Découvrir dans sa Google Search Console que son site héberge soudainement 4,2 millions de pages indexées alors qu’il n’en compte que quelques dizaines est le cauchemar classique de tout dirigeant ou gestionnaire de site web.

Ce phénomène porte un nom bien connu dans le monde de la sécurité web : le **SEO Spam** (souvent décliné sous forme de *Japanese Keyword Hack* ou de spam pharmaceutique). 

Voici un retour d’expérience concret, sans jargon inutile, sur la manière dont cette attaque fonctionne, ses conséquences sur votre visibilité, et surtout la méthode technique exacte pour assainir la situation sans pénaliser votre entreprise.

1. Le mécanisme de l’attaque : transformer votre domaine en ferme de liens

Le piratage ne vise généralement pas à détruire votre site. Les pirates préfèrent agir discrètement :

1. **L’intrusion :** Une faille de sécurité (extension non mise à jour, mot de passe faible, injection SQL) permet à un script malveillant de s’installer sur le serveur.

2. **La génération dynamique :** Le pirate ne crée pas physiquement 4 millions de fichiers sur votre disque. Il configure le serveur pour qu’il réponde positivement à des millions d’URL virtuelles (ex. `/product/86111920379.htm`, `/shop/pg/…`).

3. **L’exploration par Google :** Des réseaux externes pointent vers ces fausses adresses. Les robots de Google découvrent ces liens, commencent à les explorer en masse et les indexent dans les résultats de recherche.

Résultat : votre nom de domaine, qui jouissait d’une bonne réputation locale, sert subitement de vitrine à des contrefaçons ou des produits illicites.

2. Le vrai danger : le gaspillage du « Crawl Budget »

Une fois le malware supprimé et les fichiers nettoyés, le combat n’est pas terminé : il se déplace sur le plan du référencement naturel.

Google alloue à chaque site un quota de ressources d’exploration, appelé le **budget de crawl**. Si le robot passe ses journées à visiter 4 millions d’adresses fantômes, il cesse d’explorer vos véritables pages de services, vos actualités ou vos fiches produits. Votre référencement naturel légitime s’effondre.

3. La solution technique : pourquoi le code 410 surpasse l’erreur 404

Face à ce constat dans la Google Search Console, beaucoup commettent deux erreurs classiques :

* **Bloquer les URL dans le fichier robots.txt :** Erreur critique. En bloquant l’accès, Googlebot ne peut plus voir ce qui se passe et conserve indéfiniment les adresses fantômes dans sa mémoire tampon.

* **Laisser le CMS gérer des pages 404 classiques :** Chaque visite sur une fausse page déclenche le moteur PHP et la base de données pour afficher un design « Page introuvable ». Avec des centaines de requêtes par minute, votre hébergement ralentit ou tombe en panne.

 L’approche serveur avec le statut HTTP 410 (« Gone »)

Pour régler le problème définitivement :

1. **Renvoyer du 410 plutôt que du 404 :** Le code HTTP `404 Not Found` laisse supposer que la page a disparu temporairement. Le code HTTP `410 Gone` indique explicitement à Google : *« cette ressource a été supprimée de manière définitive et volontaire, ne reviens plus »*.

2. **Couper la requête directement au niveau du serveur web (Apache ou Nginx) :** En configurant directement la règle dans le serveur, la requête est rejetée en une fraction de milliseconde, sans réveiller WordPress ou surcharger le processeur.

 Exemple de règle serveur Apache (.htaccess) :

<IfModule mod_rewrite.c>
RewriteEngine On

# Coupe net les faux répertoires du malware
RewriteRule ^product/ – [G,L]
RewriteRule ^shop/ – [G,L]

# Coupe les fausses requêtes terminant par .htm
RewriteCond %{REQUEST_URI} \.htm$ [NC]
RewriteRule ^ – [G,L]
</IfModule>

4. Combien de temps prend le nettoyage complet ?

Même si le statut HTTP 410 accélère drastiquement la prise en compte, vider un index de plus de 4 millions d’URL demande de la patience. Googlebot espace progressivement ses passages sur les motifs repérés. En règle générale :
* La suppression effective de l’index de recherche prend de **2 à 4 semaines**.
* Le vidage complet du rapport « Explorée, actuellement non indexée » dans la Search Console s’étale sur **3 à 6 mois**.

L’essentiel est de vérifier que vos pages légitimes figurent dans un fichier `sitemap.xml` propre et à jour.

Vous suspectez une infection sur votre site ?

La sécurité d’un site web ne s’arrête pas à l’installation d’une extension d’antivirus. Elle exige une gestion rigoureuse des mises à jour, de l’environnement serveur et de la surveillance Search Console.

Basé à La Ciotat, j’accompagne les entreprises locales dans la maintenance, la sécurisation et la remise en état de leur infrastructure numérique. Discutons-en simplement, sans engagement.