En bref : du spam SEO dans l'index Google signifie presque toujours qu'un code étranger s'exécute sur votre serveur et génère ou diffuse des pages de spam. Déterminez d'abord si les pages existent sous forme de fichiers, d'entrées de base de données ou si elles sont générées dynamiquement par du code injecté. Après le nettoyage, chaque URL de spam doit renvoyer durablement 404 ou 410 ; l'outil de suppression de la Search Console ne masque les pages que temporairement.
Quand votre domaine se classe soudain pour du contenu étranger
La découverte est souvent fortuite. Un collaborateur cherche le nom de l'entreprise et voit en dessous des résultats dans une langue étrangère. Ou bien, dans la Search Console, apparaissent des requêtes sur des médicaments, les jeux d'argent ou des produits de marque, avec des clics sur des pages que personne n'a créées.
Pour des attaquants, le domaine d'une entreprise sérieuse a de la valeur. Les moteurs de recherche lui font confiance, et des pages de spam à cette adresse se classent plus facilement que sur des domaines fraîchement enregistrés. C'est vous, l'exploitant, qui en subissez les conséquences : votre réputation en pâtit, Google peut afficher des avertissements et vos véritables contenus perdent en visibilité.
Le spam SEO est le symptôme d'une intrusion, pas un problème de marketing. Après PHP2Shell, les failles CVE-2026-109618 et CVE-2026-109619 dans PHP lui-même, cela compte tout particulièrement : une mise à jour vers une version corrigée de PHP ferme la faille, mais ne supprime aucun code injecté. Si Google affiche déjà un avertissement, le guide Supprimer l'avertissement de Google décrit la marche à suivre pour la vérification. Cet article se concentre sur les pages de spam elles-mêmes.
Reconnaître le spam SEO : ce que montre la Search Console
La Google Search Console propose plusieurs rapports qui rendent le spam SEO visible, même avant qu'un avertissement n'apparaisse :
- Performances : requêtes et pages qui ne correspondent pas à votre offre, souvent dans des langues ou des écritures étrangères.
- Indexation des pages : hausse brutale du nombre de pages indexées ou détectées, sans que votre équipe ait publié de contenu.
- Sitemaps : sitemaps envoyés que personne dans l'équipe ne connaît.
- Utilisateurs et autorisations : propriétaires supplémentaires, par lesquels des attaquants peuvent soumettre des sitemaps.
Notez des exemples d'URL et leur schéma : se trouvent-elles dans un sous-dossier, ont-elles une extension particulière, contiennent-elles des suites de caractères d'apparence aléatoire ? Ce schéma est l'indice le plus important pour savoir où les pages sont générées sur le serveur.
D'où viennent les pages de spam
Les pages de spam peuvent apparaître de trois manières. Le type détermine où vous cherchez et comment vous nettoyez :
| Origine | Traces typiques | Où chercher |
|---|---|---|
| Fichiers statiques | de nombreux fichiers HTML ou PHP dans un nouveau dossier | système de fichiers, par date de modification |
| Entrées de base de données | articles ou produits de spam dans le CMS, souvent non publiés ou masqués | tables de contenu de la base de données |
| Générées dynamiquement | aucun fichier, les URL n'existent qu'au moment de l'appel | règles de réécriture, fichiers d'entrée, code inclus |
La troisième variante est la plus difficile à trouver. Un petit morceau de code dans un fichier d'entrée ou dans un .htaccess intercepte les requêtes qui suivent un certain schéma et génère la page de spam à partir d'un modèle ou la télécharge depuis un serveur étranger. Souvent, seuls les moteurs de recherche voient le contenu de spam, tandis que les visiteurs normaux reçoivent une page d'erreur ou la page d'accueil.
Une requête en lecture seule permet de vérifier ce que le serveur renvoie réellement. Indiquez une URL de spam provenant de la Search Console :
# Réponse pour un navigateur normal
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"
# Réponse pour une requête avec l'identifiant Googlebot
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
Si les codes d'état diffèrent, le serveur exploite l'identifiant de l'appelant. Les vraies vérifications de Google peuvent en outre dépendre de l'adresse de l'appelant ; l'inspection d'URL dans la Search Console montre donc de façon plus fiable ce que voit Google. Si le contenu de spam se trouve dans la base de données, l'article Vérifier la base de données à la recherche de code injecté vous aidera.
