Réparation rapide du piratage par mots clés Japonais

Votre site web s’affiche en japonais sur Google alors qu’il est en français ? Vous découvrez des titres ou descriptions étranges en japonais dans les résultats de recherche de vos pages ? Pas de panique, il s’agit probablement d’une attaque connue sous le nom de piratage par mots-clés japonais (ou Japanese Keyword Hack).

Dans cet article, nous vous expliquons en termes simples de quoi il retourne, comment détecter ce piratage SEO rapidement, nettoyer votre site en toute sécurité, et enfin quelles mesures prendre pour prévenir un nouveau hack.

Qu’est-ce que le piratage par mots-clés japonais ?

Le piratage par mots-clés japonais, aussi appelé Japanese Keyword Hack ou parfois spam SEO japonais, est une technique de cloaking malveillante utilisée par des hackers. Concrètement, ils exploitent une faille sur votre site (souvent un plugin ou un thème WordPress vulnérable, mais pas uniquement) pour y injecter des contenus en japonais générés automatiquement.

Ces pages en japonais sont généralement dissimulées aux visiteurs classiques mais présentées aux moteurs de recherche comme Google, c’est le principe du “cloaking”. Ainsi, votre site se met à publier, à votre insu, des centaines voire des milliers de pages factices rédigées en japonais.

Voici comment Google voit votre site :

Le but de ce hack de mots-clés japonais est purement SEO black hat : les pirates cherchent à détourner le référencement de votre site à leur profit. Ils créent des pages optimisées sur des mots-clés en japonais (souvent sans rapport avec votre thématique) afin d’attirer du trafic organique sur ces pages.

À l’intérieur, ils insèrent des liens (backlinks cachés) vers d’autres sites, par exemple leur boutique de produits contrefaits ou de faux sites d’affiliation. Votre site piraté sert alors de réseau pour améliorer le SEO d’un site tiers ou pour rediriger des visiteurs vers des offres illégales. C’est une forme de piratage SEO qui manipule vos balises meta (titre, description) et votre contenu pour servir les intérêts du hacker.

Ce piratage est particulièrement perfide car il est souvent invisible au premier abord pour vous ou vos visiteurs habituels. Souvent, les hackers mettent en place un système de contenu masqué, si vous ouvrez directement une page piratée depuis votre navigateur, elle peut ne pas s’afficher (erreur 404 par exemple), mais Googlebot, lui, voit bien le texte japonais et l’indexe. C’est pourquoi on parle de cloaking japonais.

Voici à quoi votre site pourrait ressembler lors d’une recherche, suite à une attaque :

De votre côté, vous allez constater quelques dysfonctionnements mais pas forcément de changements au niveau de l’affichage des pages.

Pourquoi ce piratage est un problème grave pour votre site ?

Outre la présence de contenu indésirable, le piratage par mots-clés japonais a des conséquences néfastes sur votre site :

• Détérioration du référencement naturel – Google détecte un grand nombre de pages spam de faible qualité sur votre domaine. Votre SEO en souffre, votre PageRank interne se dilue vers ces pages pirates, et votre site peut perdre de nombreuses positions sur ses mots-clés habituels. Il n’est pas rare de constater une chute brutale de trafic organique (parfois -80 % ou plus) quelques jours ou semaines après le hack.
• Risques de pénalité ou de désindexation – Si Google identifie le piratage, il peut appliquer une action manuelle pour « site piraté » sur votre site. Dans ce cas, un message apparaîtra dans la Search Console et vos pages légitimes pourraient être moins bien classées, voire temporairement supprimées des résultats. De plus, tant que les pages japonaises infestent votre site, Google peut refuser d’indexer vos nouveaux contenus légitimes (il “blacklist” provisoirement le site au niveau de l’indexation pour éviter le spam).
• Mauvaise expérience utilisateur et image ternie – Vos visiteurs ou clients peuvent tomber sur des résultats Google en japonais associés à votre site, ou pire, être redirigés vers des sites frauduleux en cliquant sur vos pages compromises. Cela crée de la confusion et nuit gravement à la confiance qu’ils vous accordent. Un utilisateur lambda qui voit votre site afficher des titres en japonais pensera à du contenu pornographique ou du phishing et évitera de cliquer.
• Faille de sécurité sous-jacente – Ce type de hack révèle que votre site a une porte d’entrée non sécurisée (logiciel obsolète, mot de passe faible, etc.). Le hacker qui a pu injecter du contenu aurait pu aussi accéder à des données sensibles. Il y a donc un risque de vol de données (informations clients, emails, etc.) ou d’infection par d’autres malwares. Ignorer le problème, c’est laisser la porte ouverte à d’autres exploitations.
• Coût de nettoyage et efforts supplémentaires – Enfin, réparer un site piraté demande du temps ou de l’argent (faire appel à un spécialiste). Pendant ce temps, votre activité en ligne est perturbée. De plus, certaines plateformes externes comme Netcraft ou les navigateurs web (Chrome, Firefox) pourraient signaler votre site comme dangereux, entraînant possiblement une mise hors-ligne par votre hébergeur jusqu’à résolution. Tout cela peut engendrer un manque à gagner et des frais imprévus pour remettre le site d’aplomb.

