Le verdict en trois phrases
Un site WordPress qui redirige vers des sites de jeux est presque toujours infecté par une porte dérobée cachée dans une extension ou un thème non mis à jour. Le nettoyage complet coûte de 3 000 à 9 000 MAD HT à Casablanca en 2026, la levée du blacklist Google prend 24 à 72 h après la demande de réexamen, et sans durcissement (400 à 1 200 MAD/mois) la réinfection survient dans 40 à 60 % des cas sous trois mois. Si le thème est abandonné par son éditeur, une refonte de 25 000 à 60 000 MAD devient souvent plus rentable qu'un nettoyage répété.
Les 72 premières heures : ce qu'il faut faire, et combien ça coûte
Chaque jour de blacklist fait chuter le trafic organique de 90 % ou plus, car Chrome affiche un écran rouge avant d'ouvrir le site. Les e-mails envoyés depuis le domaine peuvent aussi finir en spam.
| Étape | Délai | Prix 2026 (MAD HT) | Objectif |
|---|---|---|---|
| Mise en maintenance + sauvegarde forensique | 1 à 2 h | Inclus dans le nettoyage | Stopper les redirections, garder les preuves |
| Scan fichiers et base de données | 2 à 6 h | 1 000 à 2 500 | Trouver portes dérobées et utilisateurs admin fantômes |
| Nettoyage et réinstallation du cœur et des extensions | 4 à 12 h | 2 000 à 5 000 | Repartir de fichiers sains |
| Changement de tous les mots de passe et clés | 1 h | Inclus | Couper l'accès du pirate |
| Demande de réexamen Google Search Console | 24 à 72 h de traitement | 0 à 1 500 | Lever l'avertissement rouge |
| Vérification réputation e-mail (SPF, DKIM, DMARC) | 1 à 2 h | 500 à 1 000 | Remettre les e-mails en boîte de réception |
Au total, un nettoyage standard se situe entre 3 000 et 9 000 MAD HT selon la taille du site et le nombre d'infections. Un site WooCommerce avec base clients relève du haut de la fourchette, car il faut vérifier les données de commande.
Nettoyer, durcir ou refaire : comparer les options
| Option | Coût initial (MAD HT) | Coût mensuel | Risque de réinfection à 6 mois | Quand la choisir |
|---|---|---|---|---|
| Nettoyage seul | 3 000 à 9 000 | 0 | 40 à 60 % | Jamais seul, sauf site jetable |
| Nettoyage + durcissement + WAF | 4 500 à 12 000 | 400 à 1 200 | Moins de 5 % | Thème et extensions encore maintenus |
| Migration vers un hébergement managé | 2 000 à 5 000 | 300 à 900 | Moins de 5 % | Hébergement mutualisé bas de gamme |
| Refonte complète | 25 000 à 60 000 | 500 à 1 500 (maintenance) | Moins de 3 % | Thème abandonné, PHP obsolète, site de plus de 6 ans |
| Ne rien faire | 0 | 0 | 100 % | Perte de trafic, d'e-mails et de crédibilité |
Le durcissement comprend la désactivation de l'éditeur de fichiers, la limitation des tentatives de connexion, la double authentification pour les administrateurs, la suppression des extensions inutilisées et un pare-feu applicatif (WAF) qui bloque les attaques connues avant qu'elles n'atteignent le serveur.
Les obligations côté données personnelles au Maroc
Si le site collecte des données (formulaires, comptes clients), la loi 09-08 et la CNDP imposent de sécuriser ces traitements. En cas de fuite avérée, documentez l'incident, les données concernées et les mesures prises. Pour une PME qui exporte vers l'Europe et traite des données de clients européens, le RGPD peut aussi s'appliquer, avec une notification sous 72 h.
Mini cas pratique
Youssef, gérant d'une PME de distribution de matériel médical à Casablanca, découvre que son site redirige vers un casino en ligne. Le site génère habituellement 30 demandes de devis par mois, dont 6 converties avec une marge moyenne de 4 000 MAD, soit 24 000 MAD de marge mensuelle liée au site. Le thème date de 2018 et n'est plus maintenu. Option retenue : nettoyage d'urgence à 5 500 MAD pour lever le blacklist en 48 h, puis refonte à 38 000 MAD livrée en 6 semaines, et maintenance avec WAF à 800 MAD/mois. Coût la première année : 53 100 MAD. Deux semaines de blacklist évitées représentent déjà 12 000 MAD de marge préservée, et la refonte supprime le risque de récidive.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Combien de temps faut-il pour que Google retire l'avertissement ?
Après un nettoyage complet et une demande de réexamen dans Search Console, Google répond en général sous 24 à 72 h. Une demande rejetée parce qu'il reste du code malveillant ajoute 3 à 7 jours.
Une extension de sécurité gratuite suffit-elle ?
Elle aide à détecter, mais elle ne nettoie pas les portes dérobées avancées et ne protège pas en amont comme un WAF. Comptez 400 MAD/mois minimum pour une protection sérieuse.
Mon hébergeur peut-il nettoyer le site ?
La plupart des hébergeurs mutualisés suspendent le compte et vous laissent gérer. Certains proposent un nettoyage payant de 1 500 à 4 000 MAD, rarement accompagné de durcissement.
Faut-il porter plainte ?
C'est conseillé si des données clients ont pu être volées, auprès de la DGSN (cybercriminalité). Conservez la sauvegarde forensique, elle sert de preuve.
Comment éviter que cela se reproduise ?
Mises à jour hebdomadaires, double authentification, sauvegardes externalisées quotidiennes et WAF. Ce socle coûte 400 à 1 200 MAD/mois, bien moins qu'un nouvel incident.
Parlons de votre projet. Envoyez-nous l'adresse du site touché : nous chiffrons le nettoyage d'urgence (3 000 à 9 000 MAD), le durcissement et, si nécessaire, une refonte avec planning. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
