URL de spam dans Google Search Console : les trouver et les supprimer (410)

Si Google Search Console affiche sur votre domaine des pages que vous n’avez jamais créées, par exemple des fiches produits de déboucheurs, de plantes de jardin ou de pièces détachées, vérifiez d’abord si elles s’ouvrent encore. Si elles renvoient une erreur 404 à tous les visiteurs, votre site est très probablement sain et Google se souvient simplement d’anciennes URL de spam. Répondez-leur avec un statut « 410 Gone », cherchez les signes cachés d’un piratage et utilisez l’outil Suppressions pour les pires d’entre elles. Si elles s’ouvrent, ou redirigent ailleurs, votre site est piraté et doit être nettoyé avant toute autre chose.

Ce guide est rédigé par Kolchi In One (KIO), une agence digitale qui conçoit et maintient des sites web, des CRM et des agents IA pour des clients au Moyen-Orient, en Europe, en Asie et en Afrique du Nord. Nous l’avons écrit après avoir rencontré exactement ce problème dans un compte Search Console que nous gérons : le nôtre.

Ce que nous avons trouvé

En examinant kolchiinone.com dans Google Search Console, nous avons trouvé étrange la liste des pages que Google affichait dans ses résultats. À côté de notre page d’accueil figuraient 77 URL sans aucun rapport avec nous, aux noms comme /Dredging-Agent-Powerful-Drain-Cleaner-For-Kitchen-Sinks-1149064/ ou /Banner-Flag-2x2-Ft-Music-Poster-934574/. La plupart des « requêtes de recherche » portaient sur des produits sans lien avec notre activité. Au cours des deux mois précédents, ces pages fantômes avaient attiré plus de clics que nos vraies pages.

C’est un problème même si personne ne voit ces pages : vos rapports deviennent inutilisables, vos chiffres de trafic paraissent plus élevés qu’ils ne le sont, et un visiteur qui clique tombe sur une page d’erreur à votre nom.

Étape 1 : les pages de spam s’ouvrent-elles encore ?

Cette seule vérification détermine le type de problème que vous avez. Ouvrez trois ou quatre de ces URL :

• Dans une fenêtre de navigation normale, puis dans une fenêtre privée.
• Depuis un résultat de recherche Google, car certains piratages n’affichent le spam qu’aux visiteurs qui arrivent de Google.
• En tant que Googlebot : dans Search Console, collez l’URL dans l’outil Inspection de l’URL et cliquez sur Tester l’URL en ligne. Certains piratages n’affichent le spam qu’au robot de Google (« cloaking »).

Si chaque test affiche votre page habituelle « page introuvable », les pages n’existent plus. Si l’un des tests affiche une fiche produit, une redirection vers un autre site ou une langue inattendue, votre site est piraté en ce moment même. Dans ce cas, passez directement à la section sur les piratages actifs plus bas.

Dans notre cas, chaque test a renvoyé une erreur 404. Les pages n’existaient pas sur le site.

Étape 2 : cherchez quand même les signes cachés d’un piratage

Une 404 est une bonne nouvelle, mais elle ne prouve pas que le site est sain. Consacrez quinze minutes à ces vérifications :

1. Utilisateurs : dans WordPress, menu Utilisateurs. Supprimez tout administrateur que vous ne reconnaissez pas.
2. Extensions et thèmes : tout ce que vous n’avez pas installé, ou une extension au nom bizarre, est un signal d’alerte.
3. Dossier des médias : dans le gestionnaire de fichiers de votre hébergeur, wp-content/uploads doit contenir des images et des documents, jamais de fichiers .php.
4. Le fichier .htaccess et la racine du site : cherchez des règles qui redirigent les visiteurs ou des fichiers que vous ne savez pas expliquer.
5. Sitemaps : ouvrez votresite.com/sitemap_index.xml (ou sitemap.xml) et vérifiez que seules vos vraies pages y figurent.
6. Base de données : cherchez les mots du spam dans vos articles et vos pages. Les articles masqués sont une technique courante.
7. Search Console, Sécurité et Actions manuelles : Google vous y prévient s’il a détecté du contenu piraté. Consultez l’aide sur le rapport Actions manuelles.

Sur notre site, les sept vérifications étaient propres. L’explication la plus probable : ces URL datent d’avant notre site actuel, ou ont été poussées vers Google par des spammeurs qui créent des liens vers des domaines au hasard, et Google les a gardées en mémoire.

Étape 3 : indiquez à Google que les pages ont disparu pour de bon

Une 404 signifie « introuvable ». Une 410 signifie « supprimée, et elle ne reviendra pas ». La documentation de Google sur l’effet des codes d’état HTTP sur ses robots explique que les pages qui renvoient ces erreurs sont retirées de l’index ; une 410 exprime clairement l’intention, c’est donc la bonne réponse pour des URL dont vous savez qu’elles n’existeront jamais.

