Propriété domaine ou préfixe d'URL : laquelle pour un incident
La propriété préfixe ne voit que ce que vous avez collé dans l’assistant (souvent https://www.). La propriété domaine voit le nu, le www, et les sous-domaines oubliés. Pour un piratage, c’est elle qui évite l’angle mort.
La propriété domaine voit www, nu, et parfois des sous-domaines oubliés (staging). Pour un piratage, elle évite l'angle mort. Vérifiez les deux si vous les avez.
Deux propriétés, deux angles de vue
Search Console propose deux façons de « posséder » un site. Le préfixe d’URL est une chaîne exacte : https://www.cabinet-dupont.fr. Tout ce qui n’est pas cette chaîne — http://, le domaine nu, blog.cabinet-dupont.fr — n’apparaît pas dans les rapports de cette propriété. La propriété domaine, elle, se vérifie par un enregistrement DNS et couvre toutes les variantes du nom.
Le jour où le site est propre et que vous regardez les clics, la différence est un détail de reporting. Le jour d’un piratage indexé, c’est un angle mort. L’attaquant pose un kit sur http://cabinet-dupont.fr/paypal/ ou sur old.cabinet-dupont.fr. Vous inspectez https://www. et vous voyez « URL introuvable dans l’index ». Vous concluez trop tôt.
Nous le voyons chaque semaine : une agence a créé la propriété préfixe en 2019 « pour aller vite » (fichier HTML à la racine), personne n’a jamais posé le TXT DNS. L’incident arrive sur un sous-domaine ou sur le nu. Le propriétaire croit Search Console verte. Chrome, lui, affiche site trompeur sur une URL que la propriété ne connaît pas.
- Préfixe : une origine exacte (schéma + hôte + éventuellement chemin).
- Domaine : le nom, tous schémas, www et non-www, sous-domaines.
- Les deux peuvent coexister. Ce n’est pas un doublon inutile pendant un incident.
Ce que le préfixe d’URL laisse dans l’ombre
Le cas le plus banal en France : la propriété est https://www.domaine.fr et le certificat / la redirection vers www a été posée « presque ». Une partie du trafic, et une partie des bots, tape encore http://domaine.fr. Si un vieux vhost sert un autre document à cet endroit — un WordPress oublié, un index.html de 2016 — vous ne le voyez pas dans cette Search Console.
Deuxième cas : l’hébergeur a créé shop.domaine.fr ou booking.domaine.fr pour un module. Pas dans le préfixe. L’iframe de réservation ou le WooCommerce y tourne. L’infection aussi. Voir sous-domaine oublié.
Troisième cas : quelqu’un a soumis un sitemap avec des URL http:// ou sans www. Google les a suivies. Les « pages inconnues » existent, mais le rapport « pages » de votre préfixe https://www. reste calme. Vous cherchez un cloaking qui n’est pas sur cette origine.
Ce que la propriété domaine couvre vraiment
Une propriété domaine `domaine.fr` englobe www, le nu, et les sous-domaines du même registraire que Google arrive à associer. En pratique : ce que le DNS du nom publie et que Google a déjà crawlé. Elle ne remplace pas un inventaire. Un sous-domaine qui n’a jamais été lié, jamais soumis, peut mettre du temps à apparaître — mais dès qu’il est crawlé, il entre dans les rapports.
C’est elle qui montre le pic d’impressions sur des titres en japonais servis par spam1.domaine.fr, alors que www est encore une vitrine. C’est elle qui liste un sitemap déposé sur http://domaine.fr/sitemap-news.xml. C’est elle qui permet d’inspecter les deux faces (www et nu) sans jongler entre deux comptes.
Elle ne voit pas un autre nom (cabinetdupont.fr vs cabinet-dupont.fr). Les addon domains du même panel sont d’autres propriétés. Ne croyez pas qu’« une propriété domaine » = tout le compte d’hébergement.
staging, old, shop : le jour où ça compte
Les sous-domaines de préprod sont rarement dans le préfixe de production. Ils sont souvent sans mot de passe, avec un WordPress à jour « plus tard ». L’attaquant n’a pas besoin de votre home : il a besoin d’un hostname qui se termine par votre nom, pour la confiance et pour l’index.
Pendant l’incident, ouvrez la propriété domaine et filtrez par hostname si l’interface le permet, ou cherchez `site:domaine.fr` en soustrayant `site:www.domaine.fr`. Ce qui reste est votre liste de travail : old, dev, test, mail, webmail parfois, et les inventions de l’attaquant si un wildcard DNS est ouvert.
Si vous n’avez pas la propriété domaine, ce tri se fait à la main (DNS, vhosts, panel). C’est plus long, et vous n’aurez pas l’inspection Googlebot sur ces hôtes tant que la propriété n’existe pas. D’où l’intérêt de la poser même en urgence — le TXT DNS se propage souvent en moins d’une heure chez OVH, Gandi, o2switch.
