Spam japonais dans Google : faire disparaître les pages parasites

Vous tapez le nom de votre entreprise dans Google. Au milieu de vos pages apparaissent des titres en japonais, des annonces de montres de luxe à prix cassés, des pages de casino. Vous cliquez, et vous tombez sur une erreur ou sur votre page d’accueil.

C’est un piratage connu sous le nom de spam japonais, ou piratage par mots-clés japonais. D’après le guide de Google sur ce piratage (en anglais), ces pages rapportent de l’argent au pirate par des liens vers des boutiques de fausses marques. Elles sont souvent rangées dans des dossiers aux noms inventés, comme votresite.fr/ltjmnjp/341.html, et leur texte japonais est généré automatiquement : dans les résultats de Google, leurs descriptions affichent un charabia.

Ce piratage se traite en deux temps : d’abord le code qui fabrique ces pages sur votre site, puis la mémoire de Google, qui les garde longtemps après le nettoyage.

Début octobre, nous avons traité un piratage de la même famille sur la boutique en ligne dont notre guide du site piraté raconte l’histoire. Ses pages n’étaient pas en japonais, mais le mécanisme et le remède sont les mêmes. Voici ce que nous en avons appris, y compris sur des conseils répandus qui font perdre un temps précieux.

Pourquoi ces pages restent introuvables dans votre WordPress

Ces pages n’existent nulle part dans votre administration. Du code ajouté à votre site les fabrique au moment où quelqu’un essaie de les afficher, et il choisit à qui il les montre : au robot de Google, la page de spam ; à vous, une erreur ou votre page d’accueil. On parle de contenu masqué.

Le même guide de Google prévient que les pirates cherchent ainsi à vous faire croire que la page a disparu ou que le problème est réglé, alors que le site est toujours piraté. Une page introuvable (erreur 404) quand vous cliquez ne prouve donc rien.

Pour voir ce que reçoit Google, utilisez la Search Console, le tableau de bord gratuit que Google offre aux propriétaires de sites. Ouvrez une adresse suspecte dans l’outil Inspection de l’URL, puis cliquez sur « Afficher la page explorée » : vous voyez ce que le robot de Google a reçu lors de son dernier passage. Si c’est une page de spam, la preuve est faite. Si c’est votre vraie page, cela ne prouve pas le contraire, car ce passage peut dater d’avant le piratage. Notre article pour savoir si votre site est piraté explique comment se servir de cet outil.

Mesurer l’ampleur et dater le piratage

La recherche site:votresite.fr dans Google en donne une première idée, mais ses nombres sont approximatifs. La mesure fiable est dans la Search Console, rapport Pages (rubrique Indexation), dont la courbe dit combien de pages Google a indexées. Voici celle de la boutique :

Plus de 24 000 pages sont apparues en une semaine. Les premières sont arrivées fin août : le code du pirate était donc en place au plus tard à cette date.

D’abord, arrêter la fabrique

La méthode complète de nettoyage est dans le guide du site piraté. Pour ce piratage en particulier, regardez de près :

• les fichiers du dossier principal du site (sa racine), en particulier index.php, wp-load.php et le .htaccess (le fichier de réglages du serveur), que Google cite parmi les cibles habituelles ;
• la Search Console : retirez tout propriétaire inconnu, puis le fichier de validation qu’il a déposé à la racine du site (un fichier HTML dont le nom commence souvent par google), sans quoi il peut revenir ;
• les plans du site, ces listes d’adresses que l’on envoie à Google : supprimez ceux que vous n’avez pas créés, dans la Search Console et sur le serveur.

Pour vérifier, reprenez plusieurs adresses parasites dans l’outil Inspection de l’URL, et cliquez cette fois sur « Tester l’URL active » : elles doivent maintenant renvoyer une erreur. La preuve viendra de la courbe du rapport Pages, qui doit cesser de monter dans les jours suivants.

Ensuite, faire oublier ces pages à Google

Faire répondre « page supprimée » aux adresses parasites

Une adresse qui renvoie une erreur 404 (introuvable) ou 410 (supprimée définitivement) finit par sortir de l’index de Google. Vous lirez souvent qu’une adresse en 410 en sort plus vite qu’une adresse en 404. La documentation de Google dit que ces erreurs, 404, 410 et voisines, sont traitées de la même manière. John Mueller, de Google, a seulement précisé qu’une adresse en 410 sort parfois un peu plus vite, avec un écart de quelques jours (rapporté par Search Engine Journal, en anglais). Nous préférons l’erreur 410, parce qu’elle décrit exactement ce qui s’est passé.

