Pourquoi un attaquant vise votre référencement
Contrairement à une défiguration, une injection SEO n'a aucun intérêt à se montrer. Sa valeur pour l'attaquant vient précisément de sa discrétion : votre domaine a une réputation auprès de Google, et il la détourne pour vendre des produits illicites ou pousser d'autres sites. Plus longtemps l'injection reste invisible, plus elle rapporte. C'est pourquoi ces attaques emploient presque toujours du cloaking : servir un contenu différent selon qui regarde.
Les formes les plus courantes
Pharma hack
Vos pages se mettent à ranker sur Google pour des médicaments — Viagra, Cialis. Le contenu n'est visible que pour Googlebot ; vous, en visitant la page, vous ne voyez rien d'anormal.
Spam japonais (Japanese keyword hack)
Google indexe des centaines de pages en japonais sous votre domaine, souvent avec un plan du site parasite. Votre référencement légitime s'effondre, noyé sous ces pages.
Redirection conditionnelle
Un visiteur venu de Google est redirigé vers un autre site ; un visiteur qui tape directement l'URL, non. C'est ce qui rend le problème si difficile à reproduire : il ne se déclenche pas pour vous.
Injection de liens cachés
Des liens sortant vers des sites tiers sont insérés dans vos pages, en texte de la même couleur que le fond ou en position hors écran. Objectif : détourner l'autorité SEO de votre domaine.
Comment la repérer quand elle se cache de vous
- Cherchez votre propre site sur Google avec l'opérateur
site:votredomaine.fr. Des pages que vous n'avez jamais créées, dans une autre langue, ou aux titres douteux, sont un signal net. - Consultez votre site comme le voit Google. Dans la Search Console, l'outil d'inspection d'URL montre le rendu vu par le robot — c'est souvent là que le contenu injecté apparaît, alors qu'il est invisible dans votre navigateur.
- Vérifiez les redirections depuis un moteur de recherche, pas depuis votre barre d'adresse. La redirection ne se déclenche fréquemment que lorsque le référent est Google.
- Surveillez les pics d'impressions incohérents dans la Search Console : une soudaine visibilité sur des mots-clés sans rapport avec votre activité trahit des pages parasites indexées.
Où le code se loge
À la différence d'un webshell, l'injection SEO se cache souvent hors des fichiers :
- Dans la base de données — table
wp_optionsouwp_posts. Le contenu spam est stocké là et réinjecté à l'affichage. Un nettoyage qui ne touche que les fichiers le laisse intact. - Dans une tâche planifiée (cron WordPress) qui réécrit périodiquement le contenu, pour survivre à une suppression.
- Dans le fichier .htaccess, sous forme de règles de redirection conditionnelle.
- Dans functions.php du thème ou une extension factice, sous forme de code qui filtre selon le visiteur.
C'est ce qui rend l'injection SEO plus tenace qu'un fichier malveillant isolé : une analyse limitée aux fichiers passe à côté de la partie stockée en base.
Une précision honnête sur notre couverture
Genisoft Security analyse vos fichiers et, de façon ciblée, certaines entrées de base de données susceptibles d'être malveillantes — options et tâches planifiées, précisément là où l'injection SEO aime se loger. Cela dit, une injection profondément intégrée au contenu des articles peut demander une inspection manuelle de la base. Nous vous signalons les points d'entrée probables ; le retrait du contenu injecté dans vos publications reste une intervention que vous menez, car elle touche à vos données éditoriales.
Savoir si votre site est concerné
Notre analyse couvre les fichiers et certaines entrées de base de données. Chaque résultat est classé — menace confirmée, à vérifier, informatif — pour distinguer une vraie injection d'un simple code inhabituel. Vous pouvez consulter un rapport réel sans créer de compte.
Voir un rapport réel →Pour la suite — retrait du contenu injecté, demande de réexamen Google — voir que faire quand Google vous signale.