Cas typique de perte de position suite à ce type de piratage :

Points clés :

Comment savoir si votre site est victime du Japanese Keyword Hack ?

Plusieurs signes révélateurs peuvent vous alerter d’un piratage par mots-clés japonais. Voici les principales vérifications à effectuer :

1. Votre site s’affiche en japonais dans les résultats de recherche

C’est souvent le premier symptôme. Tapez la commande site:mon-domaine.fr dans Google (en remplaçant mon-domaine.fr par votre nom de domaine). Cette recherche affiche toutes les pages indexées de votre site.

Si vous voyez apparaître de nombreuses pages au titre rédigé en japonais, ou des extraits de description en japonais qui ne correspondent à aucun contenu légitime de votre site, c’est quasiment certain : votre site a été piraté par ce procédé.

En général, les pages injectées ont des URLs étranges ou de nouveaux répertoires sur votre site (par exemple /product-list/{caractères-japonais}.html, ou des suites de mots aléatoires). De plus, ces résultats comportent souvent des étoiles de notation ⭐ comme si votre page avait des avis (rich snippets).

Ces étoiles subites sont ajoutées par le hacker via du code JSON-LD caché pour attirer l’œil de l’internaute sur ses pages frauduleuses. Si votre site n’avait jamais affiché d’étoiles dans Google et que soudain plusieurs résultats en affichent, c’est un autre indice de spam.

2. Alerte de sécurité dans Google Search Console

Google Search Console (GSC) est votre allié pour repérer ce genre de hack. Connectez-vous à votre compte GSC associé au site. Si le piratage est massif et détecté par Google, vous pourriez voir une alerte “Sécurité et actions manuelles” indiquant que votre site a été piraté avec du spam. Allez dans l’onglet « Sécurité et actions manuelles » > « Actions manuelles » pour vérifier. Si une action manuelle “Site piraté” est listée, Google vous notifie explicitement le problème.

Par ailleurs, même sans action manuelle, regardez dans le rapport Couverture de la Search Console car une augmentation soudaine et importante du nombre de pages indexées (par rapport à d’habitude) est un signe.

Par exemple, votre site passait de 50 pages indexées à 5 000 en quelques jours, cela révèle la présence de milliers de pages factices. Identifiez dans ce rapport les URLs inhabituelles qui ont été indexées récemment, cela confirmera l’infection.

3. Réception d’e-mails suspects de Google

Les hackers, une fois en place, tentent souvent de consolider leur accès. Il arrive fréquemment qu’ils ajoutent leur propre compte en tant que propriétaire de votre site dans Search Console (pour faciliter l’indexation de leurs pages spam).

Si vous recevez un e-mail de Google du type « Un nouveau propriétaire a été ajouté à la propriété GSC de votre-site.com » ou « votre propriété a été vérifiée par … » alors que vous n’en êtes pas l’auteur, c’est un gros drapeau rouge !

Cela signifie que le pirate a réussi à valider un accès (via un fichier HTML uploadé ou une balise meta placée dans votre code). Ne tardez pas à réagir dans ce cas (nous verrons plus bas comment révoquer ces accès).

4. Site mis en maintenance par l’hébergeur

Certains hébergeurs détectent les activités anormales. Si votre site affiche soudain une page de maintenance forcée (alors que vous n’avez rien déclenché) ou si vous recevez un mail de votre hébergeur indiquant la suspension de votre site pour cause de “contenu malveillant” ou “phishing”, c’est possiblement lié à ce piratage.

L’hébergeur a peut-être repéré un trafic sortant massif ou des scripts douteux et a bloqué l’accès par précaution. Consultez alors les instructions données par l’hébergeur dans son mail pour savoir quels fichiers posent problème.

