Vérification des injections
Liens spam de sites piratés : trouver des pages que vous n'avez pas publiées
Certains afflux de liens ne visent pas votre site. Ils pointent vers des pages de qualité inférieure qu'un attaquant a plantées sur votre domaine, et la solution commence par votre serveur, et non par un fichier disavow.
Erreurs et corrections après une injection
| Erreur | Pourquoi cela nuit | Correction |
|---|---|---|
| Supprimer les pages spam et s'arrêter là | La porte dérobée reste ouverte et les pages réapparaissent | Trouver le point d'entrée : plugin obsolète, mot de passe volé, compte FTP ou SSH faible |
| Désavouer les liens vers les URL injectées | Les liens vers des pages qui n'existent plus n'ont pas besoin d'un fichier | Renvoyer un 404 ou un 410 pour les pages et les laisser disparaître |
| Bloquer les URL spam dans robots.txt | Google ne peut pas voir qu'elles ont disparu | Autoriser le crawl, servir un 410, puis demander la suppression si nécessaire |
| Sauter le .htaccess et la base de données | Les redirections et les articles spam se cachent là | Rechercher dans les fichiers et la table des articles, pas seulement dans le dossier du thème |
| Demander une révision avant que le site ne soit propre | La demande est rejetée et du temps est perdu | Nettoyer, vérifier, puis soumettre |
Comment une injection se manifeste dans les données de liens
Le motif est étrange. Votre liste de pages principales contient des URL que vous ne reconnaissez pas, souvent avec des paramètres étranges ou des mots japonais ou pharmaceutiques dans le chemin.
Appelez toppages pour votre domaine et lisez la liste lentement, car un site normal a sa page d'accueil, quelques guides et quelques produits en haut. Les lignes qui ressemblent à /wp-content/uploads/xyz-cheap-watches.html signifient que quelqu'un a placé des pages sur votre domaine puis a construit des liens vers celles-ci.
Une recherche site:yourdomain.com dans Google, combinée à des mots tels que casino ou replica, trouve la version indexée de la même histoire. Les données de liens vous indiquent quelles pages l'attaquant a jugées dignes d'être promues, et cela vous indique où commencer le nettoyage.
Trouver les pages plantées sans crawler
Avant d'acheter un outil pour les liens spam des sites piratés, lisez ce que vous avez déjà. L'export des pages principales, la liste des pages indexées dans Search Console et une simple liste de dossiers sur le serveur montrent chacun une partie différente du même problème. Comparez les trois.
Cherchez des dossiers que vous n'avez pas créés. Les attaquants déposent souvent un répertoire avec un nom de produit, ou réutilisent un dossier de téléchargement que votre CMS ne touche jamais. Comptez les fichiers dans chacun. Des doublons quasi identiques sont difficiles à expliquer.
Lisez l'arborescence des dossiers
L'arborescence de fichiers de votre serveur doit correspondre à la structure de votre site. Un dossier avec des caractères aléatoires, ou une copie d'un plugin avec un mot supplémentaire dans son nom, mérite un examen. Notez les dates de modification, mais ne vous y fiez pas seul, car les horodatages peuvent être modifiés.
Notez chaque dossier que vous ne pouvez pas expliquer. Un dossier inexpliqué n'est pas la preuve d'une attaque, mais c'est une question à laquelle vous devez répondre avant de déclarer le site propre.
Conservez la liste de référence avec vos exports. La prochaine personne qui lira l'incident devra voir ce qui a été vérifié, ce qui était propre et ce qui a été supprimé, dans cet ordre.
Comparez les titres et les descriptions
Un CMS piraté réécrit parfois les titres et les descriptions sur des centaines de pages à la fois. Exportez les titres de vos pages indexées et triez-les. L'export revient sous forme de liste lisible. Une phrase familière répétée rend le motif visible en quelques minutes, et cela montre quels modèles ont été modifiés.
Vérifiez les descriptions de la même manière. Si elles mentionnent des produits que vous n'avez jamais vendus, vous avez trouvé une deuxième couche de l'injection.
Si les titres n'ont changé que sur des pages que vous ne reconnaissez pas, les pages plantées racontent toute l'histoire. Si elles ont changé sur des pages que vous reconnaissez encore, le modèle a été touché, et la correction se trouve dans votre thème.
- Titres partageant une phrase inconnue
- Descriptions mentionnant des produits que vous ne vendez pas
- Pages sans lien depuis votre propre navigation
Vérifiez le code source de la page
Affichez le code source de votre page d'accueil et de quelques guides. Les liens injectés se trouvent souvent dans les pieds de page, dans des blocs cachés ou à l'intérieur d'un script chargé depuis un autre hôte. Les blocs cachés restent invisibles à l'écran. Lisez le HTML brut.
Notez chaque domaine externe chargé par le code source. Un domaine que vous ne pouvez pas nommer dans votre propre pile mérite une ligne dans le journal d'incident. Un tirage toppages coûte 2 crédits et retourne du JSON, vous pouvez donc placer ces liens plantés à côté des pages plantées dans une seule feuille.