La méthode sûre consiste à ne renvoyer une 410 que pour les URL qui correspondent au motif du spam et qui sont déjà en 404. Nos URL de spam contenaient toutes des majuscules et se terminaient par un nombre, alors que les vraies adresses WordPress sont en minuscules. Nous avons donc ajouté une petite règle : si une page est introuvable, et que son adresse contient une majuscule et se termine par un tiret suivi de chiffres, répondre 410. Les vraies pages ne correspondent jamais à ce motif, et la règle se retire en supprimant un seul fichier. Un développeur peut le faire en quelques minutes sur WordPress, ou avec une règle dans la configuration de votre serveur.

Ne faites pas l’inverse, par exemple en redirigeant toutes les URL de spam vers votre page d’accueil. Google considère les redirections massives vers la page d’accueil comme des « soft 404 », et les visiteurs sont désorientés.

Étape 4 : accélérez le nettoyage

• Outil Suppressions : dans Search Console, l’outil Suppressions masque une URL ou tout un préfixe d’URL des résultats Google pendant environ six mois, le temps que la 410 fasse son travail de façon définitive. Utilisez-le pour les URL qui génèrent encore des impressions.
• Ne bloquez pas les URL de spam dans le robots.txt. Cela paraît logique, mais si Google ne peut pas les explorer, il ne voit pas la 410, et elles restent référencées plus longtemps.
• Soumettez à nouveau votre vrai sitemap pour que Google consacre son temps aux pages qui comptent.
• Filtrez vos rapports : en attendant que les fantômes disparaissent, excluez-les dans Search Console (Page, exclure le motif) afin de voir vos vraies performances.

Si les pages de spam s’ouvrent : un piratage actif

Il s’agit du classique « piratage par mots clés japonais » ou « pharma hack » : des milliers de pages générées automatiquement et ajoutées à un site pour vendre des produits, souvent visibles uniquement par Google. Le site partenaire de Google, web.dev, propose un guide complet pour corriger le piratage par mots clés japonais. En résumé :

1. Faites une sauvegarde complète des fichiers et de la base de données avant de modifier quoi que ce soit.
2. Changez tous les mots de passe : hébergement, administrateurs WordPress, base de données, FTP, et activez la double authentification.
3. Supprimez les fichiers et les entrées de base de données injectés, puis réinstallez le cœur de WordPress et chaque extension à partir de copies saines.
4. Mettez à jour PHP, WordPress, le thème et toutes les extensions. Beaucoup de ces piratages entrent par une vieille extension ; notre vérification de site PHP2Shell couvre la faille la plus récente.
5. Renvoyez une 410 pour les URL de spam, puis demandez un réexamen dans Search Console si Google a signalé le site.

Ce que cela nous a appris sur la lecture des statistiques

À première vue, notre Search Console indiquait un effondrement du trafic sur deux mois. Une fois les pages fantômes retirées, le tableau était tout autre : notre vraie page d’accueil était passée d’environ 280 à 450 impressions sur 28 jours, avec une position moyenne proche de 5,7, tandis que c’étaient les URL de spam qui s’effaçaient. Séparez toujours les vraies pages du bruit avant de juger si vos résultats s’améliorent ou se dégradent.

Si votre Search Console vous semble incohérente, ou si votre site a été créé par quelqu’un que vous ne pouvez plus joindre, c’est exactement le type de maintenance que nous assurons. Découvrez nos services ou lisez d’abord comment choisir une agence digitale.

Questions fréquentes

Des URL de spam dans Search Console signifient-elles que mon site est piraté ?

Pas toujours. Si chaque URL renvoie une 404 aux visiteurs normaux comme à Googlebot, et que vos fichiers, vos utilisateurs et votre base de données sont propres, il s’agit généralement d’un ancien spam dont Google se souvient encore. Si les URL s’ouvrent ou redirigent, le site est piraté.

Faut-il utiliser une 404 ou une 410 pour les pages de spam ?

Les deux amènent Google à retirer les pages. Une 410 indique clairement que la page a disparu pour de bon : c’est pourquoi nous l’utilisons pour les URL de spam, et uniquement pour les URL qui correspondent au motif du spam.

Combien de temps avant que les URL de spam disparaissent de Search Console ?

Cela dépend de la fréquence à laquelle Google les explore à nouveau. Comptez quelques semaines pour la plupart, davantage pour celles qui sont rarement explorées. L’outil Suppressions les masque des résultats en attendant.

Ces pages fantômes vont-elles nuire à mon classement ?

Les pages qui renvoient une 404 ou une 410 ne pénalisent pas vos vraies pages. Le vrai risque, c’est un piratage actif, qui peut faire signaler l’ensemble du site.

KIO peut-il vérifier mon site et ma Search Console ?

Oui. Nous testons les URL en tant que visiteur et en tant que Googlebot, vérifions les fichiers, les utilisateurs, la base de données et les sitemaps, mettons en place la règle 410 lorsqu’elle est sans risque, et vous expliquons nos constats en termes simples. Écrivez-nous sur WhatsApp au +212 688 445 399 ou via la page de contact pour un appel gratuit de 15 minutes.