Domaine stationné ou addon domain infecté sur le même panel

Ce n’est pas un sous-domaine, c’est un autre nom

old.votresite.fr reste dans la famille votresite.fr. cabinet-dupont-ancien.fr est un autre nom. Google, les navigateurs, les listes d’email et les clients le traitent comme tel. Vous, dans le panel, vous le voyez comme une ligne sous « domaines ». Cette asymétrie crée l’angle mort : on nettoie votresite.fr, on oublie le nom acheté en 2014 « pour pas le laisser à un concurrent ».

L’infection n’a pas besoin d’être sur votre vitrine. Un addon qui sert encore un WordPress 4.9, ou un parked qui a été « temporairement » pointé vers le même dossier que la prod, suffit. Les signalements (hébergeur, Safe Browsing, spam) citent parfois ce vieux nom. Vous cherchez sur le nouveau.

Nous ouvrons le panel avant la home. Chez cPanel, Plesk, DirectAdmin, o2switch : la liste des domaines du compte. Si elle est plus longue que votre papier à en-tête, le dossier n’a pas commencé.

• Nom principal (celui de la carte).
• Alias / domain alias (même site, autre nom).
• Addon / domaine supplémentaire (autre dossier, en principe).
• Parked / stationné (souvent une page parking, pas toujours).

Parked, addon, alias : trois boutons, trois risques

L’alias (ou « domaine stationné » mal nommé selon les panels) montre le même site sous un autre nom. Utile pour une faute de frappe (site-piratte.fr). Risque : un certificat ou un vhost mal réglé sert un autre contenu sur ce nom ; Safe Browsing le classe ; vos clients voient l’alerte en tapant le « faux » nom que vous aviez acheté exprès.

L’addon a son propre dossier. C’est un site. Extensions, admins, sauvegardes : tout le protocole WordPress s’applique. Le piège est le compte commun : même FTP, parfois même base préfixe, parfois un utilisateur MySQL trop large. Nettoyer l’addon sans changer le panel laisse la porte vers le principal.

Le parked « officiel » devrait être une page parking du registrar ou de l’hébergeur. En pratique, on trouve un installateur WordPress lancé « pour voir », un fichier PHP de test, un redirect vers une promo 2018. Les bots indexent. Un parked n’est pas une assurance d’innocuité.

Comment les bots le trouvent

Les noms expirés puis rachetés, les whois, les anciens backlinks, les caches Google, les listes de certificats (un Let’s Encrypt sur ce nom, même un jour, laisse une trace). Inutile d’imaginer un génie : les scanners passent les certificats récemment émis et les zones DNS mal rangées.

Un lien depuis un annuaire de 2016, un QR code sur une carte, une signature mail : le trafic humain existe encore. Ce n’est pas « zéro visiteur = zéro risque ». C’est « peu de visiteurs = personne ne surveille ».

Si le parked redirige vers la prod, les URL de spam de l’addon peuvent 301 vers votre home. Mauvais réflexe, déjà décrit pour le phishing en 200 : on ne range pas une URL sale vers le site métier.

Lister tous les noms du panel

Export ou captures : tous les domaines, leur type, leur document root, leur PHP, leur certificat. Demandez à l’hébergeur la liste si l’interface est confuse (revendeurs, comptes « multi »). Un ticket factuel : « liste des domaines et chemins associés au compte X », pas « rouvrez ».

Croisez avec le registraire. Un nom dont le DNS pointe ailleurs n’est plus votre problème d’hébergement — c’est un problème de marque si quelqu’un d’autre le sert. Un nom dont le DNS pointe encore ici sans vhost tombe souvent sur le vhost par défaut : parfois la prod, parfois une page d’erreur, parfois le site du voisin de compte.

Search Console : une propriété par nom, domaine de préférence. `site:vieux-nom.fr`. Les titres inattendus sont la file de nettoyage. Voir propriété domaine.

Le document root partagé est le piège

Deux noms, un seul dossier : une infection est doublement visible, un nettoyage mal fait est doublement incomplet. Vérifiez les chemins. Si l’addon est un alias déguisé, traitez-le comme un second hostname de la prod (http, https, www, IPv6).

Deux noms, deux dossiers, un wp-config qui pointe vers la même base : vous avez deux fronts, une seule table d’options. Un admin fantôme créé via l’addon est un admin de la prod. Cherchez les utilisateurs une seule fois, complètement.

Deux noms, deux bases, même préfixe de fichiers uploads monté en dur : plus rare, même logique. L’inventaire des mounts et des chemins dans wp-config / .env évite de « nettoyer » un dossier et d’en laisser un jumeau.

Search Console et Safe Browsing par nom

Une alerte site trompeur sur le vieux nom n’apparaît pas dans la Search Console du nouveau. Déposez le réexamen sur la propriété du nom signalé, après 410 / extinction. Retrait blacklist : une file par hostname concerné.

Les Ads et Merchant regardent l’URL de destination. Un nom parked encore en campagne (ou encore dans une fiche Google Business oubliée) brûle le compte pub. Inventaire des URL de destination, pas seulement du site « officiel ».

Côté mail, un SPF du vieux nom trop large, ou un envoi depuis contact@vieux-nom.fr via le CMS de l’addon, brûle ce nom-là. Les FAI français filtrent par domaine From. Voir Orange, SFR, Free si vos clients sont en France.

Fermer un nom sans casser le principal

Si le nom ne sert plus : retirez-le du panel après archive, retirez ou basculez le DNS (parking registrar ou nulle part), retirez les certificats auto-renouvelés si l’interface le permet. Vérifiez que le vhost par défaut n’est pas devenu la prod pour les requêtes orphelines.

Si le nom doit rediriger (marque, faute de frappe) : redirection vers l’équivalent propre du nouveau site, jamais depuis une URL de kit. Les chemins d’hameçonnage du vieux nom : 410. Le reste : 301 vers la home ou la page équivalente, selon que vous tenez au SEO de ce nom.

Ne changez pas d’hébergeur en emportant la liste d’addons sales. Le nouvel hébergeur suspend pour les mêmes motifs. Un compte propre, un nom à la fois, ou une intervention qui traite le compte entier.

• Archive hors serveur de chaque root.
• Mots de passe panel / FTP avant de toucher aux vhosts.
• DNS ensuite, pour ne pas laisser un A vers un dossier déjà vide servi par le défaut.

Après l’incident : un nom = un responsable

Chaque nom du panel a un usage écrit (prod, redirection, parking, à supprimer avant telle date). Les noms « on verra » sont des old. qui attendent. C’est le même discipline que pour les sous-domaines.

Surveillez `site:` sur chaque nom encore pointé ici, trente jours. Un addon refermé trop vite (DNS encore chaud, vhost encore là) revient dans les captures clients.

Si la liste dépasse ce que vous pouvez tenir (revendeur, dix marques, trois agences), créez un espace. On cartographie le compte. Les premiers gestes s’appliquent au panel entier, pas à la home du nom que vous aimez.