---
title: "Cloaking : votre site piraté montre du spam à Google, et vous ne voyez rien"
description: "Votre site s’affiche normalement. Les formulaires fonctionnent, les clients ne signalent rien. Pourtant, quand Google passe, il ne voit pas votre page d’accueil : il voit une page de casino, de pharmacie en ligne ou de contrefaçons. Et quand quelqu’un partage votre lien sur Facebook ou LinkedIn, l’aperçu affiche une image douteuse. Ce piratage porte […]"
url: "https://www.newp.fr/actualites/referencement/seo-optimization/cloaking-site-pirate-spam-invisible/"
author: "Kévin Papot"
date: "2026-10-24T16:29:15+00:00"
lang: "fr_FR"
categories: ["Référencement SEO"]
tags: ["LinkedIn"]
---

# Cloaking : votre site piraté montre du spam à Google, et vous ne voyez rien

Votre site s'affiche normalement. Les formulaires fonctionnent, les clients ne signalent rien. Pourtant, quand Google passe, il ne voit pas votre page d'accueil : il voit une page de casino, de pharmacie en ligne ou de contrefaçons. Et quand quelqu'un partage votre lien sur Facebook ou LinkedIn, l'aperçu affiche une image douteuse. Ce piratage porte un nom : le **cloaking**. Il est conçu pour que le propriétaire du site ne le voie jamais. Alors que tout le monde parle des failles PHP révélées cette semaine, Frédérique Game, consultante WordPress, a rappelé sur LinkedIn qu'un site peut mener cette double vie depuis des mois. Voici comment le repérer et quoi faire.

## L'essentiel en 30 secondes

| Question | Réponse |
|---|---|
| Qu'est-ce que le cloaking ? | Montrer un contenu différent selon le visiteur. Après un piratage, le site affiche la vraie page aux humains et du spam aux robots (Google, Bing, Facebook, LinkedIn). |
| Pourquoi je ne vois rien ? | Le code malveillant reconnaît votre navigateur, vos visites directes et parfois votre session d'administrateur. Il ne se montre qu'aux robots ou aux visiteurs qui arrivent depuis Google. |
| Quelles conséquences ? | Pages de spam indexées sous votre nom de domaine, chute du référencement, avertissement « Ce site a peut-être été piraté » dans Google, aperçus de liens compromettants sur les réseaux sociaux. |
| Le test le plus fiable ? | L'inspection d'URL de la Search Console, bouton « Tester l'URL en direct ». C'est le seul outil qui montre exactement ce que voit Google. |
| Que faire si c'est confirmé ? | Nettoyer le site et trouver la porte d'entrée, changer tous les accès, puis demander un réexamen dans la Search Console. |

## Le cloaking, c'est quoi exactement ?

Le mot vient de l'anglais *cloak*, la cape qui rend invisible. À l'origine, c'était une technique de référencement frauduleuse : un site montrait à Google une page bourrée de mots-clés et aux internautes une page commerciale. Google l'interdit dans ses règles anti-spam depuis toujours.

Aujourd'hui, le cloaking sert surtout aux pirates. Ils s'introduisent dans un site légitime (souvent un WordPress mal mis à jour ou un serveur vulnérable) et l'utilisent comme support publicitaire gratuit. Votre nom de domaine a de l'ancienneté et la confiance de Google : c'est exactement ce qu'ils cherchent. Le code qu'ils déposent trie les visiteurs selon trois indices :

- **Qui demande la page** : le nom du robot (Googlebot, Bingbot, facebookexternalhit, LinkedInBot) et, chez les pirates les plus soigneux, son adresse IP réelle.
- **D'où vient le visiteur** : quelqu'un qui clique depuis un résultat Google peut être redirigé vers un faux site, alors que la même adresse tapée directement affiche la page normale.
- **Qui est connecté** : beaucoup de ces codes ne s'activent jamais pour un administrateur connecté au site. Vous êtes le dernier à pouvoir le voir.