Une règle par motif plutôt que des milliers de lignes

L’export du rapport Pages s’arrête à 1 000 lignes d’exemples (aide de la Search Console). Vous n’aurez donc jamais la liste complète de vos adresses parasites. On cherche plutôt ce qu’elles ont toutes en commun, et qu’aucune de vos vraies pages n’a. Sur la boutique, elles avaient toutes la même forme : un ou plusieurs mots, un tiret, puis 5 à 8 chiffres, directement à la racine du site.

Une seule règle, placée dans le .htaccess juste avant la ligne # BEGIN WordPress, a suffi pour qu’elles renvoient toutes une erreur 410 :

RewriteEngine On
RewriteRule ^[A-Za-z0-9-]+-[0-9]{5,8}/?$ - [G,L]

Cette règle est propre à ce site, la vôtre dépendra de vos adresses parasites. Trop large, elle ferait sortir de Google vos vraies pages avec les autres. Testez-la donc avant de la mettre en ligne : elle doit couvrir toutes les adresses parasites exportées de la Search Console, et aucune adresse de votre plan du site. Sur la boutique, elle couvrait les 997 adresses parasites de l’export, et aucune des 31 adresses de son vrai plan du site. Elle ne fonctionne que si votre hébergeur lit le fichier .htaccess, ce qui n’est pas le cas d’un serveur Nginx ; en cas de doute, demandez-lui. Notez-la quelque part, et retirez-la quand les pages parasites auront quitté Google : sinon, une future vraie page de la même forme renverrait elle aussi une erreur.

L’outil Suppressions : rapide, mais temporaire

Dans la Search Console, le menu Suppressions permet de retirer temporairement une adresse des résultats (onglet « Suppressions temporaires », bouton « Nouvelle demande »). C’est utile pour faire disparaître vite les pages les plus visibles, celles qui apparaissent quand on cherche votre nom. D’après l’aide de Google :

• le retrait dure environ six mois. Si l’adresse affiche encore une page à ce moment-là, au lieu d’une erreur, elle peut revenir ;
• chaque demande peut prendre une journée de traitement, sans garantie d’être acceptée ;
• majuscules et minuscules comptent : /Dragon et /dragon sont deux adresses différentes ;
• l’option « Supprimer toutes les URL avec ce préfixe » masque toutes les adresses qui commencent de la même façon, avec ou sans www, en http comme en https.

Chaque demande exige plusieurs clics et une confirmation : impossible de traiter ainsi des dizaines de milliers d’adresses. Traitez une à une les plus visibles, et passez par le préfixe pour les autres, avec précaution. Sur la boutique, presque toutes les adresses parasites commençaient par une majuscule ou par un chiffre, alors que WordPress écrit par défaut ses adresses en minuscules : un préfixe comme votresite.fr/K ne touchait donc aucune vraie page. Dans le spam japonais, où les pages sont rangées par dossier (comme /ltjmnjp/ plus haut), un préfixe par dossier les retire toutes. Si vos adresses contiennent des dates (/2024/05/...), évitez les préfixes en chiffres, qui retireraient de vraies pages. Et après chaque série, vérifiez qu’une de vos vraies pages apparaît toujours dans Google.

Suivre la décrue

Google retire les adresses à mesure qu’il repasse dessus. Pour des milliers d’adresses, il lui faut des semaines, parfois des mois. Le nettoyage est terminé quand la courbe du rapport Pages retrouve à peu près son niveau d’avant le piratage, soit 19 pages pour la boutique. Si elle remonte pendant ce temps, le pirate est revenu avec de nouvelles adresses.

Questions fréquentes

Ces pages nuisent-elles à mon site dans Google ?

Oui, cela peut arriver. Google peut afficher sous vos résultats une mention du type « Il est possible que ce site ait été piraté » (voir notre article sur l’avertissement de Google). Et des milliers de pages de mauvaise qualité sous votre nom de domaine nuisent à son image.

J’ai fait retirer ces pages de Google, et elles reviennent. Pourquoi ?

Parce que le pirate a pu revenir. Même une fois son code retiré, la faille par laquelle il est entré lui permet de le réinstaller tant qu’elle reste ouverte. Notre guide du site piraté explique comment la trouver.

Faut-il demander à Google d’ignorer les liens douteux qui mènent à ces pages ?

En général, non. Les pirates publient parfois des liens vers ces pages depuis des sites douteux, mais une fois qu’elles renvoient une erreur, ces liens ne mènent plus nulle part. Google précise que son outil de désaveu ne sert qu’aux sites qui ont reçu, ou risquent de recevoir, une action manuelle, c’est-à-dire une sanction décidée par un employé de Google, à cause de nombreux liens artificiels.