Un sitemap XML pirate soumis à Google : comment le reconnaître
Un second `sitemap.xml`, ou le vôtre gonflé de milliers d'URL asiatiques ou de pharmacies : Google a une liste de courses que vous n'avez pas écrite. On retire le fichier, on soumet le plan réel, on bloque la régénération — sinon le robot revient avec la même liste demain.
Des milliers d'URL asiatiques ou de pharmacies, un second fichier sitemap. Retirez-le, soumettez le plan réel, bloquez sa régénération.
Reconnaître un plan de site qui n'est pas le vôtre
Ouvrez `/sitemap.xml` et `/sitemap_index.xml`. Des milliers d'URL, des slugs `best-casino`, des chemins `/jp/`, des dates toutes identiques : ce n'est pas votre blog de 40 pages. Comparez au nombre réel de contenus publiés. L'écart, c'est l'attaque.
Un sitemap « propre » de 40 URL plus un `sitemap-pharma.xml` à côté : le second suffit. Google les prend tous s'il les découvre (robots.txt, lien, soumission).
Le XML peut être généré à la volée par un PHP. Le fichier n'existe pas en FTP, l'URL répond 200. Cherchez la réécriture dans `.htaccess` et le plugin. Voir aussi robots.txt : une ligne `Sitemap:` pointe souvent ici.
Où il vit : racine, uploads, plugin
Fichier physique à la racine (`sitemap.xml`, `google-sitemap.xml`, `news-sitemap.xml`). Dossier dans `uploads` avec un index. Table d'options WordPress. Cron qui réécrit le fichier toutes les heures. Quatre logements, parfois plusieurs à la fois.
Un générateur de pages crée le HTML et met à jour le XML dans la même boucle. Retirer le XML sans le générateur, le fichier renaît. Traitez comme pages inconnues : le sitemap est l'accélérateur, pas le moteur.
Les copies `sitemap.xml.bak` en 200 sont crawlables. Retirez-les du webroot après copie hors serveur.
- Racine et variantes de nom.
- Uploads / dossier aléatoire.
- Réécriture PHP (pas de fichier).
- Option plugin SEO / XML Sitemaps.
Ce que Search Console a déjà avalé
Sitemaps dans GSC : listez tout. Un fichier soumis par un compte Search Console que vous ne reconnaissez pas est un signal d'accès Google, pas seulement de FTP. Voir aussi les utilisateurs GSC inconnus.
« URL découvertes » vs « indexées » : un sitemap pirate peut avoir poussé 8 000 découvertes pour 400 indexations. Ça suffit à noyer vos titres dans `site:`. Notez les chiffres avant de retirer : ils servent à mesurer J+15.
Ne demandez pas un réexamen Safe Browsing pour un sitemap SEO. Sauf si une URL du plan sert un kit d'hameçonnage en 200. Alors : couper l'URL, puis réexamen, 24 à 72 h.
Couper la régénération avant de soumettre
Trouver l'écrivain : cron, mu-plugin, fichier à la racine, champ « sitemap additionnel » d'un SEO plugin. Couper. Attendre une heure, recharger l'URL pirate : elle doit 404, pas se reconstruire.
Soumettre le plan réel pendant que l'écrivain tourne, c'est lui offrir une course. Google merge. Vous avez deux sources, la sale gagne souvent au volume.
Les permissions du fichier : s'il est réécrit malgré votre version, l'écrivain a encore un process. Panel + cron, même refrain que pour `.htaccess`.
Soumettre le sitemap légitime
Dans GSC : retirez (ou ignorez) le sitemap pirate, ajoutez celui du plugin SEO officiel (`sitemap_index.xml` Yoast, etc.). Une seule source. Demandez un traitement.
Le sitemap légitime ne doit lister que des 200 métier. Purgez-le des brouillons, des remerciements checkout, des pages auteur vides si elles ont été polluées.
Si le plugin officiel a été infecté (option en base listant des extra URLs), régénérez après avoir vidé l'option. Comparez le XML à votre liste d'articles. Voir XML Sitemaps vs pirate.
Les URL listées : 404, pas noindex de masse
Chaque URL spam encore en 200 reste une candidate à l'index, sitemap ou pas. Le générateur coupé, ces chemins doivent 404 ou 410. Un noindex de tout le domaine pour « nettoyer l'index » tue vos pages réelles.
Un retrait de préfixe GSC sur `/jp/` ou le dossier du kit, une fois les 404 en place. Pas d'URL à l'unité par milliers. Voir désindexer sans tuer le site.
`site:` restera sale des jours. Le critère de succès immédiat : inspection d'une URL spam = 404, inspection d'une URL métier = votre HTML.
Index, news, et sitemaps « images »
Les sitemaps news et video ont des règles strictes. Un faux news sitemap attire un crawl agressif et, parfois, un message GSC. Retirez-le ; ne « corrigez » pas un news pirate pour le rendre valide.
Un sitemap images qui pointe vers des JPG dans un dossier kit : les images peuvent être du texte SEO en EXIF ou des pages déguisées. Ouvrez le dossier, pas seulement le XML.
hreflang dans un sitemap vers des domaines tiers : autre variante. Les URL `xhtml:link` valent une lecture. Voir aussi les articles hreflang du site si le dossier recoupe.
Yoast, Rank Math, XML Sitemaps
Ces plugins ne créent pas des milliers d'URL casino tout seuls. Une option altérée, un filtre PHP ajouté dans le thème, un second plugin « XML Sitemaps » abandonné, oui. Désactivez les doublons. Un seul générateur légitime.
Rank Math et Yoast ensemble, plus Google XML Sitemaps de 2014 : trois plans, le plus sale gagne. Après incident, un seul reste.
Régénérer le sitemap (bouton du plugin) après nettoyage. Puis l'URL publique, puis GSC. Trois étages, trois caches possibles.
Contrôle à J+3 : le compteur d'URL
GSC → Sitemaps : le pirate à 0 découverte nouvelle, le légitime stable. `site:` : la pente compte plus que le stock. Une remontée nette à J+3 = écrivain vivant.
Relisez robots.txt. Une ligne Sitemap ressuscitée est le signal le moins cher à surveiller.
Vous pouvez déclarer le site. En attendant : 404 sur le XML pirate, soumission du plan réel, cron vérifié. Pas de roman dans GSC, pas de réexamen Safe Browsing hors kit.
- Écrivain coupé, URL pirate en 404.
- Un sitemap soumis, le vôtre.
- Préfixes spam en 410/404.
- Compteurs GSC notés pour J+15.