Site Web cloné par des escrocs ? Un plan d'action étape par étape

Si des escrocs ont cloné votre site Web, suivez cinq étapes dans l’ordre : capturez les preuves immédiatement (captures d’écran, pages sauvegardées, enregistrements WHOIS, copies d’archive) ; identifiez la source de trafic alimentant le clone — il s’agit presque toujours de publicités payantes ou de phishing ; déposez des rapports d’abus auprès du fournisseur d’hébergement du clone et du registraire ; signalez l’URL à Google Safe Browsing afin que les principaux navigateurs avertissent les visiteurs ; et informez vos clients avant que le premier charge‑back n’arrive, pas après. Le site clone lui‑même est bon marché et jetable. Les points de levier sont l’infrastructure qu’il loue et le trafic qu’il achète.

Voici le plan d’intervention complet, dans l’ordre qui minimise les dommages.

Première heure : capturez les preuves avant d’agir#

L’instinct est de lancer immédiatement des rapports d’abus en colère. Résistez pendant une heure, car chaque retrait que vous obtenez détruit les preuves dont vous aurez besoin pour les étapes suivantes — le litige de domaine, la plainte auprès du processeur de paiement, le dépôt de marque, et la réapparition inévitable sur un nouveau domaine.

Capturez, au minimum :

• Captures d’écran plein écran et HTML sauvegardé de la page d’accueil du clone, des pages produit, du checkout et de la page de contact.
• Les URL exactes ainsi que la date et l’heure de chaque capture.
• Le flux de checkout lui‑même, s’il est en ligne : quels moyens de paiement il propose et tout nom de marchand affiché — les plaintes relatives aux rails de paiement en ont besoin.
• L’enregistrement WHOIS du domaine (registraire, date d’enregistrement, détails du titulaire si visibles) et son fournisseur d’hébergement via une recherche d’IP.
• Un instantané d’archive (archive.org ou similaire) comme corroboration tierce que le clone existait à cette URL à cette date.

Conservez le tout dans un dossier daté. Les clones réapparaissent sur de nouveaux domaines, et pouvoir démontrer un schéma — même modèle, mêmes actifs, même processeur de paiement sur cinq domaines — transforme le troisième retrait d’une simple enquête en une action le même jour.

Découvrez comment les gens accèdent au clone#

Un site cloné sans trafic est un artefact inoffensif. Les clones n’apparaissent pas organiquement — ils achètent des visiteurs, et le canal d’achat détermine qui peut couper le trafic. Vérifiez, dans l’ordre :

• Bibliothèques de transparence publicitaire pour vos termes de marque : la Meta Ad Library et le Google Ads Transparency Center.
• Les réseaux publicitaires natifs, qui ne disposent d’aucune bibliothèque officielle et sont une source favorite de trafic de clones. L’index d’OpenAdLibrary trace les publicités natives à travers leurs chaînes de redirection jusqu’au domaine de destination final — plus de 1,3 million de captures de landing pages sur 49 réseaux à partir de juin 2026 — vous pouvez donc rechercher vos marques et produits dans la bibliothèque d’intelligence publicitaire et voir quelles annonces renvoient à des domaines qui ne sont pas les vôtres. Nos guides sur l’identification du réseau publicitaire derrière une annonce et la découverte de qui achète des annonces sur un site couvrent la version manuelle de cette traçabilité.
• Les canaux de phishing — e‑mail et DM sociaux — si aucune annonce n’apparaît. Interrogez les clients affectés sur la façon dont ils ont trouvé le site ; leurs réponses constituent également des preuves.

Identifier l’annonce est crucial car un rapport d’abus au réseau publicitaire est généralement le levier le plus rapide : il peut couper l’oxygène du clone en une journée ouvrable, tandis que les retraits d’hébergement s’enlisent dans les files d’attente. Signalez l’annonce avec son URL de clic et la chaîne de redirection, empaquetées comme le décrit notre guide de signalement d’une annonce frauduleuse.

