Vous cherchez votre entreprise sur Google et, sous votre nom de domaine, apparaissent des titres en japonais, souvent des noms de marques de luxe ou de produits en promotion. Vous n'avez jamais publié ces pages, et pourtant elles sont bien rattachées à votre site. C'est ce que Google appelle le « hack des mots-clés japonais ». Notre page pages de spam dans Google présente la démarche complète de nettoyage et de remise en ordre des résultats ; cet article explique le mécanisme et les premiers gestes.
Comment fonctionne ce piratage
L'attaquant a obtenu un accès à votre site, le plus souvent par une extension ou un thème non mis à jour, ou par un mot de passe trop faible. Il y installe un programme qui génère automatiquement des milliers de pages en japonais, avec des liens vers des boutiques de contrefaçon. Le but n'est pas de casser votre site mais d'exploiter sa réputation auprès de Google : un domaine ancien et sain fait mieux remonter ces pages qu'un site créé la veille.
Deux caractéristiques rendent ce piratage difficile à repérer :
- Le camouflage (cloaking) : les pages de spam sont servies à Google, mais un visiteur ordinaire qui clique peut voir une erreur 404, votre page d'accueil, ou être redirigé vers la boutique de contrefaçon. Vous pouvez donc ouvrir l'adresse sans rien voir d'anormal.
- La prise de contrôle de la Search Console : Google signale que les attaquants s'ajoutent parfois eux-mêmes comme propriétaires de votre site dans la Search Console. Ils peuvent alors y soumettre leur propre sitemap pour accélérer l'indexation de leurs pages.
Comment le confirmer
- Recherche site: dans Google : tapez site:votredomaine.fr, puis ajoutez un mot japonais courant ou le nom d'une marque de luxe. Si des pages en japonais remontent, le doute n'est plus permis.
- La Search Console : dans la rubrique Sécurité et actions manuelles, Google peut signaler un « contenu piraté ». Dans le rapport de performances, regardez les requêtes et les pays : des requêtes en japonais et du trafic venant du Japon pour un site français sont parlants.
- Les utilisateurs de la Search Console : dans Paramètres, puis Utilisateurs et autorisations, chaque propriétaire doit être une personne que vous connaissez.
- Les sitemaps déclarés : un sitemap au nom inconnu, ou contenant des milliers d'adresses que vous ne reconnaissez pas, est un indice fort.
Où se cachent les pages
Les pages ne sont généralement pas des fichiers visibles un par un. Elles sont fabriquées à la volée par un script, à partir de modèles et de mots-clés stockés quelque part. On trouve souvent :
- des fichiers PHP ajoutés à la racine ou dans un sous-dossier au nom aléatoire ;
- des règles ajoutées au fichier .htaccess pour orienter certaines adresses vers ce script ;
- du code inséré dans un fichier légitime du thème ou du cœur du site, pour servir les pages uniquement aux robots de Google ;
- dans certains cas, du contenu stocké directement dans la base de données.
Les gestes immédiats
- Faites une copie complète du site (fichiers et base) avant de toucher à quoi que ce soit.
- Retirez les propriétaires inconnus de la Search Console, et supprimez aussi leurs jetons de validation (fichier HTML ou balise ajoutés sur votre site), sinon ils pourront se réinscrire. Supprimez les sitemaps que vous n'avez pas déclarés.
- Changez tous les mots de passe : hébergeur, FTP, base de données, administrateurs du site, compte Google utilisé pour la Search Console.
- Ne supprimez pas les pages de spam dans la Search Console tout de suite : tant que le script est en place, il en générera de nouvelles. Le retrait des résultats vient après le nettoyage.
Le nettoyage, puis le retour à la normale dans Google
Le nettoyage consiste à supprimer le générateur de pages, les règles de redirection et toutes les portes dérobées laissées par l'attaquant, puis à mettre à jour ce qui a permis l'intrusion. Une fois le site propre, les adresses de spam doivent renvoyer une erreur 404 ou 410, ce qui indique à Google qu'elles n'existent plus. On peut alors demander leur retrait temporaire dans la Search Console et, si Google avait signalé un contenu piraté, demander un réexamen.
Il faut être patient : la disparition complète des pages de spam dans les résultats peut prendre plusieurs semaines, et les positions de vos vraies pages peuvent mettre du temps à revenir. Notre article pour lever l'alerte « site dangereux » détaille la demande de réexamen, qui suit la même logique.
Ce qu'il ne faut pas faire
- Bloquer les adresses de spam dans le fichier robots.txt : Google ne pourra plus constater qu'elles ont disparu, et elles risquent de rester dans les résultats.
- Restaurer une sauvegarde sans la vérifier : l'infection peut dater de plusieurs semaines.
- Se contenter d'une extension de sécurité : elle peut repérer certains fichiers, mais ne gère pas le nettoyage des résultats Google ni la Search Console.
Besoin d'aide ?
Ce type d'infection relève du nettoyage complet à 350 €. Le nettoyage des résultats Google (désindexation, sitemap, réexamen, suivi) est une option à partir de 390 €. TVA non applicable, prix ferme annoncé après le diagnostic gratuit. Contact : 04 82 53 39 32, lois.armand@hinsight.org, ou le formulaire de diagnostic gratuit.
Sources
- Google, Fix the Japanese keyword hack (guide officiel, en anglais)
- Google Search Central, corriger les cas de piratage courants