Redirections ouvertes laissées après un « nettoyage »
Un paramètre du type `?url=` envoie encore vos visiteurs ailleurs. Google et les campagnes d'hameçonnage s'en servent. Fermer cette redirection ouverte n'est pas cosmétique : c'est empêcher votre domaine de servir de tremplin, après un « nettoyage » trop court.
Un paramètre ?url= envoie encore ailleurs. Google et les phishing s'en servent. Fermez l'open redirect, ce n'est pas « cosmétique ».
Ce qui reste quand la home est propre
Le défacement est parti, le PHP à la racine aussi. Un script ou une règle du thème continue d'accepter une adresse externe et d'y envoyer le navigateur. Vous ne le voyez pas en tapant l'accueil. Un lien partagé, un résultat encore en cache, un email : l'utilisateur part de votre nom et atterrit ailleurs.
C'est fréquent après un nettoyage « fichiers visibles seulement ». Les redirections vivent dans le thème, un plugin « links », un vieux shortcode, le `.htaccess`. Moins sale à l'œil qu'une pharmacie, assez pour Safe Browsing et pour la marque.
Les premiers gestes demandent de tester comme un visiteur, depuis Google. Ajoutez : tester les URL avec des paramètres de redirection que vos journaux ou Search Console montrent encore.
À quoi ça sert, concrètement (sans recette)
À faire confiance à votre domaine (lien, mail, QR) puis à basculer vers une page d'hameçonnage ou un scam. Google y voit parfois un site qui participe à une chaîne trompeuse. Les filtres anti-phishing notent le premier saut autant que la cible.
Nous n'expliquons pas comment l'ouvrir ou le tester de façon offensive. Le geste utile : si une de vos URLs accepte une destination que vous ne contrôlez pas, cette fonctionnalité sort ou se restreint à une liste de vos hôtes.
Un redirect interne (`/old` → `/new`) est légitime. Un redirect dont la cible vient d'un paramètre libre, non.
Où ça se cache dans un CMS
Plugins de redirections (Rank Math, Redirection, Yoast) avec une règle trop large. Thème marketplace « login redirect ». Fichier `.htaccess` / Nginx laissé par l'attaquant. Un `wp_safe_redirect` mal entouré n'est pas le sujet de cet article : le sujet, c'est une destination non maîtrisée encore en ligne.
PrestaShop : modules « affiliés », « redirection après commande ». Un champ « URL de retour » trop permissif. Relisez, restreignez.
Les journaux d'accès montrent des hits sur `redirect`, `url=`, `next=`, `target=`. Notez les chemins, ne les « essayez » pas vers des tiers douteux depuis votre poste de travail habituel. Isolez, lisez, fermez.
- Règles du plugin de redirections.
- `.htaccess` / vhost : Rewrite trop ouverts.
- Paramètres encore cités dans GSC ou les logs.
Fermer : liste blanche, pas « on verra »
Soit la fonctionnalité disparaît (plus de paramètre de destination). Soit elle n'accepte que vos hôtes (www, nu, éventuellement un sous-domaine de paiement que vous nommez). Tout le reste : 400 ou 404, pas un saut.
Un prestataire qui « laisse le paramètre, c'est pratique pour les campagnes » vend un tremplin. Les campagnes utilisent des UTM sur VOS pages, pas un tapis roulant vers l'extérieur.
Après fermeture, les anciennes URL avec paramètre doivent cesser de sauter. 410 ou page d'erreur, pas un 302 vers un tiers « au cas où ».
301 vers l'accueil, le mauvais réflexe
Tout envoyer vers `/` pour « casser le redirect » mélange des milliers d'URL dans la home et peut passer pour de l'évitement. Fermez le saut externe ; les URL mortes meurent (410). Même logique que pour le phishing encore en 200 et les query spam.
Un 301 vers l'accueil depuis une URL qui était un tremplin n'empêche pas Google de se souvenir du saut le temps du recrawl. Le 410 est plus net.
Ne « profitez pas » pour une refonte de permaliens.
Google, Ads, et la confiance du nom
Safe Browsing et les revues Ads n'aiment pas les chaînes. Un open redirect après un incident déjà signalé retarde la levée. Blacklist, Ads.
Vos clients qui ont reçu un « lien de votre part » pendant l'incident : un mail factuel (nos vrais domaines, méfiez-vous des longues URL) calme plus qu'un nouveau `.fr`.
Les aperçus génératifs peuvent citer une URL de saut encore en cache. Le vivant fermé reste le levier. SGE.
Cousins : hreflang, canonical, GTM
Un hreflang ou un canonical vers un tiers est une association, pas toujours un saut navigateur. À traiter aussi. Hreflang tiers.
Un tag GTM qui fait `location =` : autre tremplin, hors FTP. GTM.
Un webhook qui « notifie une URL » fournie par un champ : autre famille, audit des destinations. Webhooks.
Vérifier qu'il n'en reste pas un
Listez les chemins vus dans les logs et GSC. Pour chacun, la destination doit être vous, ou une erreur. Faites-le en navigation privée. Si un saut externe reste, ce n'est pas clos.
Purge CDN : une vieille règle en edge continue de sauter. CDN.
Déclarer : une URL encore suspecte (paramètre visible dans GSC) oriente. Nous fermons le saut, nous ne « testons pas des cibles » pour le plaisir.