Symptômes · 9 min · publié le 1 juillet 2024

Un sitemap XML pirate soumis à Google : comment le reconnaître

Un second `sitemap.xml`, ou le vôtre gonflé de milliers d'URL asiatiques ou de pharmacies : Google a une liste de courses que vous n'avez pas écrite. On retire le fichier, on soumet le plan réel, on bloque la régénération — sinon le robot revient avec la même liste demain.

Réponse directe

Des milliers d'URL asiatiques ou de pharmacies, un second fichier sitemap. Retirez-le, soumettez le plan réel, bloquez sa régénération.

sitemap pirate sitemap spam google sitemap.xml hack

Reconnaître un plan de site qui n'est pas le vôtre

Ouvrez `/sitemap.xml` et `/sitemap_index.xml`. Des milliers d'URL, des slugs `best-casino`, des chemins `/jp/`, des dates toutes identiques : ce n'est pas votre blog de 40 pages. Comparez au nombre réel de contenus publiés. L'écart, c'est l'attaque.

Un sitemap « propre » de 40 URL plus un `sitemap-pharma.xml` à côté : le second suffit. Google les prend tous s'il les découvre (robots.txt, lien, soumission).

Le XML peut être généré à la volée par un PHP. Le fichier n'existe pas en FTP, l'URL répond 200. Cherchez la réécriture dans `.htaccess` et le plugin. Voir aussi robots.txt : une ligne `Sitemap:` pointe souvent ici.

Où il vit : racine, uploads, plugin

Fichier physique à la racine (`sitemap.xml`, `google-sitemap.xml`, `news-sitemap.xml`). Dossier dans `uploads` avec un index. Table d'options WordPress. Cron qui réécrit le fichier toutes les heures. Quatre logements, parfois plusieurs à la fois.

Un générateur de pages crée le HTML et met à jour le XML dans la même boucle. Retirer le XML sans le générateur, le fichier renaît. Traitez comme pages inconnues : le sitemap est l'accélérateur, pas le moteur.

Les copies `sitemap.xml.bak` en 200 sont crawlables. Retirez-les du webroot après copie hors serveur.

  • Racine et variantes de nom.
  • Uploads / dossier aléatoire.
  • Réécriture PHP (pas de fichier).
  • Option plugin SEO / XML Sitemaps.

Ce que Search Console a déjà avalé

Sitemaps dans GSC : listez tout. Un fichier soumis par un compte Search Console que vous ne reconnaissez pas est un signal d'accès Google, pas seulement de FTP. Voir aussi les utilisateurs GSC inconnus.

« URL découvertes » vs « indexées » : un sitemap pirate peut avoir poussé 8 000 découvertes pour 400 indexations. Ça suffit à noyer vos titres dans `site:`. Notez les chiffres avant de retirer : ils servent à mesurer J+15.

Ne demandez pas un réexamen Safe Browsing pour un sitemap SEO. Sauf si une URL du plan sert un kit d'hameçonnage en 200. Alors : couper l'URL, puis réexamen, 24 à 72 h.

Couper la régénération avant de soumettre

Trouver l'écrivain : cron, mu-plugin, fichier à la racine, champ « sitemap additionnel » d'un SEO plugin. Couper. Attendre une heure, recharger l'URL pirate : elle doit 404, pas se reconstruire.

Soumettre le plan réel pendant que l'écrivain tourne, c'est lui offrir une course. Google merge. Vous avez deux sources, la sale gagne souvent au volume.

Les permissions du fichier : s'il est réécrit malgré votre version, l'écrivain a encore un process. Panel + cron, même refrain que pour `.htaccess`.

Un cache (LiteSpeed, Cloudflare) peut resservir l'ancien XML. Videz après la 404 réelle côté origine.

Soumettre le sitemap légitime

Dans GSC : retirez (ou ignorez) le sitemap pirate, ajoutez celui du plugin SEO officiel (`sitemap_index.xml` Yoast, etc.). Une seule source. Demandez un traitement.

Le sitemap légitime ne doit lister que des 200 métier. Purgez-le des brouillons, des remerciements checkout, des pages auteur vides si elles ont été polluées.

