Plugin « coming soon » oublié après l'incident : Google désindexe

Ce que le plugin a vraiment envoyé à Google

La plupart des extensions « coming soon » / SeedProd / LightStart / maintenance du thème envoient noindex, parfois un robots.txt temporaire, parfois une 503. Google obéit. Après deux ou trois passages, les URL sortent de l’index ou perdent leurs extraits. Vous voyez encore le site, vos clients aussi une fois le plugin désactivé — `site:votre-domaine.fr` montre trois pages, puis une.

Ce n’est pas une blacklist Safe Browsing. Pas d’écran rouge. C’est plus silencieux, et plus long à rattraper que 72 heures d’alerte Chrome. Les propriétaires appellent pour « Google nous a radiés » alors que Transparency Report est vert.

Le plugin a souvent été activé le jour du piratage « pour cacher le kit », puis oublié derrière un mot de passe d’admin. Ou l’inverse : posé pour une refonte en 2024, jamais retiré, et l’incident n’a fait que retarder le jour où quelqu’un regarde Search Console.

• Inspection d’URL : meta robots, état d’indexation, éventuelle 503.
• robots.txt live (pas seulement le fichier sur disque — un plugin peut le virtuel).
• Code HTTP de la home pour Googlebot vs pour vous.

Coming soon, maintenance, « site privé »

Coming soon : page marketing, souvent noindex global, parfois tout le trafic humain aussi (sauf IP allowlist). Maintenance : message neutre, 503 ou 200 selon l’extension. « Site privé » / membership : noindex des contenus membres, parfois trop large (toute la vitrine).

Elementor, Divi, les thèmes « one page » ont leur propre interrupteur. Un mu-plugin de l’agence « hide_from_google » oublié. Yoast / Rank Math : une case « noindex le site » dans les réglages généraux — rare, dévastatrice, indépendante du coming soon.

Cloudflare « Under Attack » n’est pas un noindex, mais l’inspection peut échouer. Distinguez : challenge JS ≠ meta robots. Ne désinstallez pas Yoast par panique : lisez les réglages. Le SEO plugin n’est presque jamais « le virus ».

Vérifier robots, meta et en-têtes

Vue source de la home déconnecté : `<meta name="robots" content="noindex`. En-tête X-Robots-Tag. robots.txt : Disallow: / sur tout le site. Les trois se cumulent. Retirer le plugin sans vider le cache (plugin, CDN) laisse l’en-tête encore une journée.

WordPress Settings → Lire : « Demander aux moteurs de ne pas indexer » — la case native, encore plus oubliée que le plugin. Elle écrit dans options. Un restore de base la remet.

Sur les URL de kit, vous voulez l’inverse de la vitrine : ces chemins doivent mourir (410), pas « coming soon ». Un maintenance global qui met du 200 marketing sur /paypal/ est un mauvais réflexe.

Search Console : cause et délai

Le rapport « pages » dit souvent « exclue par la balise noindex » ou « explorée, actuellement non indexée ». C’est lisible. Demandez une indexation de la home et des piliers après retrait, pas un réexamen sécurité. Mauvaise file.

Délai : des jours à quelques semaines selon l’autorité et la fréquence de crawl. Ce n’est pas 24 h. Ne créez pas 200 articles « pour rattraper » — voir dilution après spam. Renforcez les vraies pages (titres, interne, sitemap propre).

Propriété domaine vs préfixe : un noindex seulement sur www alors que l’apex est encore indexé (ou l’inverse) produit un diagnostic absurde. Inspectez les deux.

Quand le laisser (et comment) pendant l’incident

Une page de maintenance courte sur tout le site se justifie si vous servez encore du malware à l’accueil et que vous ne pouvez pas isoler l’URL. 503 + Retry-After, texte neutre, téléphone. Pas de roman sur l’attaque. Le guide premiers gestes : couper les accès, pas forcément le domaine des jours durant.

Dès que le HTML métier est sain, retirez noindex. Le kit, lui, reste 410. Deux régimes, deux chemins. Un plugin qui ne sait faire que « tout le site » est un mauvais outil le jour J : préférez une 503 au vhost ou une page statique sans noindex global si le crawl doit continuer sur les URL propres.

Si Safe Browsing est rouge, le coming soon n’empêche pas Google de relire l’URL signalée. Il peut même servir un 200 « bientôt » que le réexamen n’aime pas sur un chemin de phishing. Tuez le chemin, n’habilllez pas.

Ce qu’il ne faut pas faire pour « revenir »

Soumettre 500 URL à l’inspection dans la nuit. Acheter des communiqués. Changer de nom de domaine. Désindexer puis réindexer à la main en masse. Tout cela aggrave le bruit.

Laisser le plugin « désactivé » mais une mu-extension ou un extra Elementor encore noindex. Vider le cache. Recrawler `site:`.

Un second plugin SEO « pour corriger » le noindex : vous empilez les meta. Une seule source de vérité (réglage natif + un SEO, relu).

Ads, Maps et le même noindex

Google Ads n’indexe pas comme Search, mais une destination « coming soon » ou un noindex massif peut faire tomber la qualité ou déclencher une revue. Les campagnes locales recrawlent. Sortez de maintenance avant de rouvrir les pubs.

La fiche Google Business affiche encore le site. Un visiteur arrive sur « bientôt ouvert » pendant que vous êtes en activité : avis 1 étoile, pas une pénalité algo. Bandeau / téléphone le temps du noindex, ou retirez le noindex.

Meta Ads : même logique de crawler de destination. Voir Meta refuse.

Après : une checklist de sortie de crise

Plugin maintenance off, case Réglages → Lire off, Yoast/Rank Math « site noindex » off, cache vide, robots.txt légitime, sitemap resoumis, inspection home + 3 piliers. Notez la date. C’est le J0 du retour d’index, pas le jour du piratage.

Trente jours : rapport pages, `site:`, positions sur 5 requêtes métier. Si noindex réapparaît, un restore ou un employé a recoché.

Si vous ne trouvez pas quelle case noindex, déclarez. On cherche la meta, pas un virus imaginaire. Le guide pages spam si l’index est plein d’autres URL : autre sujet, parfois cumulé.