Pages spam générées par IA sur un site piraté

Ce que vous voyez dans `site:` n'est pas un blog concurrent

Des titres fluides, des H2 bien formés, parfois votre marque dans le premier paragraphe : on dirait une stratégie de contenu. C'est un générateur. Il s'accroche à un dossier, à un paramètre, ou à des posts WordPress créés en masse. Google les a indexés parce qu'ils répondaient 200 et qu'un sitemap ou des liens internes les lui ont montrés.

Tapez `site:votre-domaine.fr` et comparez au nombre de vraies pages. L'écart est l'ampleur. Les URL longues, les dates futures, les catégories inventées (`/viagra-best/`, `/loan-tips-fr/`) trahissent le motif, même si le texte « se lit bien ».

Vous, en admin, voyez souvent encore votre thème. Googlebot a reçu l'autre version, ou les deux. Une inspection d'URL dans Search Console tranche. Gardez le HTML : il sert au constat. Le guide pages spam pose le déroulé métier ; ici on insiste sur le cas IA.

Unique n'est pas légitime

Les anciennes fermes copiaient le même paragraphe. Les fermes actuelles varient. Ça ne change rien au traitement : ce n'est pas votre contenu, ça n'a pas à rester en 200, ça n'a pas à rester dans l'index. Ne perdez pas de jours à « prouver » que c'est de l'IA. Prouvez que ce n'est pas vous, puis coupez.

Un outil de détection IA ne constitue pas un constat. Google s'en moque. Vos clients aussi. Ce qui compte : le générateur est-il encore en ligne, et ces URL meurent-elles (410) ou se recyclent-elles.

Si les pages parlent de pharmacies, de casinos, de prêts, le dossier recoupe le spam SEO japonais même lorsque le texte est en français soigné. Le cloaking peut coexister : vous voyez la home, le robot voit le papier IA.

Trouver le générateur, pas chaque URL

Trois mécaniques reviennent. Un PHP qui fabrique la page à la volée (l'URL n'existe pas sur le disque). Des fichiers HTML déposés dans un dossier au nom anodin. Des articles WordPress réellement insérés en base, parfois avec un auteur fantôme. Tant que la mécanique tourne, désindexer une à une est une corvée sans fin.

Cherchez le sitemap pirate, les règles de réécriture, les posts datés le même jour par milliers, un utilisateur `editor` créé à 3 h. Ne commencez pas par vider la corbeille d'articles au hasard : vous perdez la chronologie et, parfois, de vrais brouillons.

Coupez, puis seulement gérez l'index. L'ordre est le même que pour n'importe quel spam SEO. L'IA n'invente pas une quatrième mécanique — elle remplit les trois plus vite.

• Sitemap XML que vous n'avez pas soumis.
• Dossier hors arborescence habituelle, dates groupées.
• Auteur ou type de contenu WordPress inconnu.
• Paramètres d'URL qui reproduisent un « article » à la volée.

410, retrait de préfixe, pas un noindex global

Une fois le générateur mort, les URL frauduleuses doivent cesser d'exister : 404 ou, mieux, 410. Pas une redirection vers l'accueil (Google peut y voir de l'évitement). Pas une 200 de « page introuvable » dans le thème. Pas un noindex sur tout le domaine qui emporte vos vraies pages.

Search Console permet un retrait de préfixe sur le dossier pirate. Utilisez-le sur ce préfixe. Un robots.txt qui Disallow `/` pour « calmer le jeu » fait disparaître aussi votre activité. Les pages légitimes restent en 200.

Si des milliers d'URL à paramètres se sont accrochées aux permaliens, le traitement est voisin : indexation massive de paramètres. Ne noindexez pas le site entier « le temps que ça passe ».

Sitemaps et robots : les deux tuyaux

Google lit tous les sitemaps qu'il trouve. Le vôtre (Yoast, Rank Math, cœur) et le pirate coexistent souvent. Retirez le second du disque et de Search Console, resoumettez uniquement le légitime, relisez `robots.txt` qui pointe encore vers l'autre. Détail : deux sitemaps.

Des liens internes injectés dans de vieux articles accélèrent le crawl du spam IA. Relisez pied de page, widgets, et une poignée d'articles anciens. Ce n'est pas « du SEO à refaire » : c'est du HTML à retirer.

Tant qu'un tuyau nourrit le robot, le volume IA recommence à gonfler `site:`. Couper les textes en admin ne suffit pas.

Délais : l'IA n'accélère pas Google

Le robot n'a pas un mode « prioritaire anti-ChatGPT ». Il réexplore. Un volume important met souvent une à plusieurs semaines à sortir, plus longtemps à rendre les positions. Trois horloges : site propre (jours), index nettoyé (semaines), visibilité (plus long).

Les synthèses génératives (Aperçus IA, chatbots) peuvent reprendre un titre encore en cache. Nettoyer l'index limite la casse ; ça ne l'efface pas en une nuit. Voir GEO et LLMs et résultats génératifs.

Un réexamen Safe Browsing ne s'applique que s'il y a alerte sécurité, pas pour du seul spam d'index. Déposer le mauvais formulaire fait perdre un cycle.

Pourquoi ça revient si on « vide les articles »

Vider les posts sans retirer le PHP générateur, c'est vider un seau sous un robinet. Le lendemain, d'autres titres, tout aussi « uniques ». La backdoor réécrit le script que vous aviez trouvé. Test de réussite : une semaine sans nouvelle URL hors plan de site.

Une restauration « dernière sauvegarde » ramène souvent le générateur : il était déjà là. Remontez jusqu'à un zip propre, comparez, ne restaurez pas par réflexe.

Surveillance ensuite : alerte sur fichiers nouveaux et sur pics d'URL inconnues. Moins cher que le deuxième dossier. Surveillance continue.

Ce qu'il ne faut pas acheter dans la panique

Un « nettoyage SEO » tant que le générateur tourne. Un nouveau domaine « pour repartir ». Une refonte pour « écraser le contenu ». Un plugin qui promet de supprimer 10 000 URLs d'un clic sans toucher au PHP. Ces offres vendent le symptôme.

Vous pouvez déléguer le couple coupure + désindexation. Le prix d'un constat clair évite d'acheter trois outils et une refonte. Nous ne promettons pas le niveau de trafic d'avant ; nous promettons d'arrêter l'hémorragie et de rendre l'index cohérent.

Si une fuite de données se discute (formulaire, comptes), c'est un autre volet, parallèle. Les pages IA n'impliquent pas à elles seules une exfiltration. Encore faut-il l'établir, pas le deviner.