5. Redirections ou comportements étranges du site

Un site victime de ce hack peut présenter d’autres symptômes de piratage :

• Des redirections inattendues – Vous ou vos utilisateurs êtes redirigés sans raison vers un autre site en visitant certaines pages. Souvent, il s’agit de redirections vers des sites de pubs, de loteries, de phishing ou de faux antivirus. Les pirates intègrent parfois du code de redirection sur les pages infectées pour monétiser davantage. Si en naviguant sur votre propre site vous êtes envoyé sur steadycaptcha\.com, cartoonmines\.com, freevar\.com, shbzek\… etc. (ou d’autres domaines louches), c’est que votre site est compromis. Ce sont des domaines connus pour héberger des redirections malveillantes.
• Ralentissements inhabituels – Votre site devient soudain très lent sans raison apparente. Le pirate peut utiliser les ressources de votre serveur pour créer et charger des milliers de pages, ou pour exécuter d’autres scripts malveillants en tâche de fond. Cela surcharge le CPU ou la base de données, d’où des temps de chargement beaucoup plus élevés qu’avant.
• Messages d’avertissement dans les navigateurs. En tentant d’accéder à votre site, vous voyez une page d’avertissement (écran rouge) sur Chrome/Firefox indiquant *« Site trompeur »* ou *« Logiciel malveillant détecté »*. Cela signifie que des signalements ont classé votre site comme dangereux, souvent suite à ce type de piratage. Les navigateurs protègent alors les utilisateurs en bloquant l’accès, ce qui bien sûr fait fuir vos visiteurs.

6. Utiliser un outil de détection de contenu caché

Certains outils en ligne peuvent vous aider à voir ce que voit Google sur vos pages. Par exemple, le site cloaking.fr propose un outil gratuit pour “simuler” la visite de Googlebot. Vous entrez l’URL de votre page et il vous montrera si du contenu caché (en japonais, en l’occurrence) est présent dans le code HTML livré à Google. C’est très utile pour repérer du contenu cloqué qui ne s’affiche pas normalement à l’écran.

Alternativement, vous pouvez utiliser la Google Search Console dans le tableau de bord, en haut, utilisez la barre “Inspecter n’importe quelle URL” et collez l’URL suspecte. GSC vous indiquera si l’URL est indexée et vous pourrez voir une version restituée (bouton Voir la version indexée ou Tester la version en direct). Si la prévisualisation montre du texte japonais alors que votre site n’en contient pas normalement, vous avez la preuve du piratage par cloaking.

Si vous avez repéré et nettoyé le serveur, vous risquez de voir des milliers de pages s’indexer malgré leur suppression. Ce hack génère tellement d’url, qu’elles se mettent en attente d’indexation et cela peut durer plusieurs semaines voir plusieurs mois avant de s’en débarrasser définitivement.

Comment supprimer le piratage « mots-clés japonais » de votre site ?

Une fois le diagnostic posé, il faut passer à l’action. Nettoyer ce Japanese Keyword Hack demande de la méthode pour n’oublier aucune porte dérobée laissée par le pirate. Voici les étapes recommandées pour désinfecter votre site piraté :

1. Sauvegardez votre site avant toute intervention

Avant de modifier ou supprimer quoi que ce soit, effectuez une backup complète de votre site (fichiers + base de données). Certes, il contient du contenu malveillant, mais en cas de fausse manipulation, vous serez heureux d’avoir une copie de secours.

Sauvegardez localement vos fichiers du serveur (par FTP) et exportez votre base de données SQL. Cette précaution prise, vous pouvez procéder aux étapes suivantes plus sereinement.

2. Révoquez les accès pirates à la Search Console

Si un compte étranger a été ajouté sur votre Search Console (comme mentionné plus haut), supprimez-le sans tarder :

• Dans GSC, rendez-vous dans Paramètres > Utilisateurs et autorisations.
• Retirez tout utilisateur inconnu de la liste, en particulier s’il est propriétaire validé.

Si le hacker était propriétaire validé, il a pu utiliser un jeton de vérification (fichier HTML, enregistrement DNS, balise meta). Il faut alors supprimer ce jeton pour l’empêcher de se rajouter à nouveau. Cherchez sur votre hébergement un fichier HTML du type googleXXXXX.html (où XXXXX est un code) à la racine du site et supprimez-le s’il n’est pas légitime. De même, ouvrez votre code HTML (fichier <head>) et retirez toute meta tag de vérification Google inconnue.

3. Inspectez et nettoyez le fichier .htaccess

Le fichier .htaccess (sur les serveurs Apache, courant pour WordPress) est une cible privilégiée des pirates SEO. Ils peuvent y insérer des règles de redirection ou de réécriture d’URL pour rendre accessibles leurs pages ou cacher leur présence.

