Faut-il soumettre plusieurs demandes de révision pour un site piraté et infecté ?

Pourquoi Google fusionne-t-il ces deux processus de révision ?

Les sites piratés se retrouvent souvent confrontés à deux problèmes distincts mais liés : l'injection de code malveillant d'une part, et l'insertion de spam (liens sortants, pages doorway, redirections) d'autre part. Historiquement, ces deux problématiques relevaient de systèmes séparés dans Search Console, obligeant les webmasters à soumettre deux demandes distinctes.

Cette approche fragmentée créait de la confusion. Un site nettoyé du malware mais encore signalé pour spam restait pénalisé. À l'inverse, un site débarrassé du spam mais toujours infecté ne récupérait pas sa visibilité. La fusion des processus répond à une réalité terrain : quand un site est compromis, les attaquants exploitent généralement plusieurs vecteurs simultanément.

Qu'est-ce qui change concrètement dans Search Console ?

Avant cette modification, vous deviez naviguer entre différentes sections de Search Console pour traiter chaque type de problème. Désormais, un bouton unique déclenche l'analyse par les deux systèmes de détection. Google examine en parallèle la présence de code malveillant et de spam injecté.

Cette unification ne signifie pas que les deux équipes utilisent les mêmes critères d'évaluation. Le système anti-malware scanne les fichiers infectés, les scripts suspects et les redirections malveillantes. Le système anti-spam se concentre sur les contenus abusifs, les cloakings et les fermes de liens. Mais le déclenchement est commun, et c'est là que réside le gain pratique.

Cette simplification accélère-t-elle réellement le traitement ?

Google ne communique aucun délai officiel, mais la logique suggère un traitement plus rapide. Si les deux équipes sont notifiées simultanément, elles peuvent valider en parallèle plutôt que séquentiellement. Cela élimine le risque qu'une équipe attende la validation de l'autre avant d'agir.

En revanche, le temps de révision humaine reste incompressible. Un site avec 10 000 pages infectées ne sera pas nettoyé du jour au lendemain, quelle que soit la méthode de soumission. La simplification administrative ne remplace pas un audit sécurité rigoureux.

• Un seul bouton dans Search Console déclenche la révision malware + spam
• Le traitement reste distinct en interne mais est initié simultanément
• Les délais de validation dépendent de l'ampleur de l'infection et de la qualité du nettoyage
• Les notifications de levée peuvent arriver séparément si un problème persiste côté malware ou spam
• Aucun changement dans les critères d'évaluation des deux systèmes

Cette déclaration est-elle cohérente avec les observations terrain ?

Oui, et c'est même une évolution logique. Les praticiens qui gèrent des sites piratés constatent depuis longtemps que malware et spam cohabitent sur les mêmes sites compromis. Les hackers injectent souvent du spam pharmaceutique et des redirections malveillantes dans la même foulée. Séparer artificiellement ces deux problématiques n'avait plus de sens opérationnel.

Ce qui reste flou, c'est la pondération des critères. Si Google détecte que le malware est nettoyé à 100% mais qu'il reste 5% de pages spam, lève-t-il partiellement la pénalité ? [À vérifier]. Les retours terrain suggèrent un fonctionnement binaire : tant qu'un problème persiste, le site reste marqué. La fusion du bouton ne change rien à cette logique.

Quelles nuances faut-il apporter à cette annonce ?

Premier point : cette simplification ne concerne que les sites piratés. Si vous avez créé intentionnellement des pages spam ou que votre site héberge volontairement du malware (peu probable mais ça existe), la procédure reste différente et beaucoup plus sévère. Google fait bien la distinction entre victime et complice.

Deuxième nuance : le bouton unique ne dispense pas d'un diagnostic précis. Avant de cliquer, vous devez avoir identifié et éradiqué tous les fichiers infectés, backdoors, comptes compromis, et contenus spam. Soumettre une demande sur un site partiellement nettoyé ne sert à rien. Google rejettera la révision et vous devrez recommencer.

Dans quels cas cette simplification ne change rien ?

Si votre site subit une pénalité manuelle pour spam créé volontairement (pas injecté par piratage), vous passerez toujours par la section Actions Manuelles de Search Console. Ce processus reste distinct. De même, si vous êtes listé dans Safe Browsing pour phishing plutôt que malware classique, d'autres équipes interviennent.

Autre cas où ça ne change rien : les sites qui accumulent des problèmes multiples au-delà du malware et du spam. Si vous avez en plus des Core Web Vitals catastrophiques, du contenu dupliqué ou des liens toxiques, le bouton unique ne règlera que la partie sécurité. Le reste du chantier SEO vous attend toujours.

Que faut-il faire concrètement après un piratage ?

Avant même de penser à la demande de révision, menez un audit sécurité complet. Scannez tous les fichiers, vérifiez les comptes utilisateurs, recherchez les backdoors dans wp-config.php ou .htaccess si vous êtes sous WordPress. Les pirates insèrent souvent plusieurs points d'entrée pour garantir leur retour même après un premier nettoyage.

Côté spam injecté, cherchez les pages parasites créées automatiquement, les liens sortants dissimulés en footer, les redirections JavaScript. Utilisez l'opérateur site: dans Google pour repérer des pages indexées que vous n'avez jamais créées. Comparez l'arborescence de votre FTP avec ce que Google a en cache. Les écarts révèlent souvent l'ampleur des dégâts.

Comment maximiser les chances de validation rapide ?

Une fois le site nettoyé, documentez vos actions dans un fichier texte. Listez les fichiers supprimés, les comptes désactivés, les mots de passe modifiés, les plugins mis à jour. Cette documentation ne sera pas transmise à Google, mais elle vous évitera de passer à côté d'un élément lors d'une seconde vague d'infection.

Dans Search Console, rédigez une description factuelle de ce que vous avez corrigé. Pas besoin de roman, mais évitez le laconique "tout est réparé". Mentionnez les types de malware éliminés, les pages spam supprimées, les mesures de sécurisation prises (WAF, durcissement des permissions, authentification forte). Google apprécie les webmasters qui montrent qu'ils comprennent ce qui s'est passé.

Quelles erreurs éviter absolument ?

Erreur classique : soumettre la demande trop tôt. Vous venez de supprimer 50 pages spam, vous cliquez immédiatement sur le bouton, et trois jours plus tard vous découvrez 200 autres pages infectées dans un sous-répertoire oublié. Résultat : demande rejetée, délai rallongé, crédibilité entamée auprès de Google.

Autre piège : négliger la réinfection. Si vous nettoyez sans colmater la faille initiale, le site sera à nouveau compromis dans les 48 heures. Les bots qui ont exploité votre vulnérabilité la première fois repasseront automatiquement. Mettez à jour CMS, plugins, changez tous les accès FTP et base de données. Sans ça, vous entrerez dans un cycle infernal de nettoyage-réinfection-pénalité.

• Scanner l'intégralité des fichiers du serveur avec un outil anti-malware pro (Wordfence, Sucuri, ou équivalent)
• Supprimer tous les fichiers suspects, backdoors, et comptes utilisateurs inconnus
• Identifier et éliminer toutes les pages spam, redirections et liens sortants injectés
• Mettre à jour CMS, thèmes, plugins et corriger la faille d'origine
• Modifier tous les mots de passe (admin, FTP, base de données, hébergeur)
• Soumettre une seule demande de révision via le bouton unique dans Search Console
• Surveiller quotidiennement les logs serveur pour détecter une éventuelle réinfection