Pages japonaises dans Google : nettoyer le Japanese keyword hack

Des milliers de pages en japonais qui vantent des sacs ou des montres sous votre nom de domaine : c'est le Japanese keyword hack, un piratage conçu pour exploiter votre réputation auprès de Google. Vous ne voyez rien en visitant votre site, mais Google, lui, indexe tout. Voici comment reconnaître cette infection, la supprimer à la racine et faire disparaître les pages parasites des résultats de recherche.

Comprendre le Japanese keyword hack

Ce piratage relève du « SEO spam » : le pirate ne cherche pas vos données, il veut profiter de l'ancienneté et de la confiance que Google accorde à votre domaine. Il y crée automatiquement des pages remplies de mots-clés japonais, liées à des boutiques de contrefaçons ou à des sites douteux. Votre domaine sert de tremplin pour leur référencement.

Les sites les plus exposés sont ceux qui ont un historique, quelques liens entrants et une maintenance irrégulière : sites vitrines d'artisans, anciens blogs, sites d'associations. La porte d'entrée est classique, le plus souvent une extension vulnérable ou un accès FTP compromis.

L'erreur fréquente consiste à chercher les pages dans WordPress. Elles n'y sont pas : aucun article, aucune page n'apparaît dans l'administration. Elles sont fabriquées à la volée par un script PHP indépendant, et souvent servies uniquement aux robots de Google grâce au cloaking, une technique qui montre un contenu différent selon le visiteur.

Les signes de l'infection

• Une recherche site:votre-domaine.fr dans Google affiche des titres en caractères japonais que vous n'avez jamais écrits.
• Search Console signale un pic de pages indexées ou de nouvelles URL inconnues dans le rapport « Pages ».
• Des sitemaps que vous n'avez pas soumis apparaissent dans la rubrique Sitemaps.
• Un propriétaire inconnu figure dans Paramètres, puis Utilisateurs et autorisations.
• Des fichiers aux noms aléatoires apparaissent à la racine du site ou dans un sous-dossier, souvent accompagnés d'un .htaccess modifié.
• Vos positions sur vos vrais mots-clés baissent sans raison apparente, parfois avec la mention « Ce site a peut-être été piraté » sous votre résultat.

Cas concrets

Un menuisier et ses 4 000 pages fantômes

Un artisan menuisier tape le nom de son entreprise dans Google et découvre, sous son site, des résultats en japonais. La commande site: révèle des milliers de pages. Dans le dossier racine, un fichier PHP aux allures de fichier système générait chaque page à partir de la structure de l'URL. Son extension de galerie photo n'avait pas été mise à jour depuis deux ans.

Une agence qui découvre un propriétaire en trop

Une agence web gère une vingtaine de sites clients. En auditant Search Console pour l'un d'eux, elle trouve un second propriétaire validé, ajouté par le pirate grâce à un fichier de validation Google déposé à la racine. Ce compte soumettait chaque semaine de nouveaux sitemaps pour accélérer l'indexation du spam.

Une boutique WooCommerce aux résultats détournés

Une boutique de thé en ligne voit ses visiteurs mobiles venus de Google arriver sur un site de contrefaçon. Les pages japonaises redirigeaient les humains et montraient le contenu spam aux robots. Le code était appelé depuis le fichier header.php du thème, ce qui le chargeait sur toutes les pages.

Un cabinet de kinésithérapie et son nettoyage incomplet

Une kinésithérapeute fait supprimer le dossier pirate par un proche. Trois semaines plus tard, les pages japonaises sont de retour dans Google. Le script principal avait bien disparu, mais une petite porte dérobée cachée dans le dossier wp-content/uploads permettait au pirate de le redéposer à volonté. Personne n'avait non plus changé le mot de passe FTP, partagé des années plus tôt avec un ancien prestataire.

Méthode pas à pas pour nettoyer le site et Google

1. Reprendre le contrôle de Search Console : dans Paramètres, puis Utilisateurs et autorisations, supprimez tout propriétaire ou utilisateur inconnu. Retirez du site le fichier google suivi d'une suite de caractères en .html qui lui servait de validation, ou la balise meta correspondante, sinon le compte pourra se revalider. Supprimez aussi les sitemaps que vous n'avez pas soumis.