Téléchargez le fichier .htaccess situé à la racine de votre site et ouvrez-le avec un éditeur de texte. Examinez-le attentivement : toute ligne suspecte ou ajout inconnu doit être supprimé ou commenté.

Concrètement, si vous voyez des blocs de code incompréhensibles, des suites de caractères aléatoires, ou des directives de redirection vers des URLs externes louches, c’est qu’il a été modifié par le pirate. Si vous disposez d’une ancienne version saine de ce fichier (dans une sauvegarde), comparez-les ou remplacez carrément le fichier actuel par la version propre.

4. Supprimez les fichiers et scripts malveillants

C’est probablement l’étape la plus longue, il faut faire la chasse aux fichiers infectés sur votre hébergement. Connectez-vous en FTP ou via le gestionnaire de fichiers de votre hébergeur et parcourez l’arborescence de votre site :

• Repérez les fichiers ou dossiers ajoutés récemment (autour de la date du piratage). Souvent, les pages japonaises sont générées dans de nouveaux répertoires aux noms trompeurs (par ex. un dossier /cache/, /tmp/ ou /vendor/ créé à l’intérieur de wp-content/uploads/ avec plein de fichiers PHP à l’intérieur). Les dates de modification sont vos amies, listez les fichiers par date descendante pour voir ceux modifiés lors de l’attaque.
• Scrutez les fichiers au nom évocateur (par ex. japan.php, keyword.php, db_cache.php ou n’importe quel nom qui ne correspond pas à vos plugins/thèmes connus). Ouvrez-les si besoin (en code) pour confirmer s’ils contiennent du code malveillant ou du texte japonais codé (souvent encodé en base64 pour le cacher).
• Supprimez tous les fichiers identifiés comme malveillants. Important: ne laissez aucune porte dérobée. Les pirates cachent parfois des backdoors un peu partout (dans wp-config.php, dans des fichiers core WordPress modifiés, etc.). Recherchez des lignes de code suspectes dans vos fichiers PHP, en particulier en haut ou bas de fichiers comme wp-config.php ou index.php. Tout code inconnu qui crée des fonctions obscures doit être nettoyé.
• Utilisez des outils de scan si disponibles : votre hébergement cPanel propose peut-être un « Virus Scanner » ou un outil de détection de malwares. Des plugins de sécurité WordPress comme Wordfence ou All In One WP Security peuvent également détecter des fichiers infectés et du contenu inséré en base de données. N’hésitez pas à les utiliser pour vous aider (après avoir mis à jour tous vos plugins, voir étape suivante).

5. Mettez à jour et renforcez votre CMS

Cette étape va de pair avec la précédente. Le fait d’avoir été piraté signifie qu’une vulnérabilité existait. Il est impératif, après avoir supprimé les fichiers malveillants* de mettre à jour votre CMS, vos thèmes et vos plugins à la dernière version.

Dans WordPress par exemple, commencez par la mise à jour du core (si une version plus récente est disponible), puis de chaque extension et thème installés.

Pourquoi maintenant et pas avant ? Parce que si vous mettez à jour avant de nettoyer, certaines mises à jour pourraient échouer ou les fichiers infectés pourraient persister malgré la mise à jour.

En revanche, une fois le gros du ménage fait, la mise à jour comblera la faille qui a pu être exploitée. N’oubliez pas non plus de supprimer tout plugin/thème inutilisé de votre installation, moins vous avez de portes potentielles, mieux c’est.

6. Restaurez une sauvegarde saine (en dernier recours)

Si malgré tout, le nettoyage manuel est trop complexe ou incertain, une solution radicale consiste à restaurer une sauvegarde antérieure à l’attaque. Reprenez une backup du site (fichiers + base de données) d’une date où le piratage n’avait pas encore eu lieu.

Après restauration, le site devrait revenir dans son état propre. Cependant, ne vous croisez pas les bras car la faille initiale sera toujours présente tant que vous n’aurez pas mis à jour et sécurisé le site. Appliquez donc immédiatement les étapes de mise à jour (étape précédente) et prévention (section suivante) pour éviter une réinfection rapide.

