google. Un réexamen trop tôt sur un silence apparent enregistre un refus. Blacklist.
Si trente jours après un vrai nettoyage ça revient, ce n'est plus « tout seul » : c'est reste ou nouvelle porte. Même faille : garantie. Autre : nouvel incident. Garantie. Créer un compte.