2. Voir ce que voit Google : dans Search Console, utilisez l'inspection d'URL sur une des pages japonaises, puis « Tester l'URL en ligne ». Le code HTML affiché est celui que reçoit Googlebot. Un simple changement de user-agent avec curl ne suffit pas toujours, car certains scripts vérifient aussi l'adresse IP des robots.

3. Sauvegarder puis identifier les fichiers pirates : copiez le site et la base hors du serveur. Cherchez ensuite les fichiers PHP récents, à la racine et dans wp-content. La commande suivante liste ceux modifiés depuis 30 jours ; comparez les noms à ceux d'une installation WordPress neuve.

   find . -name "*.php" -mtime -30 -printf "%TY-%Tm-%Td %p\n" | sort
   

4. Contrôler le .htaccess et le thème : le spam japonais s'appuie souvent sur une règle de réécriture qui envoie toutes les URL inconnues vers le script pirate. Restaurez un .htaccess WordPress standard. Comparez ensuite header.php, footer.php et functions.php du thème avec une copie neuve.

5. Vérifier le cœur et supprimer le code : lancez wp core verify-checksums pour repérer les fichiers du cœur modifiés ou ajoutés, puis réinstallez le cœur avec wp core download --force --skip-content. Supprimez les fichiers pirates identifiés, puis contrôlez que les URL japonaises renvoient bien une erreur 404 ou 410.

6. Fermer la faille : mettez tout à jour, supprimez les extensions abandonnées, changez les mots de passe WordPress, FTP, base de données et hébergeur, et régénérez les clés de wp-config.php. Sans cette étape, le script sera redéposé.

7. Accélérer la désindexation : soumettez de nouveau votre vrai sitemap. Pour masquer rapidement les URL spam, utilisez l'outil Suppressions de Search Console avec le préfixe commun des pages, sans jamais saisir la racine du site. Cette suppression est temporaire : elle dure le temps que Google constate les erreurs 404.

8. Demander un examen si nécessaire : si la rubrique « Problèmes de sécurité » signale du spam, cliquez sur « Demander un examen » et décrivez précisément le nettoyage effectué et la faille corrigée.

Bonnes pratiques

• Faites une recherche site: sur votre domaine une fois par mois, c'est gratuit et révélateur.
• Activez les alertes email de Search Console et vérifiez régulièrement la liste des propriétaires.
• Ne laissez pas d'extensions désactivées ou abandonnées par leur éditeur.
• Gardez une copie de référence propre de votre thème pour pouvoir comparer ses fichiers.
• Surveillez les fichiers ajoutés à la racine du site : WordPress n'en crée presque jamais.

Erreurs fréquentes à éviter

• Chercher les pages spam dans l'administration WordPress, où elles n'existent pas.
• Demander la suppression des URL dans Google avant d'avoir supprimé les fichiers : les pages reviennent dès la fin de la période de masquage.
• Oublier le propriétaire pirate dans Search Console, qui continuera à soumettre des sitemaps.
• Rediriger toutes les pages japonaises vers l'accueil : une erreur 404 ou 410 est plus claire pour Google.

Comment V-Shield vous aide

L'agent V-Shield scanne automatiquement les fichiers de votre WordPress et signale les scripts PHP ajoutés ou modifiés, y compris à la racine du site, là où se cachent les générateurs de pages japonaises. Les fichiers suspects peuvent être nettoyés ou placés en quarantaine réversible, et l'analyse ClamAV et YARA côté serveur complète la détection. La surveillance des dérives vous alerte par email dès qu'un fichier change. Consultez la liste complète des fonctionnalités ou comparez notre approche avec celle de Sucuri. Pour aller plus loin, lisez nos conseils pour scanner un site WordPress à la recherche de malwares et notre article sur les redirections malveillantes.

Des pages japonaises sous votre nom de domaine ? Suivez notre procédure d'urgence pour site WordPress piraté avant que vos positions ne s'effondrent.