Quand la recherche site:votresite.fr fait apparaître des titres en japonais, ou des fiches de produits de marque à prix cassés, votre site a été piraté pour servir de support à du spam. Ce piratage est connu en anglais sous le nom de Japanese keyword hack. Les pages parasites profitent de la réputation de votre domaine dans Google et restent souvent invisibles quand vous naviguez normalement sur le site.
D’où vient le problème
- Une extension, un thème ou une version de WordPress non mise à jour a permis de déposer des fichiers sur l’hébergement.
- Un identifiant d’administration, de FTP ou d’hébergement a été volé ou deviné.
- Un ancien site, une copie de test ou un sous-dossier oublié sur le même hébergement a servi de point d’entrée.
- Un premier piratage a été nettoyé en surface, sans retirer l’accès caché qui permet au pirate de revenir.
Comment corriger le problème
Mesurer l’étendue des pages parasites
Tapez site:monsite.fr dans Google et faites défiler : les résultats en japonais apparaissent parfois après plusieurs pages de résultats normaux. Dans la Search Console, le rapport Pages, rubrique Indexation, montre aussi si le nombre de pages indexées a bondi sans raison.
Contrôler les propriétaires dans la Search Console
Ouvrez Paramètres > Utilisateurs et autorisations et retirez tout propriétaire ou utilisateur inconnu. Retirez aussi son jeton de validation (fichier google….html à la racine du site, ou balise dans l’en-tête), sans quoi il peut se réattribuer l’accès. Dans le rapport Sitemaps, supprimez tout sitemap que vous n’avez pas déclaré.
Verrouiller les accès
Changez sans attendre les mots de passe de l’administration, de l’espace client, du FTP et de la base de données, et activez la double authentification là où elle existe. Un nouveau jeu de clés de sécurité dans wp-config.php (copie gardée) déconnecte en plus toutes les sessions en cours. Informez l’hébergeur, qui peut lancer une analyse des fichiers du compte.
Supprimer la source des pages
Ces pages sont produites par des fichiers ou du code ajoutés au site, parfois avec des règles glissées dans .htaccess. Les faire disparaître de Google ne sert à rien tant que cette source existe. Restaurez une sauvegarde saine si vous en avez une ; sinon, comparez chaque fichier avec les versions officielles de WordPress, du thème et des extensions.
Inspecter les autres sites de l’hébergement
Sur un hébergement mutualisé qui contient plusieurs sites, un seul site négligé peut réinfecter tous les autres. Faites l’inventaire des dossiers, archivez puis retirez les copies de test et les anciennes versions qui ne servent plus.
Faire sortir les pages de l’index
Une fois le site assaini, les adresses parasites doivent renvoyer une erreur 404 ou 410 ; vérifiez-le avec l’outil Inspection de l’URL. Soumettez un sitemap propre et, si le rapport Problèmes de sécurité signale un piratage, demandez un examen. Google retirera ensuite les pages disparues au fil de ses passages.
Sauvegardez le site dans son état actuel avant de retirer quoi que ce soit, et ne demandez pas à Google de retirer les pages tant que leur source n’est pas éliminée.
Un autre message d'erreur ? Collez-le dans le décodeur : il le reconnaît et vous oriente vers la bonne fiche.
Ouvrir le décodeur