Nettoyer l'index durablement
Le nettoyage du serveur passe en premier. Ce n'est qu'une fois le code générateur supprimé et la porte d'entrée fermée que le travail sur l'index vaut la peine. L'aide de Google indique pour cela des voies claires :
- Répondre aux URL de spam par 404 ou 410 : les pages doivent réellement avoir disparu. Vérifiez par sondage, avec les commandes ci-dessus, qu'aucune variante ne renvoie encore de contenu.
- Ne pas rediriger vers la page d'accueil : une redirection globale laisse les URL exister et brouille le nettoyage.
- Ne pas bloquer avec robots.txt : selon l'aide de Google, ce n'est pas une voie adaptée à la suppression, car Google ne peut alors plus consulter les pages supprimées.
- Supprimer les sitemaps et propriétaires étrangers : supprimez les sitemaps de spam envoyés dans la Search Console et retirez les propriétaires inconnus.
- Masquer temporairement si nécessaire : la suppression temporaire masque les URL particulièrement nuisibles pendant environ six mois, selon l'aide de Google. Elle ne remplace pas la solution durable.
Pensez aussi aux autres moteurs de recherche. Les pages de spam étaient accessibles à tous les robots d'exploration, pas seulement à Google. La bonne réponse durable, 404 ou 410, agit là aussi. Si vous utilisez les outils pour webmasters d'autres moteurs de recherche, contrôlez-y aussi les sitemaps et les personnes autorisées. Conservez en outre la liste des URL de spam connues dans la documentation de l'incident.
Si de nouvelles URL de spam apparaissent après le nettoyage, une porte dérobée a été oubliée. Ne supprimez alors pas seulement les nouvelles pages, mais reprenez la recherche sur le serveur.
Éviter le retour
Le spam SEO revient souvent parce que seules les pages visibles ont été supprimées. Surveillez la Search Console dans les semaines qui suivent le nettoyage et faites envoyer les notifications par e-mail à une adresse lue régulièrement. Une surveillance des fichiers qui signale les nouveaux fichiers PHP et les modifications de .htaccess complète cela côté serveur. Si les visiteurs sont redirigés vers des offres étrangères au lieu de voir des pages de spam, l'article Le site redirige vers des pages étrangères vous aidera.
Comment PHP SOS aide-t-il concrètement ?
- Nous déterminons, à partir des données de la Search Console et des réponses du serveur, comment les pages de spam sont générées.
- Nous supprimons le code générateur, les contenus de spam et les portes dérobées dans le cadre de la suppression de logiciels malveillants et fermons la porte d'entrée.
- Nous vérifions que toutes les URL de spam connues renvoient durablement 404 ou 410, et nous nettoyons les sitemaps et les propriétaires dans la Search Console.
- Nous mettons en place une surveillance qui rend rapidement visibles les nouveaux fichiers et les chiffres d'indexation inhabituels.
Questions fréquentes
Pourquoi des pages étrangères apparaissent-elles sur Google sous mon domaine ?
Le plus souvent, des attaquants ont placé sur le serveur du code qui génère ou diffuse des pages de spam. Ils exploitent la confiance que les moteurs de recherche accordent à votre domaine pour faire remonter leurs propres offres. C'est le signe d'une intrusion, pas d'une erreur de référencement.
Suffit-il de masquer les URL de spam avec l'outil de suppression ?
Non. D'après l'aide de Google, une suppression temporaire ne masque une URL que pendant environ six mois et n'empêche pas l'exploration. Les pages ne disparaissent durablement que lorsque le serveur renvoie 404 ou 410 pour elles.
Dois-je bloquer les URL de spam avec robots.txt ?
Non. L'aide de Google déconseille expressément de bloquer des pages à supprimer avec robots.txt. Google ne peut plus consulter les URL bloquées et ne remarque donc pas qu'elles ont été supprimées.
Combien de temps les pages de spam restent-elles dans l'index après le nettoyage ?
Cela dépend du moment où Google consulte à nouveau les URL. Aucun délai fiable ne peut être donné. L'essentiel est que chaque URL de spam connue renvoie durablement 404 ou 410 et qu'aucune nouvelle n'apparaisse.