Site multilingue piraté : hreflang et sitemaps détournés
L'attaquant ajoute une « langue » qui n'existe pas, ou un sitemap par locale plein de spam. Coupez ces sitemaps, rétablissez hreflang, réindexez les locales réelles. Un site en trois langues n'est pas trois fois plus compliqué — s'il n'a pas une quatrième langue fantôme.
L'attaquant ajoute une « langue » qui n'existe pas, ou un sitemap par locale plein de spam. Coupez ces sitemaps, rétablissez hreflang, réindexez les locales réelles.
Ce que vous voyez, ce que Google associe
Vous avez `/`, `/en/`, `/de/`. Google, lui, connaît aussi `/ja/` ou `/xx/` rempli de pharmacies, et des balises qui relient vos pages françaises à un domaine que vous n'avez pas. Vous voyez vos trois vitrines. Le robot construit un réseau de langues, y compris les fausses.
Tapez `site:votre-domaine.fr` et filtrez par chemin. Un préfixe de langue inconnu, des titres dans un alphabet que vous n'éditez pas : ce n'est pas « Google qui traduit mal ». C'est une locale servie. L'inspection d'URL sur une page FR et sa soi-disant alternative le confirme.
Le spam SEO classique se loge souvent ici : le japonais n'est pas une traduction, c'est un cloaking ou un dossier. Le cas hreflang ajoute une couche : Google croit que ces pages se correspondent.
La locale qui n'existe pas
Un dossier `/jp/`, un sous-domaine `ja.votre-domaine.fr`, un paramètre `?lang=xx`, un type de contenu WordPress « Language » créé par un plugin. Tant que ça répond 200, ça s'indexe. Tant qu'un sitemap l'annonce, ça s'indexe plus vite.
Coupez la génération, puis tuez le préfixe (410), puis retirez-le de Search Console. Ne « cachez » pas la locale derrière une redirection vers l'accueil : vous dites que `/ja/viagra` est votre home.
Wildcard DNS + générateur : des milliers de sous-domaines « langue ». Si vous n'avez pas besoin du `*`, coupez-le. Wildcard DNS.
Sitemaps par langue : le tuyau préféré
WPML, Polylang, Rank Math, Yoast : chacun peut produire un index de sitemaps et un XML par locale. L'attaquant ajoute le sien, ou enrichit le vôtre. Google les lit tous. Retirez le pirate du disque et de la Search Console, relisez `robots.txt`.
Vérifiez que le sitemap FR n'liste pas des URL `/en/` spam et réciproquement. Un mélange est fréquent après injection. Resoumettez uniquement les XML que vous assumez. Deux sitemaps.
Un sitemap « hreflang » séparé, généré par un plugin SEO, mérite la même lecture. S'il pointe vers un tiers, c'est le cas hreflang vers un domaine tiers.
- Index des sitemaps : une entrée inconnue.
- XML d'une locale que vous n'avez pas activée.
- `robots.txt` qui annonce encore le fichier pirate.
Hreflang cassé, hreflang hijacké
Cassé : après nettoyage, vos pages FR n'ont plus d'alternates, ou elles pointent 404. Google sépare alors des contenus qui devraient se parler. Pas dramatique, réparable dans le plugin ou le thème.
Hijacké : vos pages pointent vers `evil.tld` en `en`, ou vers une locale spam sur votre propre domaine. Là, vous offrez votre autorité à un tiers. Corrigez le filtre, l'option, le header HTTP, le thème — là où c'est écrit. Demandez ensuite une réindexation des gabarits.
Les canonical doivent raconter la même histoire. Un hreflang propre avec un canonical pirate (ou l'inverse) laisse Google choisir. Relisez les deux. Canonical pirates.
Couper sans éteindre les vraies langues
Un Disallow `/` ou un noindex global « le temps de trier » fait disparaître FR, EN et DE. Vos vrais marchés aussi. Isolez le préfixe fantôme. Les locales réelles restent en 200, avec leurs menus, leurs formulaires.
Attention au plugin de maintenance qui pose un noindex sur tout. Mode maintenance et indexation. Une page de maintenance sur l'URL de phishing, pas sur `/en/contact`.
Si une seule locale a été cloquée (souvent l'anglais, plus crawlé), ne « refondez pas » les autres. Nettoyez celle-là, vérifiez que le générateur ne se décline pas.
WPML, Polylang, et le thème qui réécrit
Le plugin de langues n'est rarement « le virus ». Comme Yoast, il est un véhicule : options, filtres, fichiers de mapping. Ne le désinstallez pas par panique : vous cassez les URL réelles et vous perdez le plan de site légitime. Relisez réglages, codes de langue actifs, répertoires.
Un thème ou un mu-plugin qui imprime des `<link rel="alternate">` passe après le plugin et gagne. Comparez le HTML source au réglage WPML. L'écart est le lieu du payload.
Headless : le front Next peut servir d'autres locales que le WP. Inspectez l'origine et les rewrites. WordPress headless. Rebuilder le front ne retire pas un sitemap WP pirate.
Réindexer locale par locale
Une fois les fantômes en 410 : resoumettez le sitemap de chaque locale vraie. Demandez l'indexation des homes linguistiques et de deux ou trois pages piliers par marché. Pas un blast de tout l'historique.
Search Console : si vous avez des propriétés préfixe `/en/` et `/de/`, regardez-les toutes. Une propriété domaine évite d'en oublier une. Les aperçus génératifs reprennent aussi ces associations. Résultats génératifs.
Délais : les titres se corrigent au fil des passages, pas en une nuit. Une à plusieurs semaines pour un gros volume. Les locales propres ne doivent pas attendre un « big bang » de refonte. Pas de refonte pendant le nettoyage.
Contrôles après quinze jours
`site:` sur chaque préfixe de langue. Inspection d'une URL FR et de son alternate déclaré. Un tour des sitemaps soumis. Si une quatrième langue réapparaît, la porte n'est pas fermée — souvent un cron ou un mu-plugin.
Surveillez les nouvelles locales comme vous surveillez les nouveaux PHP. Surveillance.
Vous pouvez déléguer en indiquant les langues officielles. C'est la première question utile. Tout le reste est fantôme jusqu'à preuve.