Le symptôme est toujours le même et il est déroutant. Vous tapez le nom de votre entreprise dans Google, et les résultats affichent des titres en japonais rattachés à votre domaine. Vous cliquez : la page s'affiche normalement. Vous regardez le contenu de votre site depuis l'administration : rien d'anormal.
Cette contradiction n'est pas un bug de Google. C'est le cœur du mécanisme.
Ce qui se passe réellement
Le code injecté distingue les visiteurs. Quand la demande vient de Googlebot, il sert des pages générées en japonais, bourrées de mots-clés commerciaux et de liens sortants. Quand elle vient d'un navigateur normal, il sert votre vraie page. Cette technique s'appelle le cloaking, et c'est pour cette raison que le propriétaire du site est toujours le dernier informé.
Les pages injectées ne sont généralement pas des fichiers sur le disque. Elles sont générées à la volée, souvent depuis la base de données ou depuis un fichier unique placé loin de la racine. C'est ce qui explique qu'une réinstallation de WordPress ou une restauration de sauvegarde des fichiers ne règle rien : le contenu parasite n'était pas dans les fichiers.
Comment le vérifier en deux minutes
- Recherchez
site:votredomaine.frdans Google. Si des pages japonaises apparaissent, elles sont indexées. - Dans la Search Console, ouvrez le rapport d'indexation et comparez le nombre de pages indexées au nombre de pages que vous avez réellement publiées. Un écart de plusieurs centaines est sans appel.
- Utilisez l'outil d'inspection d'URL sur une des adresses japonaises : vous verrez ce que Google a réellement reçu, qui ne ressemble pas à ce que vous voyez.
Une erreur fréquente : demander la suppression des URL japonaises dans la Search Console avant d'avoir retiré l'injection. La suppression masque les adresses pendant six mois, mais le mécanisme continue d'en produire de nouvelles. On traite la cause, jamais l'affichage.
Ce qu'il ne faut pas faire
- Ne réinstallez pas WordPress par-dessus. Vous écraserez les fichiers du cœur, donc les preuves, sans toucher au contenu injecté qui se trouve ailleurs.
- Ne restaurez pas une sauvegarde à l'aveugle. Si l'injection date de plusieurs mois, votre sauvegarde la contient déjà. C'est le cas le plus courant.
- Ne supprimez pas les comptes administrateur inconnus tout de suite. Notez-les d'abord : leur date de création situe le moment de l'intrusion, et cette date oriente toute la recherche.
Comment j'interviens
Le nettoyage se fait en trois temps, et le premier est le plus important.
1. Dater l'intrusion, sans se fier aux apparences
Les kits actuels embarquent une fonction de falsification d'horodatage : ils réécrivent la date de modification des fichiers qu'ils déposent. Toute chronologie fondée sur cette date est donc une chronologie écrite par l'attaquant. J'utilise la date de changement d'inode, que rien ne réécrit, et je compare les deux. L'écart entre les deux est le meilleur détecteur qui existe : sur une intervention récente, il a isolé cinq fichiers falsifiés parmi 35 792, sans un seul faux positif, dont le point d'entrée que rien d'autre n'avait signalé.
2. Chercher la persistance avant les symptômes
Retirer les pages japonaises sans trouver la porte d'entrée garantit leur retour sous quinze jours. Je cherche donc d'abord ce qui permet à l'attaquant de revenir : extensions au nom aléatoire, fichiers chargés automatiquement hors du dossier des extensions, tâches planifiées, comptes masqués, et modifications discrètes dans une extension figée depuis des années.
3. Nettoyer la base, pas seulement les fichiers
C'est là que se trouve le contenu injecté dans la majorité des cas. Le nettoyage se fait en SQL, avec une sauvegarde préalable complète, puis une purge de tous les caches. Un site peut continuer à servir l'ancien contenu pendant des heures si le cache objet n'est pas vidé, ce qui donne l'impression que le nettoyage a échoué alors qu'il a réussi.
Et le référencement ?
Dans la grande majorité des cas, il revient. Google traite ces pages comme du contenu de mauvaise qualité, pas comme une faute de votre part, et il n'y a le plus souvent aucune action manuelle sur le compte. Une fois le site propre, je demande la réindexation des pages légitimes et je vérifie l'historique complet des messages de la Search Console pour m'assurer qu'aucune sanction ne dort dans un coin. Agir vite limite les dégâts : plus les pages parasites restent indexées, plus la reconstruction est longue.