Guide · Mis à jour le
Site piraté japonais : comprendre le piratage SEO et le japanese keyword hack
Si vous cherchez à savoir pourquoi votre site affiche des mots-clés en japonais que vous n'avez jamais écrits, ou pourquoi Google Search Console vous parle d'un problème de sécurité, vous êtes probablement face à un piratage SEO. C'est une attaque très répandue, discrète, et souvent découverte des mois après son démarrage. Voici comment elle fonctionne, comment la détecter, et ce qu'il faut faire.
Le premier signe n'est presque jamais visible à l'œil
La plupart des dirigeants découvrent ce piratage par un message de Google, pas en visitant leur propre site. Search Console affiche un avertissement « Ce site peut être piraté », le trafic organique chute sans raison apparente, ou un client signale avoir atterri sur une page étrange en cherchant votre marque. En visitant le site normalement, tout semble pourtant intact. Ce décalage entre ce que voit l'éditeur du site et ce que voit Google n'est pas un hasard : c'est le principe même de l'attaque.
Comment un site se retrouve piraté pour du spam SEO
L'attaquant n'a généralement pas besoin de défigurer votre page d'accueil pour être rentable. Il lui suffit d'un point d'entrée : un plugin ou une extension obsolète, un mot de passe d'administration faible ou réutilisé, un thème téléchargé sur un site non officiel, ou un serveur mal isolé chez un hébergeur mutualisé. Une fois entré, il ne cherche pas à se faire remarquer. Il dépose discrètement des centaines, parfois des milliers de nouvelles pages sur votre nom de domaine, à des adresses que vous ne visitez jamais (par exemple un sous-dossier généré aléatoirement). Ces pages vendent des produits de contrefaçon, des médicaments non autorisés, ou renvoient vers des boutiques frauduleuses.
Le mécanisme du « japanese keyword hack »
Le nom vient d'une observation simple : l'immense majorité de ces campagnes utilisent des mots-clés et un contenu rédigé en japonais, une langue peu concurrentielle sur Google et donc facile à faire remonter rapidement dans les résultats de recherche, même depuis un domaine qui n'a jamais publié un mot de japonais. L'attaquant choisit délibérément un site francophone, allemand ou anglophone établi, avec de l'ancienneté et des liens entrants, car ce sont justement ces signaux de confiance que Google utilise pour classer une page. Il emprunte donc la réputation de votre domaine pour faire remonter ses propres pages de vente, le temps qu'il faut avant d'être repéré. Le même schéma existe avec des mots-clés chinois ou russes ; c'est la même mécanique, seule la langue change.
Pour que Google découvre ces pages, l'attaquant les relie généralement entre elles par un maillage de liens internes, et les fait parfois connaître par des liens externes depuis d'autres sites déjà compromis. Googlebot explore votre domaine comme d'habitude, tombe sur ces nouvelles pages, les indexe, et commence à leur faire gagner en visibilité, exactement comme n'importe quelle page légitime de votre site.
Pourquoi vous ne voyez rien : le cloaking
Si un visiteur ordinaire tombait sur ces pages, il les signalerait vite, ou repartirait immédiatement, ce qui ferait chuter leur classement. Pour éviter cela, l'attaquant met en place du « cloaking » : le serveur détecte qui fait la requête et sert un contenu différent selon le visiteur. À Googlebot et aux autres robots d'indexation, il sert la page de spam en japonais. À un visiteur humain qui clique sur ce même lien depuis les résultats de recherche, il sert autre chose : parfois une redirection immédiate vers un site marchand basé en Chine, parfois une simple page d'erreur, parfois votre page d'accueil habituelle. C'est exactement ce qui explique la question fréquente « mon site redirige vers un site chinois » : ce n'est presque jamais votre page d'accueil qui redirige, mais une page annexe piégée, invisible tant que vous n'y accédez pas volontairement ou depuis un lien Google.
Ce cloaking explique aussi pourquoi visiter son propre site, même attentivement, ne suffit pas à détecter le problème : en tant que propriétaire, vous naviguez comme un visiteur normal, et c'est précisément le profil à qui l'attaquant ne montre rien d'anormal.
Google dit que mon site est piraté : que faire en premier
Si Search Console affiche l'avertissement de sécurité, ou si une recherche sur votre marque affiche la mention « Ce site peut être piraté » sous votre résultat, ne partez pas du principe que le problème se limite à une seule page. Commencez par lister les URL concernées dans le rapport « Problèmes de sécurité » de Search Console : elles indiquent où l'attaquant a déposé du contenu. Changez ensuite tous les mots de passe d'administration (site, hébergeur, base de données, FTP), mettez à jour le CMS et toutes les extensions installées, et supprimez celles que vous n'utilisez plus. Cherchez les fichiers et comptes administrateurs que vous ne reconnaissez pas. Une fois le site nettoyé et le point d'entrée fermé, demandez un nouvel examen depuis Search Console : l'avertissement n'est retiré qu'après validation manuelle par Google, ce qui prend en général plusieurs jours.
Un délai de détection qui se compte en mois
Ce type de piratage est conçu pour durer. Les pages injectées sont souvent placées dans des dossiers que personne ne consulte, le contenu visible du site n'est pas modifié, et le cloaking masque tout aux visiteurs humains, y compris à l'équipe qui gère le site. Il n'est pas rare que l'attaque tourne plusieurs mois avant d'être repérée, généralement au moment où Google la détecte de son côté et sanctionne le domaine : déclassement des pages légitimes, puis avertissement de sécurité affiché publiquement dans les résultats de recherche. Le coût n'est donc pas seulement technique : c'est une perte de trafic organique et de confiance, construite pendant des années, qui peut s'effondrer en quelques semaines.
Se protéger après le nettoyage
Une fois le site assaini, l'essentiel est d'empêcher que le même point d'entrée serve une seconde fois. Maintenez le CMS, le thème et les extensions à jour, limitez le nombre de comptes administrateurs et utilisez des mots de passe uniques, et surveillez l'apparition de nouvelles pages ou de nouveaux fichiers sur le serveur. Une détection précoce fait toute la différence : plus l'attaque est repérée tôt, moins elle a le temps d'être indexée et de nuire à votre référencement.
Ce que vérifie cet outil, et ses limites
Cet outil analyse la page d'accueil de votre domaine et recherche deux signaux : la présence de texte dans une écriture inattendue (japonais, chinois, russe, arabe, entre autres), et une différence de contenu entre ce qui est servi à un robot d'indexation et à un visiteur ordinaire, signe d'un cloaking. C'est une vérification rapide, fondée sur des signatures connues, et elle porte uniquement sur la page d'accueil : un piratage de ce type place le plus souvent son contenu ailleurs sur le domaine, dans des pages que cet outil ne consulte pas. Un résultat sans constat ne prouve donc pas l'absence de piratage ; il indique seulement qu'aucun signe connu n'a été trouvé sur cette page, à cet instant. La surveillance quotidienne de l'ensemble des pages du site, proposée dans nos abonnements, est conçue pour couvrir ce que cette vérification ponctuelle ne peut pas voir.