Ordre de nettoyage
- Mettez le site derrière une page de maintenance ou restreignez l'accès admin pendant que vous travaillez
- Changez chaque identifiant : hébergement, base de données, admins CMS, clés FTP et SSH
- Mettez à jour le CMS, les thèmes et les plugins ; supprimez tout ce qui est abandonné
- Comparez les fichiers avec une copie propre ou un téléchargement frais de votre CMS
- Recherchez dans la base de données les articles injectés, les liens et les utilisateurs admin inconnus
- Servez un 404 ou un 410 pour les URL plantées et soumettez un nouveau sitemap
- Vérifiez les problèmes de sécurité et les actions manuelles dans Search Console après le nettoyage
Pourquoi le point d'entrée compte plus que le nettoyage
Supprimer les pages spam est la moitié visible du travail. La moitié invisible est le point d'entrée, et cette voie reste généralement ouverte jusqu'à ce que quelqu'un la trouve. Mettez le point d'entrée en premier. Pas en dernier.
Si vous le manquez, les pages plantées réapparaissent en quelques jours, et le nettoyage recommence à zéro. Le résultat est une boucle de nettoyage, de réinfection et de nouveau nettoyage, et chaque passage coûte du temps que vous ne pouvez pas vous permettre pendant un incident.
Plugins et thèmes obsolètes
Les anciens composants sont une porte commune. Mettez à jour le CMS, chaque thème et chaque plugin, puis supprimez tout ce qui est abandonné. Un plugin sans mises à jour récentes n'est pas sûr, même s'il fonctionne encore.
Notez ce que vous avez supprimé et quand. Cette liste est une preuve utile si un hébergeur ou un moteur de recherche demande plus tard ce qui s'est passé.
Mots de passe réutilisés ou volés
Un mot de passe utilisé sur un deuxième site, ou conservé dans un tableau partagé, peut donner à un attaquant le même accès demain. Changez les identifiants d'hébergement, de base de données, d'admin CMS, FTP et SSH ensemble, pas un par un. Sinon, l'attaquant conserve toujours une clé fonctionnelle.
Supprimez les utilisateurs admin que vous ne reconnaissez pas, et vérifiez à nouveau la liste après le changement de mot de passe.
Fichiers de vérification que vous n'avez pas ajoutés
Un attaquant avec accès aux fichiers peut également ajouter un fichier de vérification pour votre propriété Search Console. Vérifiez la liste des propriétaires et supprimez toute personne que vous ne reconnaissez pas. Ensuite, cherchez dans le dossier racine les fichiers HTML que vous n'avez jamais téléchargés.
Répétez la vérification des propriétaires une semaine après le nettoyage. Cela prend une minute, et cela attrape le cas où l'accès a été conservé discrètement.
Priorité
Fermez la porte avant de balayer le sol
Si le point d'entrée reste ouvert, les pages spam réapparaissent en quelques jours. Les données de liens vous aident à trouver ce qui a été promu, mais la cause est sur le serveur. Un scan de malware par votre hébergeur ou Sucuri est un premier appel sensé.
- Traitez les liens vers les URL injectées mortes comme inoffensifs
- Conservez l'export toppages comme preuve de ce qui s'est passé
- Ajoutez le domaine à votre surveillance mensuelle ensuite, voir le guide de configuration
Sitemaps, titres et données structurées après un nettoyage
Une fois les URL plantées supprimées, trois endroits peuvent encore contenir l'ancienne histoire. Chacun est rapide à vérifier. Facile à oublier aussi. Donnez à chacun une ligne dans votre journal d'incident.
Utilisez le même export daté que vous avez fait au début, afin de voir exactement ce qui a changé.
Sitemaps
Ouvrez le sitemap généré par votre CMS et lisez chaque URL. Les pages plantées montent parfois dans un sitemap construit par un plugin, et un sitemap rempli de bruit indique aux crawlers où aller. Régénérez le fichier après le nettoyage, puis soumettez-le à nouveau.
Conservez l'ancien sitemap comme preuve plutôt que de le supprimer.
Données structurées
Certaines balises injectées décrivent des produits ou des avis qui n'ont jamais existé sur votre site. Vérifiez le code source de la page pour les blocs schema que vous n'avez pas ajoutés, et testez quelques URL plantées avec un outil de test de données structurées.
Toute balise que vous ne pouvez pas retracer jusqu'à vos modèles est une tâche de suppression, pas une tâche de contenu.
Utiliser l'API pour évaluer l'ampleur des dégâts
Tirez les pages principales
action=toppages&q=yourdomain.com&per=1000. Deux crédits, $0.0002.
Marquez ce que vous reconnaissez
Copiez les lignes dans une feuille et indiquez chaque URL comme étant la vôtre ou non. Le groupe inconnu est l'empreinte de l'injection.
Tirez les domaines référents pour une page plantée
action=backlinks retourne les pages qui lient. Si elles proviennent de centaines de domaines non liés avec le même anchor text, vous avez la signature de pic.
Relancez après le nettoyage
Le prochain rafraîchissement mensuel devrait montrer ces URL en baisse, bien que les liens morts puissent rester listés pendant un certain temps.
Questions fréquentes
Dois-je désavouer les liens vers les pages piratées ?
Normalement non. Si les pages renvoient maintenant un 404 ou un 410, les liens pointent vers rien. Consacrez l'effort à la suppression de la porte dérobée. Désavouez seulement si une action manuelle cite ces liens ou si vous pouvez montrer un schéma évident de paiement.
Combien de temps avant que le spam disparaisse de Google ?
Cela varie selon le taux de crawl et la taille du site. Servir un 410 clair et soumettre un sitemap mis à jour accélère les choses, mais nous ne promettrons pas de date. Vérifiez Search Console après chaque tirage mensuel.
