Comment Google Search Console détecte-t-il les infections malware de type 'error template' sur votre site ?

Qu'est-ce qu'une infection malware de type 'error template' ?

Cette catégorie de malware exploite les templates d'erreur (404, 500, etc.) pour injecter du code malveillant. Contrairement aux infections classiques qui modifient les pages actives, celle-ci cible les pages d'erreur que les propriétaires surveillent rarement.

Le piège est redoutable : les crawlers Google visitent ces pages erronées lors de leurs explorations, détectent le malware, mais le webmaster ne voit rien en navigation normale. La page 404 affiche le contenu malveillant uniquement pour certains user-agents ou paramètres spécifiques.

Pourquoi Google exige-t-il la vérification de propriété pour ces cas ?

Search Console ne divulgue pas d'informations sensibles sur les vulnérabilités d'un site à n'importe qui. La vérification de propriété garantit que seul le propriétaire légitime accède aux échantillons d'URLs infectées.

Sans cette barrière, un concurrent ou un attaquant pourrait cartographier les failles d'un site concurrent. Google transmet donc ces données uniquement après authentification, généralement via fichier HTML, DNS ou Google Analytics.

Quelle est la valeur réelle de ces échantillons d'URLs ?

Les échantillons fournis par Google représentent un sous-ensemble des pages infectées détectées, pas une liste exhaustive. Ils servent de point de départ pour identifier le pattern d'infection : structure d'URL commune, type de template, vecteur d'injection.

Un SEO averti utilisera ces échantillons pour remonter à la source : fichier .htaccess modifié, plugin WordPress compromis, ou template PHP injecté. La priorité est de comprendre le mécanisme plutôt que de nettoyer page par page.

• Vérification obligatoire : Search Console exige une authentification stricte avant de divulguer les URLs infectées
• Échantillons non exhaustifs : Google fournit un sous-ensemble représentatif, pas la totalité des pages compromises
• Diagnostic par pattern : les échantillons révèlent la structure de l'attaque (templates, paramètres, user-agents ciblés)
• Pages d'erreur ciblées : ce malware exploite 404/500 que les webmasters surveillent moins que les contenus actifs
• Détection asymétrique : le malware s'affiche pour Googlebot mais reste invisible en navigation manuelle classique

Cette déclaration reflète-t-elle la réalité du terrain ?

Oui, mais avec une limite importante. Google détecte effectivement ces infections via son crawl, mais le délai de remontée dans Search Console peut atteindre plusieurs jours. Entre-temps, le site distribue du contenu malveillant et risque une pénalité manuelle.

Les échantillons fournis sont utiles mais incomplets. Sur un site de 50 000 pages, Google peut afficher 20 URLs infectées alors que 2 000 sont réellement compromises. Il faut donc croiser avec des outils tiers (Screaming Frog, logs serveur) pour cartographier l'étendue réelle. [A vérifier] : Google ne précise jamais le taux de couverture de ses échantillons.

Quelles nuances apporter à cette approche ?

La vérification de propriété Search Console n'est qu'une première étape. Elle identifie le problème mais ne résout rien. Pire, certains malwares modifient les fichiers de vérification eux-mêmes ou créent de faux comptes propriétaires dans Search Console.

Un expert SEO doit donc vérifier l'historique des propriétaires dans Search Console : une adresse Gmail inconnue ajoutée récemment est un red flag. Ensuite, l'analyse des logs serveur bruts révèle souvent des patterns que Google ne remonte pas : injections SQL, requêtes POST suspectes, user-agents malveillants.

Dans quels cas cette méthode ne suffit-elle pas ?

Quand l'infection cible exclusivement des pages hors index ou bloquées par robots.txt. Google ne crawle pas ces URLs, donc aucun échantillon n'apparaît dans Search Console. Le malware peut alors opérer en sous-marin pendant des semaines.

Autre cas problématique : les infections qui cloak selon la géolocalisation. Le crawler Google US détecte le malware, mais le propriétaire européen qui vérifie manuellement ne voit rien. La confiance aveugle dans Search Console crée alors un faux sentiment de sécurité.

Que faut-il faire concrètement dès réception d'une alerte malware ?

Première action : ne touchez à rien avant d'avoir documenté l'infection. Capturez des screenshots des échantillons d'URLs dans Search Console, exportez les données, sauvegardez les fichiers suspects. Trop de webmasters nettoient précipitamment et perdent la trace du vecteur d'attaque.

Ensuite, isolez le site : passez en mode maintenance côté public si l'infection est massive, mais laissez Googlebot accéder pour continuer le diagnostic. Modifiez tous les mots de passe (FTP, SSH, base de données, CMS) depuis une machine saine, pas depuis le serveur compromis.

Comment identifier le pattern d'infection à partir des échantillons Google ?

Analysez la structure des URLs infectées. Si toutes contiennent un paramètre comme '?page=', le malware exploite probablement une faille d'injection dans ce paramètre. Si toutes pointent vers /wp-content/themes/votretheme/404.php, le template 404 est compromis.

Comparez le code source de ces pages avec une version saine (backup récent ou cache Google antérieur). Les différences révèlent le code injecté : souvent un iframe invisible, un script obfusqué en base64, ou une redirection JavaScript conditionnelle. Utilisez des outils comme diff ou Beyond Compare pour automatiser cette comparaison.

Quelles erreurs éviter pendant la désinfection ?

Erreur fatale : nettoyer uniquement les URLs listées par Google. Vous traitez les symptômes, pas la cause. Le malware se régénère en quelques heures via le backdoor initial (fichier shell, compte admin illégitime, tâche cron cachée).

Autre piège : réinstaller le CMS ou les plugins sans vérifier la base de données. Certains malwares injectent du code directement dans les champs MySQL (options WordPress, meta descriptions). Une réinstallation propre du code laisse l'infection active côté BDD. Enfin, évitez de demander la révision Google avant d'avoir éliminé la source : un refus rallonge le délai de réhabilitation de plusieurs semaines.

• Vérifier l'historique des propriétaires Search Console et révoquer tout accès inconnu
• Documenter l'infection (screenshots, exports, logs) avant toute intervention
• Analyser les logs serveur bruts pour identifier le vecteur d'attaque initial
• Comparer le code source infecté avec un backup sain pour isoler le payload
• Rechercher les backdoors (fichiers .php suspects, tâches cron, comptes admin cachés)
• Nettoyer simultanément fichiers ET base de données, jamais l'un sans l'autre
• Attendre confirmation de désinfection complète avant de demander la révision Google