UNE MÊME ADRESSE, QUATRE VERSIONS votre-site.fr/ code pirate : trie les visiteurs Vous (connecté) ou adresse tapée le vrai site, rien d'anormal Googlebot, Bingbot une page de casino ou de pharmacie, indexée sous votre nom Facebook, LinkedIn (aperçus de liens) un titre et une image douteux quand on partage votre lien Visiteur venu d'un résultat Google redirigé vers un faux site Le code pirate choisit la version à servir selon le visiteur : le propriétaire voit toujours la bonne.## Les signes qui doivent vous alerter

Aucun de ces signes ne prouve un piratage à lui seul, mais deux ou trois ensemble justifient une vérification le jour même :

- **Le trafic venu de Google baisse sans raison**, alors que vous n'avez rien changé et qu'aucune mise à jour de Google n'est annoncée.
- **Des pages inconnues apparaissent dans Google.** Tapez `site:votre-site.fr` dans Google : des titres en japonais, des noms de médicaments, de marques de luxe ou de casinos sont un signe quasi certain.
- **Le nombre de pages indexées explose** dans la Search Console (rapport « Pages »), ou des milliers d'adresses inconnues apparaissent dans le sitemap.
- **La Search Console signale un problème** dans le rapport « Problèmes de sécurité » ou « Actions manuelles ».
- **L'aperçu de votre lien est bizarre** quand vous le partagez sur Facebook, LinkedIn ou WhatsApp.
- **Un client vous dit avoir atterri sur un autre site** en cliquant sur votre résultat Google, alors que vous n'arrivez pas à reproduire le problème.

## Comment vérifier ce que voient les robots

### 1. L'inspection d'URL de la Search Console (le test de référence)

Dans la Search Console, collez l'adresse de votre page d'accueil dans la barre d'inspection, puis cliquez sur **« Tester l'URL en direct »** et « Afficher la page testée ». Vous voyez le code HTML et la capture d'écran tels que Googlebot les reçoit, depuis les vraies adresses IP de Google. C'est le seul test qu'un pirate ne peut pas tromper en vérifiant l'IP. Faites-le sur l'accueil et sur deux ou trois pages importantes.

### 2. Un détecteur de cloaking en ligne

Frédérique Game a fait évoluer un détecteur gratuit, [CloakMe](https://designpress.fr/EDITOR/cloakme), qui compare ce que reçoivent sept visiteurs : un humain, un humain et un mobile qui arrivent depuis Google, Googlebot, Bingbot, Facebook et LinkedIn. Il cherche aussi les traces visibles par tous (mots de spam, liens cachés, code masqué, redirections) et garde en mémoire l'état de chaque site pour repérer ce qui change d'une analyse à l'autre. Comme tous les outils de ce type, il imite le nom des robots mais pas leur adresse IP : un piratage qui vérifie l'IP de Google peut lui échapper. D'où la règle : si l'outil sonne l'alarme ou si vous avez un doute, confirmez avec la Search Console.

### 3. Les outils d'aperçu des réseaux sociaux

Le [débogueur de partage de Facebook](https://developers.facebook.com/tools/debug/) et le [Post Inspector de LinkedIn](https://www.linkedin.com/post-inspector/) montrent le titre, la description et l'image que ces plateformes récupèrent. Si ce n'est pas votre contenu, le site sert une version différente à leurs robots.

### 4. Le test depuis Google, sur un appareil neutre

Depuis un téléphone qui ne s'est jamais connecté à votre site (en 4G, pas sur le wifi du bureau), cherchez votre entreprise sur Google et cliquez sur le résultat. Une redirection vers un autre site confirme un piratage qui vise les visiteurs venus de Google.

## Le cloaking est confirmé : que faire ?

1. **Ne supprimez rien dans la précipitation.** Faites d'abord une sauvegarde complète du site infecté (fichiers et base de données) : elle servira à comprendre par où le pirate est entré.
2. **Trouvez et retirez le code malveillant.** Il se cache souvent dans le fichier `.htaccess`, dans `wp-config.php`, dans le `functions.php` du thème, dans un faux plugin ou dans la base de données. Remplacez le cœur de WordPress, les thèmes et les plugins par des copies officielles neuves.
3. **Cherchez la porte d'entrée** : plugin vulnérable, compte administrateur inconnu, mot de passe réutilisé, version de PHP obsolète. Sans cela, le pirate reviendra dans la semaine.
4. **Changez tous les accès** : comptes WordPress, base de données, FTP et SSH, hébergeur, clés de sécurité de WordPress. Activez la double authentification.
5. **Faites le ménage dans Google** : laissez les pages de spam répondre en erreur 404 ou 410, envoyez un sitemap propre, et retirez les adresses les plus visibles avec l'outil de suppression de la Search Console si nécessaire.
6. **Demandez un réexamen** dans le rapport « Problèmes de sécurité » de la Search Console si Google a signalé le site. Expliquez ce qui a été nettoyé et corrigé.

