Le site est normal en direct, mais redirige depuis Google
Le cloaking vise le referer Google ou le robot. Le site est normal quand vous tapez l’adresse ; un clic depuis les résultats envoie ailleurs. Search Console, inspection d’URL, et ce clic montrent ce que vous ne voyez pas. Taper l’URL n’est pas un test.
Le cloaking vise le referer Google ou le robot. Search Console, inspection d'URL, et un clic depuis les résultats montrent ce que vous ne voyez pas en tapant l'adresse.
Ce que Google voit, ce que vous tapez
Le site est normal en direct, mais redirige depuis Google : deux requêtes différentes. Taper `https://exemple.fr` n’envoie pas `Referer: https://www.google.com/`. Un clic sur un titre, si. Beaucoup de scripts ne se déclenchent que dans le second cas. Vous « vérifiez », vous êtes verts, les clients depuis la recherche atterrissent sur un casino. Ce n’est pas un bug de Chrome. C’est du cloaking au referer.
Parfois le script vise aussi le user-agent Googlebot : l’index se remplit de spam, votre desktop reste clean. Parfois l’inverse : Googlebot est exclu (index propre), seul le clic humain SERP saute — plus discret, plus longtemps. Les deux se diagnostiquent avec des outils différents (inspection vs clic réel).
Mots-clés : redirection depuis Google, cloaking referer, site pirate dans les résultats. Le traitement fichier est le même que toute redirect. Le test, lui, est spécifique. Sans le bon test, vous clôturez trop tôt.
- Tape URL = pas un test SERP.
- Clic résultat + inspection GSC = les deux tests.
- Capturer l’URL d’arrivée après le clic.
Le referer : le filtre le plus simple
HTTP `Referer` contenant `google.`, `bing.`, `yahoo.`, parfois `facebook`. htaccess `RewriteCond %{HTTP_REFERER}`. PHP `$_SERVER` Referer. JS `document.referrer`. Grep `referer`, `referrer`, `google.com`, `utm_`. Une ligne, un 302.
Les navigateurs restreignent parfois le referer (politique, HTTPS→HTTP). Les campagnes s’adaptent (paramètre `gclid`, `srsltid`, presence de `q=`). Si le clic saute encore sans referer visible, cherchez ces paramètres ou un mix mobile+SERP.
curl `-e https://www.google.com/` sur la home. Si 302, vous avez la preuve sans iPhone. Si 200, ajoutez un UA mobile. Les deux filtres se combinent souvent. Mobile only.
Googlebot vs le clic humain depuis la SERP
Googlebot : inspection, `site:`, titres étrangers. Humain SERP : clic, parfois pas le bot. Si GSC montre votre vrai HTML et que le clic humain saute : referer / JS, bot exclu. Si GSC montre un HTML casino et que vous voyez le vrai site en tapant : cloaking bot, classique spam SEO. Traitez les deux HTML comme des preuves, pas comme un « bug d’outil ».
Un sitemap pirate pousse le bot vers des URL qui, elles, cloakaient. Couper la redirect home ne suffit pas s’il reste un générateur. Horloge 3.
Ne demandez pas un réexamen Safe Browsing sur un cloaking SEO sans alerte sécurité. Mauvais guichet. Désindexation + coupure du générateur. Pages spam.
Inspection d’URL : le HTML à garder
Search Console → inspection → tester l’URL en direct → HTML. Enregistrez. Comparez à votre view-source desktop. L’écart est le dossier. La capture d’écran GSC parfois montre déjà la cible.
Si vous n’avez plus GSC (email pris) : récupérez la propriété (DNS), puis inspectez. En attendant, curl avec UA Googlebot (le vrai format se trouve dans la doc Google ; un UA approximatif marche souvent). Pas aussi fort juridiquement, utile techniquement.
Les extraits (title/description) dans les résultats : s’ils sont déjà en japonais / pharma, l’index a mangé le cloaking. Après coupure, patience crawl, pas un nouveau domaine.
Reproduire le clic (pas l’omnibox)
Cherchez un titre réel, cliquez. Privée. Parfois le second clic ne saute plus (cookie « déjà vu »). Effacez les cookies, ou un autre appareil. Certains scripts ne sautent que la première visite / une fois par jour : vos tests « ça va maintenant » sont le script qui vous a marqué.
Annonce Ads vs résultat organique : deux referers. Testez les deux si vous avez des pubs. Un skimmer Ads n’est pas toujours le même fichier qu’un cloaking organique.
Ne demandez pas à vingt salariés de cliquer « pour voir » : vous polluez, vous formez le script à votre plage d’IP. Un ou deux tests instrumentés, captures, puis FTP.
Où vit le test `google` / `referer`
Même trois pistes : serveur, JS, PHP. Grep plus `google`, `gclid`, `organic`. Mu-plugin, prepend, option `ads_redirect`, plugin « SEO » pirate. Dates.
Un plugin de stats qui redirige les 404 vers une page « search » légitime : ce n’est pas un casino. La cible encore.
Cloudflare worker / app « SEO » sur le compte : ouvrez CF. Hors home, hors grep local.
Après la coupure : index et réexamen
Clic SERP + inspection = 200 chez vous, plus de 302. Flush. 48 h plus tard, re-clic (cookie). Demande d’indexation sur la home et 3 pages money. Retrait d’URL si des chemins pont existent. Réexamen SB si alerte, pas avant. Délais.
Les positions : semaines. Un titre encore faux 4 jours n’est pas un échec du retrait de ligne. C’est le crawl.
Entrée + secrets. Un cloaking referer qui revient le lundi : porte. Backdoor.
Ce que ce cloaking n’est pas
Un sitelink Google vers une vieille URL 301 interne. Un résultat qui pointe vers un sous-domaine oublié (là, le « ailleurs » est encore vous — nettoyez le sous-domaine). Une pub concurrente sur votre marque (le clic n’est pas votre HTML). Capture de la barre d’adresse après clic : si ce n’est plus votre host dès la SERP, parfois ce n’est plus votre serveur.
Safe Browsing interstitiel sans redirect : autre article (trompeur). Le clic « ne va nulle part » parce que Chrome bloque. Pas un 302 casino. Lisez le texte.
Page site qui redirige pour déclarer le dossier si les trois pistes vous dépassent.