# Des pages de spam sont apparues dans mes résultats de recherche

> Vous tapez le nom de votre boutique dans Google et des pages que vous n’avez jamais écrites apparaissent, souvent sur des sujets sans rapport avec votre activité : c’est une technique d’infection précise, qui vise le référencement de votre site plutôt que ses visiteurs directement.

- Source canonique : [https://allaux.fr/securite/pages-de-spam-dans-google](https://allaux.fr/securite/pages-de-spam-dans-google)
- Langue : FR
- Dernière mise à jour : 2026-08-03

## Réponse directe

> Mesurez d’abord l’étendue : une recherche site: sur votre domaine, puis le rapport d’indexation de Google Search Console, qui liste les adresses indexées que vous n’avez jamais créées. Lancez le test en direct de l’outil d’inspection d’URL sur l’une d’elles : il affiche ce que voit le robot, alors que votre navigateur ne voit souvent rien. Supprimer les pages sans traiter l’injection les fait revenir.

## Ce que révèle une recherche « site:votresite.fr »

- Des dizaines, parfois des centaines de pages indexées que vous n’avez jamais créées
- Des titres en anglais, en russe ou en chinois alors que votre boutique est en français
- Des thématiques récurrentes : pharmacie en ligne, casino, paris sportifs, contrefaçon de produits de marque
- Les liens s’ouvrent normalement quand Google les affiche, mais renvoient une erreur ou un contenu différent en cliquant depuis un autre contexte
- Une chute soudaine du trafic organique légitime, Google ayant commencé à déclasser le domaine entier
- Search Console signale une action manuelle ou un pic d’erreurs d’exploration sur des URL inconnues

## Le mécanisme du spam SEO

Cette technique porte un nom précis : le spam SEO, ou « SEO spam injection ». Elle ne cherche pas à tromper vos visiteurs directement, mais à exploiter la notoriété et l’ancienneté de votre nom de domaine auprès de Google. Un domaine actif depuis plusieurs années, déjà indexé et considéré comme fiable par le moteur de recherche, est une ressource précieuse pour faire apparaître rapidement du contenu dans les résultats, plutôt que de partir d’un domaine neuf sans historique.

Concrètement, un attaquant qui a obtenu un accès (via une extension ou un thème obsolète, le plus souvent) génère automatiquement des centaines de pages de contenu, chacune ciblant des mots-clés à forte valeur commerciale : médicaments en vente libre, casinos en ligne, répliques de produits de luxe. Ces pages sont parfois invisibles pour un visiteur normal et ne s’affichent qu’aux robots d’indexation ou aux visiteurs venant spécifiquement de Google, ce qui explique qu’un marchand qui navigue sur son propre site ne remarque souvent rien d’anormal.

Le vecteur d’entrée le plus courant reste une extension ou un thème que personne ne met plus à jour. Selon le rapport 2023 de Sucuri sur les sites piratés (Hacked Website & Malware Threat Report), 39,1 % des applications CMS compromises étaient obsolètes au moment de l’infection, et 13,97 % des sites compromis présentaient au moins une extension ou un thème vulnérable au moment de la remédiation. C’est cohérent avec ce qu’on observe sur le spam SEO : une extension abandonnée depuis longtemps, installée pour une fonctionnalité mineure, reste accessible en ligne alors que plus personne ne la surveille.

## Pourquoi vous ne le voyez pas en naviguant normalement

> Beaucoup d’injections de spam SEO n’affichent le contenu injecté qu’aux robots d’indexation (via le User-Agent) ou aux visiteurs qui arrivent directement depuis un résultat Google. Un marchand qui teste son site en tapant l’adresse directement ne verra souvent rien.

## Comment confirmer l’ampleur du problème

1. **Lancer une recherche « site:votredomaine »** — Cette commande dans Google liste toutes les pages indexées sous votre domaine. C’est le moyen le plus rapide de mesurer combien de pages injectées existent réellement.
2. **Consulter le rapport de couverture dans Search Console** — Le nombre d’URL soumises au sitemap et le nombre d’URL réellement indexées doivent correspondre à peu près à votre catalogue et vos pages de contenu, pas à plusieurs centaines d’URL inconnues.
3. **Comparer les extensions et le thème actif à leur dernière version officielle** — Une extension WooCommerce ou un thème WordPress qui n’a pas reçu de mise à jour depuis longtemps, même s’il semble fonctionner normalement, est le suspect le plus probable.
4. **Vérifier les fichiers récemment modifiés sur le serveur** — Les pages de spam s’appuient en général sur un ou plusieurs fichiers PHP injectés qui génèrent le contenu à la volée, souvent dans un dossier de thème ou d’extension plutôt que dans le cœur de WordPress.

## Pour aller plus loin

- **Les modules et extensions abandonnés** — Pourquoi c’est le premier vecteur réel de compromission sur WordPress. ([/securite/modules-et-extensions-abandonnes](/securite/modules-et-extensions-abandonnes))
- **Nettoyer un site infecté** — La méthode complète, et pourquoi restaurer une sauvegarde ne suffit pas. ([/securite/nettoyer-un-site-infecte](/securite/nettoyer-un-site-infecte))
- **Site WordPress piraté** — La page de référence pour un piratage WordPress déjà identifié. ([/wordpress-woocommerce/site-pirate](/wordpress-woocommerce/site-pirate))

## FAQ

### Pourquoi Google indexe-t-il du contenu que je n’ai jamais publié ?

Parce que les pages injectées existent réellement sur votre serveur, générées par un fichier malveillant. Google les explore et les indexe comme n’importe quelle page normale de votre site.

### Ce type de spam est-il dangereux pour mes clients ?

Le risque direct pour vos clients est en général plus faible qu’avec un skimmer de paiement, mais le préjudice pour votre référencement et votre image peut être important si le domaine est déclassé ou signalé.

### Supprimer les pages une par une dans Google suffit-il ?

Non. Tant que le fichier qui génère ces pages reste actif sur le serveur, de nouvelles pages réapparaissent en quelques jours, souvent plus nombreuses qu’avant.

### Combien de temps Google met-il à retirer ces pages une fois le site nettoyé ?

Cela dépend du nombre de pages concernées et de la fréquence d’exploration de votre site par Google. Une demande de réévaluation dans Search Console accélère généralement le processus une fois la faille fermée.

### Comment savoir quelle extension a servi de point d’entrée ?

En croisant la date d’apparition estimée des premières pages de spam avec l’historique des extensions installées et leur dernière mise à jour officielle. C’est un travail d’investigation que je fais systématiquement avant de nettoyer.