Voies de retrait, leviers les plus rapides d’abord#

Notes pratiques pour chaque voie :

• Hébergement. Trouvez l’hébergeur avec une recherche d’IP ou d’ASN sur le domaine du clone. La plupart des hébergeurs disposent d’une boîte aux lettres ou d’un formulaire d’abus ; joignez le pack de preuves et indiquez clairement que le site est un clone frauduleux de votre entreprise, avec vos URL d’origine à titre de comparaison.
• Registraire. Indiqué dans le WHOIS. Les registraires agissent rapidement contre le phishing — pages de connexion ou de paiement factices — tandis que la simple copie de contenu est souvent renvoyée vers la voie DMCA.
• Safe Browsing. Signalez à safebrowsing.google.com. Une inscription place un avertissement plein écran devant les utilisateurs de Chrome, et Firefox et Safari utilisent la même liste. Cela ne retire pas le site, mais réduit fortement son taux de conversion.
• DMCA. Un clone est une copie en gros de votre texte, images et code protégés, donc les avis de retrait aux moteurs de recherche et à l’hébergeur reposent sur un fondement solide.
• Hébergement bulletproof. Certains clones résident sur des hébergeurs tolérants aux abus qui ignorent tout. Ne perdez pas de semaines là‑dessus — concentrez‑vous sur le côté trafic (réseaux publicitaires, Safe Browsing, rails de paiement), que l’hébergeur ne peut pas protéger.

Une note d’efficacité supplémentaire : rédigez le modèle de rapport d’abus une fois et réutilisez‑le. Un rapport concis contient votre identité et vos droits (qui vous êtes, votre domaine officiel, preuve de propriété du contenu original), l’URL du clone et les dates de capture, une déclaration en deux lignes de ce que c’est ("a fraudulent copy of our website collecting payments under our name"), et deux ou trois captures d’écran côte à côte. Chaque voie du tableau accepte essentiellement ce même paquet, de sorte que les deuxième et troisième dépôts ne devraient prendre que quelques minutes, pas une après‑midi.

Protégez vos clients pendant les retraits#

Les retraits prennent des jours ; vos clients sont déjà victimes de fraude.

• Publiez un court avis sur votre site, dans les e‑mails de confirmation de commande et sur les réseaux sociaux : votre seul domaine officiel, un avertissement qu’un faux existe, et un rappel que vous ne demandez jamais de paiement ailleurs. Décrivez le schéma de contrefaçon plutôt que d’hyperlier le clone — il n’y a aucune raison de lui offrir davantage de visiteurs.
• Informez votre équipe support avec une réponse type et un endroit où consigner chaque signalement client. Les signalements sont des preuves, et le support est généralement le premier point où un clone devient visible.
• Surveillez les rétrofacturations et les litiges de paiement pour repérer les empreintes du clone. Si le clone phishing les identifiants plutôt que les paiements, forcez la réinitialisation des mots de passe pour les comptes affectés.

Escalades plus lentes mais plus percutantes#

• Marque déposée. Si le domaine intègre votre marque, un litige UDRP peut transférer le domaine à vous de façon permanente — le seul remède qui empêche le même domaine de revenir. Ancrez les plaintes côté annonce sur les mêmes droits ; voir Violation de marque dans les annonces.
• Rails de paiement. Signalez le checkout du clone aux processeurs de paiement qu’il utilise. Les escrocs peuvent changer de domaine en une heure ; remplacer un compte marchand est bien plus difficile, ce qui rend cette plainte très douloureuse pour eux.
• FTC. Les entreprises et consommateurs américains peuvent déposer une plainte à ReportFraud.ftc.gov. Cela ne fera pas tomber le site, mais crée le dossier d’application de la loi qui compte lorsque la même opération refait surface pour la troisième fois.

Anticipez les retours — créez la boucle de surveillance#

Un domaine coûte quelques dollars et le clonage est automatisé, donc une opération de clone rentable traite les retraits comme du churn, pas comme une défaite. Le schéma est largement documenté dans la publicité native — voir comment les escrocs clonent les marques dans les annonces natives et l’entrée du glossaire page de destination copycat.

La solution durable est la rapidité de détection :

• Un balayage hebdomadaire des bibliothèques d’annonces et de l’index natif pour vos termes de marque et de produit.
• Des alertes de liste de surveillance sur les nouvelles annonces dont les pages de destination correspondent à votre marque, afin qu’une campagne relancée apparaisse en jours plutôt qu’en semaines.
• Une surveillance de similarité contre vos propres pages d’entonnoir, qui détecte les clones qui ne mentionnent jamais votre marque dans l’annonce — l’approche décrite dans Protection de marque dans la publicité native.

Le plan d’intervention, résumé : preuve, trafic, infrastructure, clients, escalade — dans cet ordre. Les équipes qui échouent sont celles qui commencent au milieu, obtiennent un retrait d’hébergement, puis déclarent la victoire alors que les annonces continuent de fonctionner sur une nouvelle copie.