Negative SEO, quand votre trafic chute de 30 % sans aucune Update Google...

Lundi matin, la Search Console affiche une courbe qui plonge. Moins 30 % de clics en trois semaines. Aucune core update annoncée, aucun déploiement côté développeurs, pas une virgule de contenu modifiée. Avouez que la première pensée qui vient, c'est « on nous attaque ».

Parfois c'est vrai. Souvent non. La seule façon de le savoir, c'est un diagnostic différentiel, le même raisonnement qu'un médecin face à un symptôme qui peut avoir trois causes très différentes. Et une chute de trafic sans explication en a toujours au moins trois.

Pourquoi une chute de trafic sans update est la plus dangereuse

Quand une baisse coïncide avec une core update, le diagnostic est presque confortable. Vous savez quoi lire, quoi comparer, quoi attendre. Quand rien ne l'explique, le doute s'installe, et c'est là que tombent les mauvaises décisions. Disavow en panique, réécriture de pages qui fonctionnaient, changement d'agence.

En 2026, le Negative SEO n'a jamais été aussi florissant. Les Google Updates s'enchaînent sans personne à bord pour vérifier si la machine fonctionne toujours...

Le contexte n'aide pas à garder la tête froide. GoDaddy a détecté 834 661 sites infectés en 2025, et le SEO spam pèse 35,2 % de ces menaces. Le spam gambling, 126 312 sites, est passé devant le célèbre spam japonais, 89 646 sites. Les redirections malveillantes représentent à elles seules 21,7 % des détections.

Et voilà le twist.

Ces attaques ne se voient presque jamais en naviguant sur votre site. Les pages injectées sont souvent servies uniquement aux robots de Google, ou seulement aux visiteurs qui arrivent depuis un résultat de recherche. Vous consultez votre site, tout est normal. Google, lui, voit autre chose.

Le diagnostic différentiel en trois hypothèses

Chaque cause laisse une signature différente. L'idée n'est pas de deviner la bonne, c'est d'éliminer les mauvaises, dans l'ordre.

Hypothèse 1 : l'update que personne n'a vue

Google ne communique pas toutes ses mises à jour, loin de là. Commencez par le Search Status Dashboard et notre historique des mises à jour Google, puis comparez votre courbe avec la visibilité de trois à cinq concurrents directs sur la même période. Si tout votre secteur a bougé la même semaine, vous ne subissez pas une attaque, vous subissez Google, et la réponse passe par la compréhension de l'algorithme Google, pas par une contre-attaque.

Autre suspect fréquent depuis 2025, les résumés générés. Une page qui garde ses positions mais perd ses clics se fait souvent absorber par un AI Overview. Le symptôme est clair, impressions stables, CTR en chute libre. Nous avons détaillé ce scénario dans notre analyse de l'impact des AI Overviews sur le trafic SEO.

Hypothèse 2 : le bug technique silencieux

Une extension mise à jour qui ajoute un noindex sur une catégorie. Un robots.txt écrasé lors d'une mise en production, scénario que nous décrivons dans les dangers d'un blocage de robots. Des canonicals réécrits par un thème. Un certificat HTTPS expiré sur un sous-domaine. Une chaîne de redirections cassée après une refonte. