« Situs slot gacor » dans Google : votre WordPress montre un casino aux robots

« Gacor », « maxwin », « situs », « togel », « daftar » : aucun de ces mots n'a de sens en français. Ce sont les mots des sites de jeux d'argent en ligne indonésiens. Quand ils apparaissent dans les résultats Google d'un site français, ce n'est jamais un hasard. Quelqu'un a pris la main sur le site pour faire monter un casino dans les résultats de recherche, en profitant de l'ancienneté et de la réputation de votre nom de domaine.

Vérifier en 2 minutes

• Dans Google, tapez site:votredomaine.fr et lisez les titres des résultats. Un seul titre avec « gacor », « maxwin », « slot » ou « togel » suffit.
• Affinez avec site:votredomaine.fr gacor ou site:votredomaine.fr slot. Si des pages remontent, notez leur adresse exacte : ce n'est pas toujours la page d'accueil.
• Dans la Search Console, ouvrez « Inspection de l'URL » sur une de ces adresses, puis « Tester l'URL active » et « Afficher la page explorée ». Vous voyez enfin ce que Google reçoit.
• Toujours dans la Search Console, allez dans « Paramètres », puis « Utilisateurs et autorisations ». Un propriétaire que vous ne connaissez pas, souvent une adresse Gmail, est un signe très fort.

Ce que ça fait

Le programme ajouté à votre site regarde qui demande la page. Si le visiteur annonce être Google ou Bing, il lui sert une page de casino. Sinon, il sert votre vraie page. Sur un site que j'ai traité, le programme vérifiait quinze noms de robots Google différents avant de choisir. Les robots recevaient une page de jeux de 309 Ko. Les humains recevaient une copie fidèle de la vraie page de la boutique. Le propriétaire ne pouvait pas le voir en naviguant sur son propre site : par construction, il était dans le mauvais camp.

Sur un autre site, la page servie à Google pesait trois fois le poids de la vraie, avec pour titre « PAYSLOT88 | Register Situs Slot Gacor Resmi 4D », la langue déclarée en indonésien et plusieurs centaines de liens sortants. Le nom en tête du titre change d'une campagne à l'autre : XLSLOT88, PAYSLOT88, KOISLOT, INDOBET, MANDIRIBET. C'est la marque du casino qui achète le référencement, et c'est aussi le meilleur indice pour savoir à quelle famille on a affaire.

Selon les variantes, deux mécanismes coexistent :

• Le titre réécrit en base : le titre de la page est remplacé directement dans la base de données. Tout le monde le voit, visiteurs compris. C'est la version la plus grossière.
• Le masquage selon le visiteur : votre page reste intacte pour les humains, seule la version servie aux robots change. C'est la plus fréquente sur les sites d'entreprises actives, et la plus longue à être découverte.

Pour accélérer l'indexation de leurs pages, les auteurs déposent souvent un faux plan de site : une seule adresse, la racine, déclarée comme mise à jour toutes les heures avec la priorité maximale. Sur un cas, le plan de site pirate avait été généré à la seconde près où un compte inconnu s'ajoutait comme propriétaire dans la Search Console. Le propriétaire illégitime peut ensuite soumettre ce qu'il veut à Google au nom de votre site.

Un effet de bord met souvent sur la piste avant tout le reste : le fichier de configuration du serveur est réécrit, et des pages ordinaires du site tombent en erreur 404. Sur un des cas, c'est la page de connexion du site, introuvable du jour au lendemain, qui a donné l'alerte.

Ces campagnes ne visent pas des sites en particulier. En une matinée de recherche, j'ai repéré 13 sites français suspects : 8 étaient réellement touchés. Parmi les sites repérés figuraient une université, un office de tourisme, une étude notariale, une tonnellerie exportatrice, une association subventionnée, un média régional et une agence web.

Pourquoi le nettoyage habituel échoue

• On ne le voit pas en visiteur. Tester son site dans un navigateur ne prouve rien. La preuve se fait en deux requêtes, l'une en navigateur et l'autre avec l'identité de Googlebot, en comparant les deux réponses. Une seule requête ne peut pas révéler un masquage.
• Le fichier modifié est authentique. Sur un parc touché par XLSLOT88, le masquage tenait dans la première ligne d'un fichier légitime du cœur de WordPress. Aucun nom suspect, aucune signature connue. Seule la comparaison de chaque fichier du cœur avec les empreintes officielles de la version installée l'a fait sortir.
• La porte se date elle-même. L'accès caché laissé par l'attaquant dormait dans un dossier de traductions, avec une date de modification ramenée six mois en arrière pour passer pour un vieux fichier. Un contrôle limité aux fichiers récents passe à côté.
• Les voisins. Sur un hébergement mutualisé, tous les sites d'un même compte partagent les mêmes droits. Sur un compte de 32 sites, l'attaquant est revenu deux heures après le changement de tous les mots de passe. Il est passé par la porte oubliée, puis il a écrit sur un autre site sans laisser une ligne dans les journaux de ce site : le programme tournait chez un voisin.
• Le propriétaire Search Console reste. Nettoyer les fichiers sans retirer le compte ajouté laisse à l'attaquant la main sur votre indexation.

Le schéma est le même que pour une redirection vers un casino, avec une différence de taille : ici, ce sont les robots qui sont visés, pas vos visiteurs. Si rien n'est fait, Google finit souvent par signaler le site comme dangereux.

Que faire

• Garder la preuve d'abord. Une capture des résultats Google et de la page explorée par la Search Console. Une fois le site nettoyé, vous ne pourrez plus montrer à votre hébergeur ou à votre assureur ce qui s'est passé.
• Reprendre la Search Console. Retirer les propriétaires inconnus, supprimer les jetons de validation inutilisés, et contrôler toutes les variantes de propriété, avec et sans « www », en http et en https.
• Inventorier tout le compte d'hébergement, pas seulement le site touché. Les copies oubliées, les sous-domaines et les anciens sites de test sont des portes comme les autres.
• Comparer le cœur aux empreintes officielles, fichier par fichier, puis lire les thèmes, les extensions, les dossiers de traductions et de téléversement, et la base.
• Fermer les sessions en renouvelant les clés secrètes du fichier de configuration, en plus des mots de passe.
• Vérifier à deux identités après le nettoyage, resoumettre le vrai plan de site et demander la réindexation des pages touchées.

Une dernière chose, que je dis aussi quand elle me fait perdre une prestation : si la page touchée appartient à un ancien domaine ou à un sous-domaine que plus personne n'utilise, la bonne réponse n'est pas un nettoyage. C'est de le fermer, ou de le rediriger vers le site actuel. C'est gratuit et c'est définitif.

Le détail de chaque étape est dans la méthode de nettoyage d'un WordPress piraté. Pour me confier le site, le forfait est sur la page intervention sur un WordPress piraté.