- Comparer `site:domaine.fr` et `site:www.domaine.fr`.
- Lister les A / CNAME / AAAA du nom dans le panel DNS.
- Lister les domaines et sous-domaines du panel d’hébergement.
Vérifier les deux si vous les avez déjà
Beaucoup de comptes ont les deux : un préfixe historique et une propriété domaine ajoutée plus tard. Pendant l’incident, ouvrez les deux. Les messages « problème de sécurité » peuvent n’apparaître que d’un côté. Un sitemap pirate aussi. Un utilisateur délégué aussi.
Ne fusionnez pas, ne supprimez pas le préfixe « pour faire propre » le jour J. Vous perdez l’historique des inspections et parfois le fil des réexamens. Vous pourrez ranger dans six mois.
Notez quelle propriété a reçu l’email d’alerte. C’est souvent celle-là que Google a associée au signalement. Le réexamen blacklist Google se dépose là où le problème est listé — vérifiez quand même l’autre.
Ajouter une propriété domaine pendant l’incident
Si vous n’avez que le préfixe, ajoutez la propriété domaine. La vérification DNS (TXT ou enregistrement CNAME selon l’assistant) est le chemin propre. Évitez de coller un fichier HTML à la racine « en plus » : sur un site encore instable, ce fichier se perd dans le bruit, et il ne couvre pas les sous-domaines.
Il vous faut l’accès DNS. Si l’agence a le site mais pas le nom, c’est le moment de le demander. Un registraire inaccessible le week-end est un vrai frein : dans ce cas, travaillez avec `site:` et les vhosts, et posez la propriété dès le lundi. Ne bloquez pas le nettoyage pour ça.
Une fois vérifiée, attendez un premier passage des rapports (parfois 24 à 48 h pour un historique utile). En attendant, l’inspection d’URL fonctionne déjà sur les hôtes du nom. C’est le geste utile du jour : coller l’URL du kit, celle du nu, celle du www.
Utilisateurs, sitemaps et inspections
Listez les utilisateurs de chaque propriété. Un compte Gmail d’un stagiaire 2022 encore « propriétaire » peut avoir accepté un sitemap ou une délégation. Révoquez ce que vous ne reconnaissez pas. C’est indépendant des mots de passe WordPress.
Onglet sitemaps : tout ce qui n’est pas le vôtre (sitemap-news, sitemap-video, un XML dans /wp-content/uploads/) se retire. Soumettre n’est pas anodin : Google recrawl ces URL. Un sitemap pirate dans la propriété domaine explique des milliers d’adresses que le préfixe www n’avait jamais montrées.
Gardez les HTML d’inspection. Ils datent ce que Googlebot voyait. Ils servent au constat, à l’hébergeur, parfois à l’assureur. Ne « relancez » pas une inspection toutes les dix minutes : une après nettoyage, une après purge de cache, suffit.
Après nettoyage : quoi inspecter, dans quel ordre
D’abord les URL signalées (email, Transparency Report, capture client). Puis la home en https://www et en https:// sans www. Puis http:// sur les deux, pour confirmer la redirection — et seulement une redirection vers le HTTPS légitime, pas un autre vhost. Voir HTTP encore ouvert et www, apex, IPv6.
Ensuite un échantillon de sous-domaines trouvés dans le DNS. Si l’inspection échoue (hors propriété), c’est que vous n’êtes encore qu’en préfixe : posez le domaine, ou inspectez depuis une propriété préfixe temporaire créée pour ce hostname — moins élégant, parfois plus rapide le samedi.
Le réexamen se dépose quand ces inspections montrent un site propre, pas quand la home « a l’air d’aller » sur votre PC. Les premiers gestes restent valables : copie, panel, tests visiteurs. Search Console est un œil, pas un balai.
Quand une seule propriété suffit (rarement)
Un site qui n’a jamais eu de sous-domaine, qui redirige tout vers une seule origine depuis des années, et dont le DNS est un A + www CNAME sans wildcard : le préfixe peut suffire au quotidien. Même là, la propriété domaine coûte vingt minutes et évite le prochain angle mort.
Elle ne suffit jamais seule si le panel héberge d’autres noms. Chaque nom est une propriété. Le jour d’un addon infecté, vous serez content d’avoir déjà le réflexe « une propriété par nom, domaine de préférence ».
Si vous déléguez, donnez au prestataire un accès Search Console restreint (pas propriétaire) sur la propriété domaine, révocable. Pas votre Gmail personnel. Créer un espace n’exige pas cet accès à l’inscription ; on le demandera seulement si vous validez une intervention.