Un de mes clients a vendu des housses de couette à motif lamantin pendant deux mois.
Aussi des leviers de frein pour Ducati Panigale, des tapis griffoirs pour chat, du diamond painting aigle en strass, et une corde tressée de contrôle des foules en chanvre de 1 mètre avec crochet.
C’est une PME de province. Elle ne vend rien de tout ça. Elle ne le savait pas.
Moi non plus, d’ailleurs. C’est le plus beau.
Qui fait quoi
Précision utile, parce que toute l’histoire tient là dedans.
Le client administre son site lui même. Ses pages, ses extensions, ses mises à jour. Je n’ai pas la main sur son WordPress et je ne vois pas son tableau de bord.
Lui, il s’y connecte deux ou trois fois par an, quand il a quelque chose à publier.
Ça commence en juillet
Une mise à jour WordPress pas faite à temps. Pas six mois de retard. Quelques semaines.
Vous connaissez le film. La pastille rouge apparaît dans l’admin. On se dit qu’on fera ça ce soir. Puis vendredi. Puis c’est les vacances.
Sauf que quand on ouvre son administration trois fois par an, la pastille rouge, on ne la voit même pas.
Quelqu’un est entré par là.
Ce qu’ils ont fait, et ce qu’ils n’ont pas fait
Ils n’ont pas défiguré la page d’accueil. Pas de drapeau, pas de message revendicatif, pas de musique qui se lance toute seule.
Ils n’ont rien chiffré. Aucune demande de rançon. Aucun mail menaçant.
Ils n’ont même rien volé. Franchement, il n’y avait pas grand chose à prendre.
Ils ont ouvert une boutique.
Comment ça s’est vu
Par le rapport annuel de Google. Celui qui arrive tout seul dans la boîte aux lettres, une fois par an, et qu’on ouvre distraitement.
Une courbe qui monte en flèche en fin d’été. C’est tout. Pas de détail, pas de liste de pages. Juste une belle pente ascendante.
Le genre de graphique qu’on montre en réunion.
Sauf que personne n’avait rien fait. Pas de campagne, pas de publication, pas de salon, pas de refonte.
Un record sans cause, c’est rarement un cadeau.
Alors on est allé chercher le détail là où il se trouve vraiment. Dans les journaux du serveur.
Et on a trouvé Googlebot en train d’explorer des vis à tête cylindrique DIN 912.
Puis une housse de couette à motif lamantin. Puis un levier de frein pour Ducati.
Le client vend des prestations de services.
Le chiffre qui a achevé de convaincre : 97 % de ce que Google explorait sur ce site, c’était la boutique. Les quelques vraies pages attendaient leur tour derrière les tapis griffoirs.
On ouvre le capot
À ce stade on sait qu’il se passe quelque chose. On ne sait pas encore quoi.
Alors on entre dans le serveur et on cherche. Les fichiers, la base de données, la configuration, les comptes. Ce qui a été modifié, et quand.
Trois choses sont remontées. Dans l’ordre : l’ampleur, le truc, et la préméditation.
Trois millions six cent soixante-dix mille articles
Le site vitrine s’est retrouvé avec trois catégories qu’il n’avait jamais eues : /produits/, /items/ et /articles/.
Et dedans, des millions de fiches. Titre, description, prix, photos, balise canonique. Du travail propre. Du HTML valide. Mieux structuré que certains vrais sites marchands, soyons honnête.
Les images venaient d’Amazon, d’eBay, de Shopify et d’un marchand britannique. Le gabarit aussi. Ils avaient recopié une vraie boutique et l’avaient servie sous le nom de domaine du client.
Le tour de passe-passe
Voilà pourquoi personne n’a rien vu pendant deux mois.
Si vous alliez sur une de ces adresses, vous obteniez une belle page 404. Erreur, cette page n’existe pas, revenez à l’accueil, merci au revoir.
Si Googlebot allait sur la même adresse, il obtenait la fiche produit complète. 88 kilo-octets de housse de couette.
Le code regardait qui frappait à la porte. Un humain, on ferme. Un moteur de recherche, on déroule le tapis.
Ça s’appelle du cloaking. C’est vieux comme le référencement. Mais c’est diablement efficace, parce qu’on ne peut pas le voir en naviguant sur le site. Pour l’apercevoir, il faut lire les journaux du serveur, ou se déguiser en Googlebot.
Pourquoi c’est malin
Et maintenant, la vraie question. Pourquoi ce site là ?
Parce qu’il a de l’ancienneté. Parce qu’il a des liens entrants. Parce que Google le connaît depuis des années et lui fait raisonnablement confiance.
Cette confiance, elle a mis longtemps à se construire. Elle ne s’achète pas. Enfin si, elle s’achète, ça s’appelle une campagne, et ça coûte cher.
Ou alors on la prend chez quelqu’un d’autre.
C’est tout le modèle. Pas de publicité à payer, pas de nom de domaine crédible à construire, pas trois ans d’attente pour que Google vous prenne au sérieux. On se branche sur la réputation d’un tiers et on vend ses leviers de frein.
Le tiers, lui, paye la facture. Pas en euros. En réputation.
Ils avaient prévu mon retour
Le plus élégant est là.
Le code injecté ne se contentait pas de servir les pages. Il recréait aussi des comptes administrateurs, tout seul, régulièrement. J’en ai trouvé cinq, créés le même jour, en douze secondes.
Adresse de courriel jetable, nom crédible du genre wp-system, aucun contenu publié. Des comptes dormants. Juste au cas où quelqu’un ferait le ménage un jour.
Ils avaient même retiré une protection présente sur le site, deux heures après avoir recréé leurs accès. Méthodique.
Ce que ça coûte vraiment
Personne n’a perdu de données. Aucun client final n’a été touché. Aucune rançon n’a été payée.
Mais pendant deux mois, un moteur de recherche a considéré qu’une PME française vendait des accessoires de moto. Et quand Google finit par comprendre qu’il a été trompé, ce n’est pas au pirate qu’il retire sa confiance. C’est au nom de domaine.
La réputation, c’est exactement ce qui avait de la valeur sur ce site. C’est exactement ce qui a été consommé.
Pour un investissement de départ nul, et une mise à jour repoussée à ce soir.
Et maintenant
Fichiers du cœur restaurés depuis les sources officielles. Comptes pirates supprimés. Mots de passe et clés de session renouvelés.
Googlebot reçoit désormais la même chose que vous : un 404 bien propre.
Reste à demander un réexamen à Google, et à attendre. On verra dans quelques semaines ce qu’il aura retenu de la période housse de couette.
Et si vous avez une pastille rouge qui traîne dans un coin d’admin depuis quelques semaines, c’est peut-être le moment.