7. Vérifiez que tout est propre (pages et index Google)

Une fois le nettoyage effectué, il faut s’assurer que le site est réellement sain :

• Retournez sur Google et refaites la requête site:votre-domaine.fr. Les pages en japonais apparaissent-elles encore ? Idéalement, elles devraient retourner une erreur 404 ou 410 maintenant (puisque vous avez supprimé les fichiers correspondants). Si certaines pages factices s’affichent encore, vérifiez qu’il ne reste pas des scripts cachés les régénérant, ou des caches statiques.
• Dans Search Console, utilisez l’outil d’Inspection d’URL sur quelques URLs piratées que vous connaissez. Vous verrez si elles renvoient un code Non trouvé (404) ou Gone (410). C’est ce que l’on souhaite. Profitez-en pour demander leur suppression de l’index via l’outil « Suppression » de GSC (pour accélérer le nettoyage de l’index Google).
• Surveillez dans les jours suivants le rapport Couverture de GSC pour voir si le nombre de pages valides indexées chute bien (ce qui signifiera que les pages spam sont en train de disparaître de l’index). Vous pouvez également soumettre un sitemap de toutes les URLs piratées avec status 410 afin d’aider Google à les traiter plus vite.

Comment prévenir un piratage SEO de type « mots-clés japonais » à l’avenir ?

Après avoir vécu une telle mésaventure, on ne veut surtout pas la revivre. Voici 7 bonnes pratiques de sécurité pour réduire drastiquement le risque d’un nouveau piratage (que ce soit du spam japonais ou toute autre intrusion) :

1. Mises à jour régulières du CMS et des plugins – Gardez votre site toujours à jour. Les mises à jour corrigent souvent des failles de sécurité connues. Que vous utilisiez WordPress, Joomla, Drupal ou autre, appliquez les updates dès qu’elles sont disponibles (après avoir vérifié leur compatibilité). Ne repoussez pas ces mises à jour aux calendes grecques, la plupart des attaques automatisées exploitent des sites qui tournent avec une version obsolète.
2. Plugins et thèmes fiables uniquement – N’installez que des extensions et thèmes provenant de sources officielles ou réputées. Évitez absolument les plugins “nulled” (versions piratées premium) qu’on trouve sur le web : ils sont souvent vérolés. De même, supprimez les plugins dont le support a cessé ou qui n’ont pas eu de mise à jour depuis des années.
3. Renommer le compte admin par défaut – Si votre identifiant principal est “admin”, changez-le. Les pirates essaient en premier lieu le duo user=admin + mot de passe faible. Utilisez un nom d’utilisateur moins évident pour l’admin du site, ou mieux, créez-en un nouveau avec les droits admin et supprimez l’ancien.
4. Utiliser des mots de passe robustes – Ce conseil paraît basique, mais il est vital. Vos accès (compte admin du CMS, accès FTP, accès à la base de données, etc.) doivent être protégés par des mots de passe uniques, longs et complexes (majuscules, minuscules, chiffres, symboles). Changez-les régulièrement et ne réutilisez pas le même partout. Si possible, activez la double authentification (2FA) pour l’admin de votre site ou de votre hébergeur.
5. Limiter les tentatives de connexion – Configurez un plugin de sécurité qui limite le nombre d’essais de login (ex : Limit Login Attempts Reloaded sur WordPress). Ainsi, un robot qui tente des milliers de combinaisons sera bloqué après quelques échecs. C’est une barrière simple contre les attaques par brute-force.
6. Renforcer la sécurité côté serveur – Assurez-vous que votre hébergement est sécurisé : fichier php.ini configuré pour ne pas permettre d’exécutions dangereuses, listage des répertoires désactivé (pour qu’on ne puisse pas parcourir vos dossiers via un navigateur), permissions de fichiers restreintes (par ex., fichiers en 644 et dossiers en 755 pour WordPress). Protégez l’accès à des fichiers sensibles (comme wp-config.php) en ajoutant des règles dans .htaccess pour qu’ils ne soient pas accessibles publiquement.
7. Installer un pare-feu / plugin de sécurité – Utilisez un firewall applicatif qui filtre les requêtes vers votre site. Sur WordPress, des extensions comme Wordfence Security, Sucuri Security ou All In One WP Security peuvent bloquer automatiquement beaucoup d’attaques courantes et vous alerter à la moindre intrusion suspecte. Un pare-feu web surveillera par exemple si quelqu’un tente d’injecter du code ou d’accéder à des URLs inhabituelles, et bloquera ces requêtes.
8. Sauvegardes fréquentes et monitoring – Mettez en place des backups automatiques hebdomadaires (ou plus fréquent selon la criticité) de votre site. Conservez des copies hors du serveur (par exemple via un service cloud sécurisé). Ainsi, en cas de nouveau problème, vous pourrez réagir vite. De plus, surveillez régulièrement l’état de votre site : jetez un œil aux pages indexées sur Google de temps en temps, aux alertes de sécurité, etc. Plus vous détectez tôt une anomalie, plus la réparation sera facile.