Le sitemap du plugin SEO et le sitemap pirate coexistent

Deux fichiers, un seul que vous assumez

Yoast sert `/sitemap_index.xml`. Rank Math aussi, à sa façon. WordPress cœur a `/wp-sitemap.xml`. À côté : `sitemap.xml` à la racine écrit à la main, `sitemap-news.xml`, un `google-sitemap.xml` de 40 000 URL asiatiques, un index qui liste des hôtes que vous n'avez pas. Google n'en choisit pas « le plus officiel ». Il les explore. Un prestataire qui « soumet tout ce qu'il trouve » pour accélérer accélère surtout le spam. Un seul tuyau, le vôtre, une fois qu'il ne liste plus que des URLs que vous assumez.

Le symptôme : `site:` explose, les sitemaps dans Search Console sont plusieurs, dont un que vous n'avez pas ajouté (découvert). Couper le générateur sans retirer le XML laisse le robot revenir par le fichier encore en 200.

C'est le pendant fichier du spam IA. Même ordre : source, mort des URL, puis tuyau d'annonce.

Où vit le pirate, concrètement

Un fichier physique à la racine ou dans un dossier. Un PHP qui génère du XML à la volée (l'URL n'existe pas sur le disque). Une option de plugin SEO enrichie. Un ping automatique depuis un cron. Cherchez les trois. Retirer le seul `.xml` visible laisse le PHP.

Les dates de modification groupées, un poids aberrant (dizaines de Mo), des `<loc>` hors métier : ça se voit en ouvrant le fichier, pas en « scannant le malware ».

Un sitemap soumis par un utilisateur Search Console inconnu : révoquez l'utilisateur, retirez le sitemap. Utilisateurs GSC.

• Fichiers `*sitemap*` à la racine et hors CMS.
• Règles de rewrite vers un générateur.
• Entrées Search Console « découvertes » vs « soumises ».

robots.txt, le panneau indicateur

Une ligne `Sitemap: https://…/le-pirate.xml` suffit. Relisez le `robots.txt` servi (URL `/robots.txt`), pas seulement le fichier disque : Yoast / Rank Math / un plugin peut le virtueliser. robots.txt modifié.

Ne Disallow pas tout le site pour « calmer les sitemaps ». Vous éteignez aussi vos locales et vos fiches. Ôtez la ligne Sitemap pirate, gardez le reste lisible.

Un `robots.txt` qui bloque Googlebot tout en annonçant un sitemap pirate est un classique de cloaking mal dégrossi. Les deux se corrigent.

Search Console : retirer, puis soumettre

Sitemaps : retirez (ou « ne plus suivre ») ceux que vous n'assumez pas. Soumettez l'index légitime une fois qu'il ne liste plus de locales fantômes ni de CPT pirate. Le retrait d'un sitemap n'efface pas les URL déjà indexées : il coupe l'annonce. Les 410 et le retrait de préfixe s'occupent du reste.

Ne déposez pas un réexamen Safe Browsing pour un seul problème de sitemap. Mauvais formulaire, mauvais délai. Blacklist si, et seulement si, il y a une alerte sécurité.

Propriété domaine : vous voyez les sitemaps de `www` et du nu. Un préfixe unique laisse un XML sur l'autre hôte. Propriété domaine vs URL.

Le plugin SEO n'est pas à jeter

Il a souvent annoncé ce que WordPress lui montrait, ou s'est fait doubler par un fichier à côté. Relisez ses cases (types de contenus, taxonomies). Ne le désinstallez pas par panique. Yoast / Rank Math.

Deux plugins SEO actifs = deux index, plus de confusion. Un seul, après clôture.

Désactiver les sitemaps du plugin « le temps que ça passe » tout en laissant le pirate en 200 n'aide pas. C'est l'inverse de l'ordre utile.

Sitemaps cœur WordPress et doublons

Depuis WP 5.5, le cœur expose `/wp-sitemap.xml`. Yoast le remplace souvent. Avoir les deux n'est pas un piratage : c'est un doublon. Après incident, choisissez-en un, désactivez l'autre proprement, pour lire un seul tuyau.

Le sitemap cœur liste parfois des users ou des taxonomies que vous ne voulez pas. Ce n'est pas du spam japonais, c'est un réglage. Distinguez avant de 410.

WooCommerce et les sitemaps produits : un générateur de produits fantômes les remplit. Traitez le générateur / les posts, pas seulement le XML. Woo tables.

Après la coupure : une semaine de `site:`

Le volume indexé baisse après les 410, pas après le seul retrait du sitemap. Surveillez l'apparition d'un nouveau XML. Surveillance.

Les aperçus génératifs se nourrissent encore des URL vivantes. Tuyau coupé + URL mortes. SGE.

Si le pirate réapparaît à J+3, la backdoor réécrit le fichier. Le sitemap n'était que le symptôme. Réinfection.

Multilingue et boutiques : plus de tuyaux

Un XML par locale, un index. Une locale fantôme a son propre sitemap. Multilingue / hreflang.

PrestaShop : modules sitemap, parfois un `1_index_sitemap.xml`. Même revue, autre chemin. Ne « sauvez » pas que WordPress sur un même compte.

Déclarer : listez les URL de sitemaps que Search Console connaît. C'est la carte du tuyau, cinq minutes, très utile.