Comment détecter du contenu piraté invisible avec Fetch as Google ?

Pourquoi certains contenus piratés restent-ils invisibles dans un navigateur classique ?

Les pirates utilisent des techniques de cloaking pour afficher du contenu différent selon l'user-agent. Votre navigateur affiche la page normale pendant que Googlebot voit du spam, des liens malveillants ou des redirections. Cette asymétrie permet aux attaques de passer inaperçues pendant des semaines.

Le piratage SEO moderne cible spécifiquement les moteurs de recherche. Les hackers injectent des pages satellites vendant du Viagra, des montres de luxe ou des backlinks toxiques. Vous ne voyez rien en visitant votre site, vos analytics semblent normaux, mais Google indexe des centaines de pages pourries sous votre domaine.

Fetch as Google détecte-t-il vraiment tous les types d'attaques ?

L'outil montre exactement ce que Googlebot récupère et rend lors du crawl. Si des pirates ont injecté du contenu conditionnel basé sur l'user-agent, vous le verrez dans la version rendue. C'est particulièrement efficace pour détecter les injections PHP, les .htaccess modifiés ou les plugins WordPress compromis.

Par contre, Fetch as Google ne détecte pas les attaques qui se déclenchent uniquement après X visites, à certaines heures ou depuis certaines géographies. Les pirates sophistiqués randomisent parfois l'affichage du spam. Une seule vérification ponctuelle ne suffit pas — il faut monitorer régulièrement.

Cette fonctionnalité existe-t-elle encore dans Search Console ?

Google a remplacé "Fetch as Google" par "Inspection d'URL" dans la version moderne de Search Console. Le principe reste identique : vous testez comment Googlebot voit une URL spécifique. La fonctionnalité affiche le HTML brut, la version rendue et signale les ressources bloquées.

L'interface actuelle est même plus puissante. Elle montre les screenshots de rendu mobile et desktop, détecte les erreurs JavaScript et affiche les éventuelles anomalies de sécurité repérées par Google Safe Browsing.

• Vérifiez régulièrement vos pages stratégiques avec l'outil Inspection d'URL
• Comparez le HTML brut et la version rendue pour détecter les injections JavaScript
• Surveillez les nouvelles URLs indexées que vous n'avez pas créées
• Activez les alertes Search Console pour être notifié des problèmes de sécurité
• Auditez les fichiers .htaccess et functions.php de WordPress après chaque alerte

Cette recommandation est-elle toujours pertinente techniquement ?

Oui, mais avec une nuance importante : Fetch as Google n'existe plus sous ce nom depuis 2019. L'outil Inspection d'URL le remplace et offre des capacités élargies. Google continue de promouvoir cette approche parce qu'elle fonctionne vraiment pour détecter le cloaking basique.

Sur le terrain, j'ai vu des dizaines de sites compromis où les propriétaires ignoraient totalement qu'ils hébergeaient 500 pages de spam pharmaceutique. L'outil révèle immédiatement le problème. Par contre, il ne détecte pas les attaques qui exploitent le cache CDN ou les injections côté client uniquement.

Quelles failles cette méthode ne couvre-t-elle pas ?

Les pirates évoluent plus vite que les outils de détection. Certaines attaques récentes utilisent des injections conditionnelles multi-facteurs : spam affiché seulement si l'IP provient d'un certain pays ET que l'user-agent est Googlebot ET que c'est un jour pair. Une inspection manuelle unique passe à côté.

D'autres hackers injectent du contenu via des tags GTM compromis ou des scripts tiers vérolés. Googlebot ne rend pas toujours parfaitement le JavaScript asynchrone, donc l'Inspection d'URL peut montrer une version propre alors que le spam s'affiche en production. [A vérifier] systématiquement avec un monitoring externe type visualping ou un crawler headless.

Cette approche suffit-elle comme stratégie anti-piratage ?

Non. L'Inspection d'URL est un outil diagnostic, pas une solution préventive. Vous détectez le mal une fois qu'il est fait, potentiellement après que Google ait indexé le spam et pénalisé votre site. La vraie priorité, c'est la sécurisation en amont : mises à jour régulières, durcissement des permissions, WAF correctement configuré.

Je vois trop de SEO qui vérifient manuellement 5-6 URLs clés par trimestre et se croient protégés. Pendant ce temps, 200 pages satellites se font indexer sous /wp-content/uploads/. Il faut automatiser : scripts de monitoring quotidien qui crawlent le site, alertes sur les nouvelles URLs dans Search Console, scans de sécurité hebdomadaires.

Comment utiliser concrètement l'Inspection d'URL pour détecter du contenu piraté ?

Connectez-vous à Google Search Console, collez l'URL suspecte dans la barre de recherche en haut, cliquez sur "Tester l'URL en direct". Attendez 30-60 secondes que Google crawle la page. Cliquez ensuite sur "Afficher la page explorée" pour voir le HTML brut et la capture d'écran rendue.

Comparez minutieusement ce que Google voit avec ce que vous voyez dans votre navigateur. Cherchez des blocs de liens suspects, du texte caché en blanc sur blanc, des redirections JavaScript vers des sites de spam. Si vous voyez du contenu que vous n'avez pas créé, vous êtes compromis.

Quelles URLs faut-il prioriser dans cette vérification ?

Commencez par vos pages de conversion principales : homepage, catégories bestsellers, landing pages AdWords. Les pirates ciblent souvent les pages à fort trafic pour maximiser la diffusion du spam. Vérifiez ensuite les templates (header.php, footer.php) car une injection là touche tout le site.

Inspectez aussi les URLs bizarres qui apparaissent soudainement dans vos rapports de couverture Search Console. Si vous voyez indexées des pages /viagra-online/ ou /cheap-rolex/ que vous n'avez jamais créées, c'est le signal d'alarme évident. Certains hackers sont plus subtils : ils créent /category/seo-tips-2019/ avec du contenu auto-généré.

Que faire si l'outil détecte effectivement du contenu malveillant ?

Premier réflexe : ne paniquez pas et ne supprimez rien impulsivement. Prenez des captures d'écran, exportez le HTML brut visible par Googlebot, documentez tout. Ces preuves seront nécessaires pour comprendre le vecteur d'attaque et éviter une récidive.

Passez ensuite en mode urgence : changez tous les mots de passe (FTP, base de données, admin WordPress, hébergeur). Scannez le serveur avec des outils comme Sucuri SiteCheck ou Wordfence. Identifiez les fichiers modifiés récemment via SSH. Nettoyez manuellement les injections — les plugins automatiques laissent souvent des backdoors.

• Testez vos 10-15 pages principales avec l'Inspection d'URL au moins une fois par mois
• Configurez des alertes Search Console pour les nouveaux problèmes de sécurité détectés
• Auditez les nouvelles URLs indexées chaque semaine via le rapport de couverture
• Installez un plugin de monitoring comme Wordfence ou Sucuri qui alerte en temps réel
• Comparez systématiquement le HTML brut et la version rendue pour détecter le cloaking JavaScript
• Créez un calendrier de vérifications hebdomadaires automatisées avec un crawler headless