Le message dit : « Le site est en panne. »
Vous vérifiez. Tout charge parfaitement. Mais votre client, et les clients de votre client, sont face à un avertissement rouge plein écran :
Menace potentielle détectée. Advanced Security a bloqué l’accès à ce site. Ce site pourrait compromettre votre appareil ou contenir du contenu à haut risque.
Le site n’est pas en panne. Le site n’est pas piraté. Il se passe quelque chose de plus sournois : la réputation du domaine a été signalée, et une partie d’internet raconte discrètement aux gens que votre entreprise est dangereuse.
Nous avons démêlé exactement cette situation la semaine dernière pour l’une de nos clientes. Voici ce qui se passait vraiment, pourquoi cela arrive à des petites entreprises parfaitement légitimes, et comment on le corrige.
L’avertissement ne vient pas du site
La plupart des gens n’ont jamais entendu parler de la couche de sécurité qui se trouve entre leur wifi et internet.
Les box et routeurs domestiques ainsi que les fournisseurs d’accès intègrent désormais une protection au niveau du réseau, presque toujours activée par défaut :
- Cox Panoramic Wifi et son « Advanced Security »
- Xfinity xFi « Advanced Security »
- eero Secure sur les routeurs eero
- Sans oublier l’antivirus sur l’ordinateur du visiteur : Kaspersky, ESET, Sophos, BitDefender, Webroot et d’autres avertissent ou bloquent directement dans le navigateur.
Tous s’appuient sur des flux de renseignement sur les menaces : des listes de domaines classés comme phishing ou malware. Si votre domaine atterrit sur quelques-unes de ces listes, chaque visiteur derrière l’un de ces routeurs, ou équipé de l’un de ces antivirus, voit une page d’alerte à la place de votre site.
Votre site peut être irréprochable aujourd’hui et figurer quand même sur ces listes. Voici pourquoi.
Comment une entreprise légitime se retrouve sur une liste de menaces
Trois chemins classiques :
1. Votre domaine a un passé. Un domaine en ligne depuis des années a pu héberger un ancien site piraté à un moment donné, souvent sans que le propriétaire ne l’apprenne jamais. Les sites piratés servent à héberger des pages d’arnaque, le domaine est signalé, et le signalement survit des années au nettoyage. Les listes de menaces pardonnent lentement.
2. L’erreur d’un fournisseur se propage. Les petits produits de sécurité achètent leurs classifications auprès de flux plus importants. Un seul faux positif à la source peut se répercuter chez une demi-douzaine de fournisseurs « différents » qui revendent les mêmes données.
3. Les filtres automatiques se trompent. Un domaine récent, des formulaires qui ressemblent à des pages de connexion, ou une adresse partagée avec un mauvais voisin peuvent déclencher des classificateurs automatiques, sans aucune vérification humaine.
Rien de tout cela ne suppose que vous ayez fait quoi que ce soit de mal.
Ce que ça a donné sur une Surmado Site
L’une de nos clientes, agente immobilière à Phoenix, a migré son site vers Surmado Sites cet été. Son domaine est précieux : seize ans d’existence, bien connu de ses clients. Quelque part dans ces seize années, bien avant Surmado, l’ancien site hébergé sur ce domaine a semble-t-il été compromis. Les registres des fournisseurs de sécurité montrent une centaine de liens malveillants historiquement associés au domaine. L’infection appartenait au passé. Le dommage à la réputation, non.
La semaine dernière, ce passif a refait surface : onze fournisseurs de sécurité classaient le domaine en « phishing », et la sécurité du routeur de son fournisseur d’accès bloquait le site pour une bonne partie de sa ville.
Et voici l’essentiel. Comme c’est une Surmado Site, c’était notre problème, pas le sien :
- Nous avons confirmé que le site lui-même était sain et se chargeait proprement depuis cinq pays.
- Nous avons remonté le blocage jusqu’à la sécurité du routeur, qui lisait des listes de menaces périmées.
- Nous avons audité tout ce que nous servons sur le domaine et vérifié qu’il était impeccable. Google Safe Browsing était du même avis : propre.
- Nous avons déposé une correction auprès de chaque fournisseur qui gardait encore l’ancien signalement, en demandant la bonne catégorie : immobilier.
Sa liste de tâches pendant tout cela : rien.
Vérifiez votre propre site en 15 minutes
Étape 1 : Confirmez que le site est réellement en ligne (2 min). Chargez-le sur votre téléphone, wifi coupé. Puis testez-le sur check-host.net, gratuit, qui charge votre site depuis plusieurs pays. Si le monde voit votre site et que vous voyez un avertissement, c’est un blocage de réputation, pas une panne.
Étape 2 : Cherchez votre domaine sur VirusTotal (3 min). Recherchez votre domaine sur virustotal.com. Il affiche les verdicts d’environ 90 fournisseurs de sécurité d’un coup. Un site sain : tout est vert. Un problème de réputation ressemble à celui de notre cliente : onze fournisseurs disant « Phishing » pendant que les autres disent propre.
Étape 3 : Vérifiez Google Safe Browsing (2 min). Recherchez votre URL dans le Rapport de transparence de Google. Si Google lui-même vous signale, Chrome avertit chaque visiteur, et la solution passe par Google Search Console.
Étape 4 : Identifiez qui bloque localement (5 min). La page d’avertissement nomme généralement le produit (« Advanced Security », « eero Secure »). Cela vous dit quelle liste compte le plus, et l’application du routeur propose une option « autoriser ce site » qui le débloque immédiatement sur votre propre réseau.
Sortir des listes
Autoriser le site dans votre propre routeur ne règle le problème que pour votre réseau. Chaque fournisseur tient sa propre liste, la vraie solution consiste donc à déposer un signalement de faux positif auprès de chacun. Nettoyer les grands flux nettoie généralement aussi les petits produits qui revendent leurs données.
Les canaux, à jour au moment où nous écrivons :
| Fournisseur | Où signaler |
|---|---|
| Webroot / BrightCloud | Demande de modification OpenText Threat Intelligence |
| Kaspersky | OpenTIP : cherchez votre domaine, demandez une nouvelle analyse |
| ESET | E-mail à samples@eset.com avec l’objet « False positive » |
| alphaMountain | Ticket de support (leurs données alimentent de nombreux autres outils) |
| BitDefender | Formulaire de faux positifs sur leur site de support |
| Sophos | Soumission d’adresse web sur leur portail de support |
Dans chaque signalement : dites clairement ce qu’est l’entreprise, que le site ne collecte ni mots de passe ni données de paiement et, si le domaine a un passé, que le site actuel est une reconstruction complète. Demandez un réexamen et la bonne catégorie.
Les fournisseurs répondent en général sous une semaine. Les routeurs et fournisseurs d’accès adoptent ensuite les listes mises à jour. Comptez une à trois semaines pour un rétablissement complet.
Le rapport avec Surmado Sites
Chaque Surmado Site est construite comme les auditeurs de sécurité aimeraient que tous les sites le soient : pas de page de connexion, pas de base de données, pas de modules où les attaquants pourraient s’introduire. Ce qui faisait pirater les anciens sites, et signaler les anciens domaines, n’existe tout simplement pas ici.
Et quand la tuyauterie d’internet déraille malgré tout, comme un signalement vieux de seize ans qui ressurgit de nulle part, le trouver et le corriger fait partie du service. Votre travail, c’est votre entreprise. La page rouge d’avertissement, c’est la nôtre.