Spam japonais dans Google : votre site est piraté

En général, ça commence comme ça. Un client vous écrit : « Je vous ai cherché sur Google, et sous votre adresse, il y a des caractères japonais et des montres à prix cassés. » Vous ouvrez votre site, tout est normal. Le menu est là, les photos aussi, pas un seul caractère japonais.

Ce n’est pas un bug de Google. C’est un type de piratage bien connu, que Google appelle, dans sa documentation, le piratage par mots clés japonais (japanese keyword hack). Le pirate crée sur votre domaine des milliers de pages en japonais avec des liens vers des boutiques de contrefaçons, et il vous les cache. Votre domaine sert de panneau publicitaire à quelqu’un d’autre, et Google, lui, voit un site envahi de pages poubelles.

J’ai présenté les signes généraux d’un piratage dans l’article Site WordPress piraté : les signes à surveiller. Ici, un guide pratique pour repérer le spam japonais sur votre site : comment le voir, quoi vérifier dans la Search Console et ce que vous pouvez faire vous-même sans rien casser. En bref : vérifier site: et la Search Console, garder des preuves, changer les mots de passe, et confier le nettoyage des fichiers à un spécialiste.

Pourquoi vous ne voyez pas le spam japonais sur votre site

La particularité de ce piratage s’appelle le cloaking : le site montre des choses différentes selon le visiteur. Le code malveillant regarde qui arrive. Si c’est le robot de Google, il reçoit une page en japonais. Si c’est une personne qui a tapé l’adresse à la main, elle voit le site habituel ou une page « introuvable ». Parfois, le spam ne s’affiche que pour les visiteurs venus des résultats de Google.

Voilà pourquoi « chez moi, tout s’affiche normalement » ne prouve rien. Il faut regarder avec les yeux de Google.

Étape 1. La recherche site: dans Google

Tapez dans la barre de recherche de Google site:votredomaine.fr (sans espace après les deux-points, sans www ni https). Google affiche les pages de votre domaine qu’il a dans son index. L’index, c’est la base de pages à partir de laquelle Google construit ses résultats.

Ce qu’il faut regarder :

• Le nombre de résultats. Si votre site compte 15 pages et que Google en affiche des centaines ou des milliers, c’est un signal d’alerte.
• La langue des titres. Des idéogrammes japonais, des noms de marques de montres, de sacs, de baskets.
• Des adresses bizarres. De longues adresses faites de lettres et de chiffres au hasard, des répertoires que vous n’avez jamais créés.

Faites défiler plusieurs pages de résultats, pas seulement la première : les pages normales sont souvent placées plus haut. Pour en avoir le cœur net, copiez un mot japonais dans le titre d’une page suspecte et ajoutez-le à la requête, après un espace : site:votredomaine.fr mot. Vous pouvez aussi refaire la recherche dans Bing, qui a son propre index.

Étape 2. La Search Console : quatre endroits

La Google Search Console est l’espace gratuit que Google met à disposition du propriétaire d’un site. Si ce n’est pas encore fait, configurez-la maintenant : pas besoin de développeur, il suffit d’ajouter un enregistrement DNS chez le registrar (là où vous avez acheté votre nom de domaine), ou de l’extension Google Site Kit si votre site tourne sous WordPress. Sans elle, impossible de savoir ce que Google voit vraiment de votre site. Les libellés du menu changent de temps en temps : fiez-vous au sens plutôt qu’au mot exact.

Problèmes de sécurité

Dans le menu de gauche, ouvrez le rapport « Problèmes de sécurité ». Si Google a déjà repéré le piratage, vous y trouverez une entrée « Contenu piraté », le plus souvent de type « Piratage : injection d’URL » (le pirate a créé de nouvelles pages) ou « Piratage : injection de contenu », avec des exemples d’adresses.

Inspection de l’URL

Collez l’une des adresses japonaises trouvées dans les résultats dans la barre de recherche en haut de la Search Console, cliquez sur « Tester l’URL active », puis sur « Afficher la page testée » : vous y trouverez le code de la page (HTML) et une capture d’écran. Vous voyez exactement ce que reçoit Google. Si c’est du texte japonais alors que votre navigateur affiche « introuvable », c’est du cloaking.

Utilisateurs et propriétaires

Paramètres, puis « Utilisateurs et autorisations ». Un propriétaire inconnu, surtout s’il est validé, signifie que le pirate s’est ajouté à votre compte pour modifier les réglages, par exemple pour soumettre ses propres sitemaps. Google indique que dans ce cas, le site a très probablement été piraté.

Sitemaps

Le sitemap (plan du site) est la liste d’adresses que le site transmet à Google. Vérifiez qu’il n’y a pas de sitemaps que vous n’avez pas ajoutés, et que le nombre de « Pages découvertes » n’a pas bondi d’un coup.

Jetez aussi un œil au rapport sur l’indexation des pages : une forte hausse du nombre de pages indexées en quelques jours permet de dater le début de l’attaque. Cette date sera utile à la personne qui nettoiera le site.