Si le plugin officiel a été infecté (option en base listant des extra URLs), régénérez après avoir vidé l'option. Comparez le XML à votre liste d'articles. Voir XML Sitemaps vs pirate.

Les URL listées : 404, pas noindex de masse

Chaque URL spam encore en 200 reste une candidate à l'index, sitemap ou pas. Le générateur coupé, ces chemins doivent 404 ou 410. Un noindex de tout le domaine pour « nettoyer l'index » tue vos pages réelles.

Un retrait de préfixe GSC sur `/jp/` ou le dossier du kit, une fois les 404 en place. Pas d'URL à l'unité par milliers. Voir désindexer sans tuer le site.

`site:` restera sale des jours. Le critère de succès immédiat : inspection d'une URL spam = 404, inspection d'une URL métier = votre HTML.

Index, news, et sitemaps « images »

Les sitemaps news et video ont des règles strictes. Un faux news sitemap attire un crawl agressif et, parfois, un message GSC. Retirez-le ; ne « corrigez » pas un news pirate pour le rendre valide.

Un sitemap images qui pointe vers des JPG dans un dossier kit : les images peuvent être du texte SEO en EXIF ou des pages déguisées. Ouvrez le dossier, pas seulement le XML.

hreflang dans un sitemap vers des domaines tiers : autre variante. Les URL `xhtml:link` valent une lecture. Voir aussi les articles hreflang du site si le dossier recoupe.

Yoast, Rank Math, XML Sitemaps

Ces plugins ne créent pas des milliers d'URL casino tout seuls. Une option altérée, un filtre PHP ajouté dans le thème, un second plugin « XML Sitemaps » abandonné, oui. Désactivez les doublons. Un seul générateur légitime.

Rank Math et Yoast ensemble, plus Google XML Sitemaps de 2014 : trois plans, le plus sale gagne. Après incident, un seul reste.

Régénérer le sitemap (bouton du plugin) après nettoyage. Puis l'URL publique, puis GSC. Trois étages, trois caches possibles.

Contrôle à J+3 : le compteur d'URL

GSC → Sitemaps : le pirate à 0 découverte nouvelle, le légitime stable. `site:` : la pente compte plus que le stock. Une remontée nette à J+3 = écrivain vivant.

Relisez robots.txt. Une ligne Sitemap ressuscitée est le signal le moins cher à surveiller.

Vous pouvez déclarer le site. En attendant : 404 sur le XML pirate, soumission du plan réel, cron vérifié. Pas de roman dans GSC, pas de réexamen Safe Browsing hors kit.

  • Écrivain coupé, URL pirate en 404.
  • Un sitemap soumis, le vôtre.
  • Préfixes spam en 410/404.
  • Compteurs GSC notés pour J+15.

Questions fréquentes

Puis-je noindex le sitemap pirate ?

+
Mieux : 404. Un sitemap en 200 noindex reste une source d'URL. Google n'a pas besoin d'indexer le XML pour en lire les loc.

Je n'utilise pas de sitemap. Je dois en créer un ?

+
Pas obligatoire pour un petit site. Après un incident à milliers d'URL, un sitemap propre aide le robot à retrouver le métier. Posez-le une fois le générateur mort.

GSC dit « sitemap impossible à lire » sur le mien, et le pirate passe.

+
Le vôtre a peut-être été cassé (HTML au lieu de XML, 500). Réparez-le. Le pirate « valide » n'est pas un modèle à suivre ; c'est l'outil de l'attaque.

Combien de temps avant que les milliers d'URL partent de `site:` ?

+
Une à plusieurs semaines selon le volume. Le sitemap n'est qu'un accélérateur ; le frein, c'est 404 + temps. Distinct de Safe Browsing.

Un prestataire SEO a soumis un sitemap, c'est lui ?

+
Demandez-lui la liste d'URL. S'il ne la reconnaît pas, ce n'est pas lui — ou son compte GSC a été pris. Vérifiez les utilisateurs Search Console.
À lire ensuite
robots.txt modifié Pages spam dans Google Guide pages spam Désindexer des pages piratées Spam SEO japonais Déclarer mon site