Les pages de spam peuvent rester visibles dans Google plusieurs semaines après le nettoyage, le temps que les robots repassent. C'est normal, mais c'est une raison de plus pour détecter le piratage tôt.

## Surveiller plutôt que découvrir six mois trop tard

Le point le plus intéressant du témoignage de Frédérique Game, c'est son organisation. Pour les sites qu'elle suit, elle ne teste plus à la main. Tous les quinze jours, son assistant IA (Claude) récupère la liste des sites dans Notion, lance le détecteur sur chacun, note le relevé daté et lui envoie une notification avec seulement les sites à regarder. Si l'analyse n'a pas pu tourner, un contrôle prend le relais et la prévient.

Elle garde une chose pour elle : la décision. Quand un site change, c'est elle qui juge s'il s'agit d'une refonte voulue ou d'une intrusion. C'est la bonne répartition : la machine surveille sans se lasser, l'humain interprète.

Un commentaire sous son post défendait une surveillance plus fréquente, avec correction automatique. Plus de fréquence, oui. Mais une correction automatique sur un site piraté sans comprendre la porte d'entrée, c'est souvent effacer les traces sans fermer la porte.

## Notre lecture chez NEWP

Le cloaking est le piratage le plus coûteux pour le référencement, justement parce qu'il est silencieux. Un site défiguré se voit en une heure. Un site qui sert du spam à Google peut rester des mois sans être remarqué, pendant que ses positions s'effondrent et que son nom de domaine perd la confiance du moteur. Les failles de cette semaine dans PHP rappellent qu'un site peut être compromis même quand WordPress et ses extensions sont à jour.

Trois réflexes à mettre en place, même sur un petit site :

- la **Search Console** configurée, avec les alertes par e-mail actives (c'est gratuit et c'est souvent elle qui prévient en premier) ;
- un **contrôle régulier** de ce que voient les robots, programmé, et pas « quand on y pense » ;
- des **sauvegardes externes** et une version de PHP maintenue par l'hébergeur ou par votre prestataire.

## En résumé

| Étape | Ce qu'il faut faire |
|---|---|
| Repérer | `site:votre-site.fr` dans Google, rapport « Pages » et « Problèmes de sécurité » de la Search Console, aperçus de liens sur les réseaux sociaux. |
| Confirmer | Inspection d'URL, « Tester l'URL en direct » : le seul test qui voit exactement ce que voit Google. |
| Nettoyer | Sauvegarde du site infecté, retrait du code, copies officielles neuves, recherche de la porte d'entrée. |
| Sécuriser | Tous les accès changés, double authentification, PHP et extensions à jour. |
| Réparer le SEO | Pages de spam en 404 ou 410, sitemap propre, demande de réexamen. |
| Prévenir | Une surveillance programmée de ce que voient les robots, avec une personne qui tranche. |

Vous avez un doute sur votre site, ou Google affiche déjà des pages qui ne sont pas les vôtres ? Notre équipe intervient sur les [sites WordPress piratés](https://www.newp.fr/wordpress-pirate/) et propose un [contrat de maintenance WordPress](https://www.newp.fr/contrat-maintenance-wordpress/) avec surveillance. Pour une urgence, passez par notre page [urgence WordPress](https://www.newp.fr/urgence-wordpress/).

*Sources : post LinkedIn de [Frédérique Game](https://www.linkedin.com/posts/frederiquegame_on-parle-des-failles-monstrueuses-de-php-share-7518757078983774209-kvkM) et ses commentaires ; règles de Google sur le spam (cloaking, contenu piraté) ; documentation de la Search Console (inspection d'URL, problèmes de sécurité). Lire aussi notre [guide de la sécurité WordPress](https://www.newp.fr/actualites/creation-refonte/web-agency/securite-wordpress-guide-complet-2026/) et notre page sur les [pénalités Google](https://www.newp.fr/penalites-google/).*

## Questions fréquentes

Qu'est-ce que le cloaking en SEO ?C'est le fait de montrer un contenu différent aux moteurs de recherche et aux internautes pour une même adresse. Google l'interdit dans ses règles anti-spam. Aujourd'hui, on le rencontre surtout sur des sites piratés : le site affiche la vraie page aux humains et du spam aux robots.

