Comment vérifier si un site est vraiment infecté par des malwares selon Google ?

Pourquoi Google propose-t-il cet outil de diagnostic ?

Google Safe Browsing protège quotidiennement plus de 4 milliards d'appareils contre les sites malveillants. L'outil de diagnostic constitue la version publique de cette base de données. Chaque URL analysée reçoit un verdict qui reflète l'état de sécurité selon les crawlers de Google.

Pour un praticien SEO, cette page devient l'arbitre officiel en cas de suspicion. Elle ne remplace pas un scan antivirus complet, mais elle indique précisément ce que Google voit et comment il classe votre site. Si Google considère votre site comme infecté, vos positions dans les SERP en pâtiront immédiatement.

Que signifie concrètement un site « infecté » pour Google ?

Google détecte plusieurs types de menaces : malwares téléchargeables, scripts de phishing, redirections malveillantes, injections de code. Un site infecté ne signifie pas forcément que votre CMS est compromis au niveau serveur. Parfois, une simple publicité programmatique vérolée suffit à déclencher l'alerte.

Le diagnostic différencie les pages d'attaques hébergées (votre site distribue le malware) des pages d'attaques intermédiaires (votre site redirige vers un site malveillant). Cette nuance compte : une redirection 301 vers un domaine compromis peut suffire à contaminer votre diagnostic, même si votre infrastructure est saine.

Quelle est la différence avec Search Console ?

Search Console notifie les propriétaires vérifiés en cas de problème de sécurité détecté. Mais l'outil de diagnostic Safe Browsing est public, accessible sans authentification, et analyse n'importe quelle URL. Il permet de vérifier un concurrent, un site partenaire ou une source de backlink suspecte.

La granularité diffère également. Search Console agrège les alertes au niveau domaine, tandis que Safe Browsing inspecte URL par URL. Vous pouvez avoir un domaine partiellement contaminé : 3 pages infectées sur 10 000 suffiront à déclencher un avertissement global dans Chrome, mais le diagnostic montrera précisément lesquelles.

• Accès public sans nécessiter de propriété du domaine
• Verdict en temps quasi-réel reflétant l'état actuel de la base Safe Browsing
• Détails des pages d'attaques identifiées avec horodatage de dernière détection
• Différenciation entre hébergement malveillant et relais intermédiaire
• Historique limité : affiche les détections récentes, pas l'historique complet

Cette déclaration reflète-t-elle vraiment l'étendue du problème ?

Google présente l'outil comme une solution de diagnostic, mais il faut comprendre ses limites réelles. Safe Browsing analyse principalement les menaces connues et répertoriées. Un malware zero-day ou une backdoor discrète peuvent passer sous le radar pendant des semaines. L'outil dit « sûr » ne garantit pas l'absence totale d'infection.

J'ai observé des cas où Safe Browsing affichait un site comme propre alors qu'un audit manuel révélait des injections SQL dormantes ou des portes dérobées dans wp-admin. [A vérifier] : la fréquence réelle de crawl Safe Browsing varie selon l'autorité du domaine. Un petit site peut n'être scanné que tous les 15-30 jours.

L'outil détecte-t-il tous les types de contaminations SEO ?

Safe Browsing cible les menaces pour l'utilisateur final : phishing, malware téléchargeable, social engineering. Mais il ignore largement les hacks SEO classiques : cloaking, pages satellites cachées, spam de mots-clés japonais. Ces contaminations visent à manipuler les SERP sans nécessairement infecter les visiteurs.

Concrètement, un site peut être « Safe » selon cet outil tout en hébergeant 500 pages cachées de pharma spam en cloaking user-agent. Google traitera ce problème via les équipes Webspam, pas Safe Browsing. Ne confondez pas sécurité utilisateur et propreté SEO : ce sont deux filtres distincts.

Faut-il surveiller régulièrement cet outil même sans alerte Search Console ?

Absolument. Search Console notifie avec un délai de 24 à 72 heures après détection. Pendant ce temps, Chrome affiche déjà l'avertissement rouge aux visiteurs, votre taux de rebond explose et vos conversions s'effondrent. Vérifier manuellement Safe Browsing une fois par semaine permet d'anticiper.

Pour les sites e-commerce ou à fort trafic, automatisez la surveillance via l'API Safe Browsing. Un script quotidien qui vérifie vos URLs stratégiques coûte zéro en développement et peut vous sauver des dizaines de milliers d'euros de CA perdu. Le temps de réaction compte plus que l'outil lui-même.

Comment intégrer ce diagnostic dans votre routine SEO ?

Créez un calendrier de vérification mensuel pour vos assets critiques : domaine principal, sous-domaines actifs, microsites de campagne. Ajoutez-y vos principaux partenaires de backlinking : si un site référent est blacklisté, votre lien devient toxique par association. Google peut dévaluer votre profil de liens si trop de sources sont compromises.

Pour les sites à fort volume, utilisez l'API Safe Browsing Lookup (v4) qui permet 10 000 requêtes gratuites par jour. Intégrez-la dans votre monitoring : un webhook déclenche une alerte Slack si une URL passe en statut « unsafe ». Le coût de mise en place est inférieur à 2 heures de développement.

Que faire concrètement si l'outil signale une infection ?

Ne paniquez pas, mais agissez vite. Identifiez d'abord le vecteur d'infection : plugin WordPress obsolète, thème nulled, credentials FTP compromis, injection SQL. Safe Browsing liste les pages infectées détectées, commencez par là. Analysez les fichiers modifiés récemment sur votre serveur.

Une fois nettoyé, ne présumez jamais que c'est terminé. Changez tous les mots de passe (FTP, SSH, base de données, admin CMS, hébergeur). Vérifiez les tâches cron, les utilisateurs fantômes dans votre CMS, les fichiers .htaccess modifiés. Puis demandez une révision via Search Console ET le formulaire Safe Browsing. La double demande accélère le retraitement.

Quelles erreurs éviter dans la gestion d'une infection détectée ?

L'erreur classique : nettoyer superficiellement et demander immédiatement une révision. Google re-scanne, trouve encore du code malveillant que vous avez raté, et votre délai de révision s'allonge. Pire, une deuxième demande prématurée peut être interprétée comme de la négligence.

Autre piège : restaurer une sauvegarde sans identifier quand l'infection a débuté. Vous risquez de restaurer une version déjà compromise. Remontez vos backups jusqu'à trouver une version propre, quitte à perdre du contenu récent. La santé du site prime sur quelques articles.

• Vérifier Safe Browsing pour le domaine principal et tous les sous-domaines actifs mensuellement
• Monitorer les sites sources de vos backlinks stratégiques trimestriellement
• Automatiser via API si votre site génère plus de 10K visites/jour
• En cas d'alerte : isoler les pages infectées, scanner le serveur complet, ne pas se fier qu'au diagnostic Google
• Changer TOUS les accès après nettoyage, pas seulement l'admin CMS
• Demander révision uniquement après vérification manuelle complète de la suppression