Ce que vous pouvez faire vous-même

Ces actions sont sans risque, ne demandent pas de toucher aux fichiers et ne gênent pas le nettoyage qui suivra. Au contraire, elles le facilitent.

1. Gardez des preuves : captures d’écran des résultats site:, du rapport sur les problèmes de sécurité, de la liste des utilisateurs de la Search Console, des e-mails de votre hébergeur. Notez la date à laquelle vous avez remarqué le problème.
2. Faites une sauvegarde complète du site, fichiers et base de données, même infectée. Sans elle, toute erreur pendant le nettoyage est irréversible. Pour vérifier qu’une sauvegarde existe vraiment, lisez Vérifier qu’un web-master a fait une sauvegarde.
3. Supprimez les propriétaires et utilisateurs inconnus dans la Search Console. Si un propriétaire a été validé par un fichier ou une balise sur le site, il peut revenir tant que sa méthode de validation n’est pas supprimée : notez-le pour le spécialiste.
4. Changez les mots de passe : administrateurs WordPress, hébergement, FTP ou SFTP (l’accès aux fichiers du site chez l’hébergeur), messagerie liée au site. Un mot de passe différent et long pour chaque accès. Si votre hébergeur ou WordPress propose la double authentification, activez-la.
5. Vérifiez les utilisateurs dans WordPress lui-même : un administrateur inconnu, ou un nom connu avec une adresse e-mail qui n’est pas la bonne.

Ce qu’il ne faut pas faire

Commencer par retirer les pages des résultats

La Search Console propose un outil de suppression d’URL (dans le menu, il s’appelle « Suppressions »). Il masque une adresse pendant environ six mois et ne traite pas la cause : tant que le code qui crée les pages reste sur le serveur, de nouvelles pages apparaîtront. Google recommande de l’utiliser, mais après le nettoyage, pour retirer plus vite des résultats les adresses créées par le pirate.

Compter uniquement sur une extension de sécurité

Un scanner peut trouver une partie des fichiers, mais le spam japonais se loge souvent à plusieurs endroits à la fois : dans les fichiers, dans la base de données, dans la configuration du serveur, parfois dans le .htaccess, le fichier de règles qui gère les adresses et les redirections.

Demander un examen trop tôt

Google précise que la demande n’a de sens que lorsque tout est corrigé, sur toutes les pages, et demande de ne pas en envoyer une nouvelle avant d’avoir reçu la réponse à la précédente. L’examen prend de quelques jours à quelques semaines, et une demande précipitée ne fait que retarder les choses.

Où s’arrêter

Tout ce qui précède, le propriétaire peut le faire seul en une soirée. Ensuite commence le travail sur les fichiers et la base de données du serveur, et c’est là qu’il vaut mieux s’arrêter.

Il faut trouver par où le pirate est entré (le plus souvent une extension ou un thème pas à jour, un mot de passe faible ou volé) et fermer cette porte. Il faut réinstaller le cœur de WordPress, le thème et les extensions à partir de copies saines, repérer les fichiers PHP suspects et le code obscurci, contrôler la base de données et le .htaccess, supprimer la méthode de validation du propriétaire inconnu. C’est seulement ensuite qu’on envoie la demande d’examen, en décrivant ce qui a été supprimé et quelle faille a été corrigée.

Il suffit d’oublier une seule porte dérobée pour que le spam revienne au bout de quelques jours, et tout recommence. Donc si « code obscurci » et « réinstaller le cœur à partir de copies saines » ne vous disent rien, c’est normal, et c’est précisément le moment de vous arrêter. Vous pouvez aussi vous tourner vers le dispositif national cybermalveillance.gouv.fr : il aide à comprendre la situation et oriente vers des professionnels près de chez vous. Le service est gratuit, les prestataires vers lesquels il vous oriente facturent leur intervention.

Checklist rapide

• site:votredomaine.fr dans Google : nombre de pages et langue des titres.
• Search Console, « Problèmes de sécurité » : y a-t-il une entrée sur un piratage ?
• Inspection de l’URL sur une adresse japonaise : ce que voit Google.
• « Utilisateurs et autorisations » : pas de propriétaires inconnus ?
• « Sitemaps » : pas de sitemaps étrangers ?
• Captures d’écran, sauvegarde complète du site, nouveaux mots de passe.

Si votre temps est précieux

Le diagnostic de cet article, vous pouvez le faire vous-même, et c’est déjà la moitié du chemin : vous saurez précisément ce qui se passe et pourrez l’expliquer à n’importe quel spécialiste.

Si vous préférez vous occuper de votre activité plutôt que de déchiffrer le code d’un inconnu sur votre serveur, Zen Webmaster prend en charge la partie technique : sauvegarde du site, recherche de la cause, nettoyage des fichiers et de la base de données, correction de la faille et demande d’examen auprès de Google. Le nettoyage d’un site infecté est proposé à partir de 100 € HT. Le périmètre exact est fixé après le diagnostic. Le détail et le déroulement sont sur la page nettoyage de site contre les virus, et pour avoir de quoi restaurer la prochaine fois, consultez sauvegardes et restauration de site.