Comment savoir si mon site fait du cloaking sans que je le sache ?Utilisez l'inspection d'URL de la Search Console avec « Tester l'URL en direct » : elle montre la page exactement telle que Googlebot la reçoit. Complétez avec une recherche site:votre-site.fr dans Google, les rapports « Pages » et « Problèmes de sécurité », et les outils d'aperçu de Facebook et LinkedIn.

Pourquoi je ne vois pas le spam sur mon propre site ?Le code pirate est conçu pour se cacher : il reconnaît les administrateurs connectés, les visites directes et parfois votre adresse IP. Il ne sert le spam qu'aux robots ou aux visiteurs qui arrivent depuis un résultat Google.

Un détecteur de cloaking en ligne suffit-il ?C'est un bon premier contrôle, surtout pour une surveillance régulière. Mais ces outils imitent le nom des robots, pas leur adresse IP. Un piratage qui vérifie l'IP réelle de Google peut leur échapper. En cas d'alerte ou de doute, confirmez avec la Search Console.

Combien de temps pour retrouver mes positions après un nettoyage ?Cela dépend de la durée de l'infection et du nombre de pages de spam indexées. Comptez généralement plusieurs semaines, le temps que Google repasse sur les pages et, si le site a été signalé, qu'il traite la demande de réexamen.

Mettre à jour WordPress suffit-il à supprimer le cloaking ?Non. La mise à jour ferme parfois la porte d'entrée, mais elle ne retire pas le code déjà déposé, qui se cache souvent dans le fichier .htaccess, dans le thème, dans un faux plugin ou dans la base de données. Il faut nettoyer le site, puis changer tous les accès.

{"@context": "https://schema.org", "@type": "FAQPage", "mainEntity": \[{"@type": "Question", "name": "Qu'est-ce que le cloaking en SEO ?", "acceptedAnswer": {"@type": "Answer", "text": "C'est le fait de montrer un contenu différent aux moteurs de recherche et aux internautes pour une même adresse. Google l'interdit dans ses règles anti-spam. Aujourd'hui, on le rencontre surtout sur des sites piratés : le site affiche la vraie page aux humains et du spam aux robots."}}, {"@type": "Question", "name": "Comment savoir si mon site fait du cloaking sans que je le sache ?", "acceptedAnswer": {"@type": "Answer", "text": "Utilisez l'inspection d'URL de la Search Console avec « Tester l'URL en direct » : elle montre la page exactement telle que Googlebot la reçoit. Complétez avec une recherche site:votre-site.fr dans Google, les rapports « Pages » et « Problèmes de sécurité », et les outils d'aperçu de Facebook et LinkedIn."}}, {"@type": "Question", "name": "Pourquoi je ne vois pas le spam sur mon propre site ?", "acceptedAnswer": {"@type": "Answer", "text": "Le code pirate est conçu pour se cacher : il reconnaît les administrateurs connectés, les visites directes et parfois votre adresse IP. Il ne sert le spam qu'aux robots ou aux visiteurs qui arrivent depuis un résultat Google."}}, {"@type": "Question", "name": "Un détecteur de cloaking en ligne suffit-il ?", "acceptedAnswer": {"@type": "Answer", "text": "C'est un bon premier contrôle, surtout pour une surveillance régulière. Mais ces outils imitent le nom des robots, pas leur adresse IP. Un piratage qui vérifie l'IP réelle de Google peut leur échapper. En cas d'alerte ou de doute, confirmez avec la Search Console."}}, {"@type": "Question", "name": "Combien de temps pour retrouver mes positions après un nettoyage ?", "acceptedAnswer": {"@type": "Answer", "text": "Cela dépend de la durée de l'infection et du nombre de pages de spam indexées. Comptez généralement plusieurs semaines, le temps que Google repasse sur les pages et, si le site a été signalé, qu'il traite la demande de réexamen."}}, {"@type": "Question", "name": "Mettre à jour WordPress suffit-il à supprimer le cloaking ?", "acceptedAnswer": {"@type": "Answer", "text": "Non. La mise à jour ferme parfois la porte d'entrée, mais elle ne retire pas le code déjà déposé, qui se cache souvent dans le fichier .htaccess, dans le thème, dans un faux plugin ou dans la base de données. Il faut nettoyer le site, puis changer tous les accès."}}\]}

---

*Source : [www.newp.fr](https://www.newp.fr/actualites/referencement/seo-optimization/cloaking-site-pirate-spam-invisible/)*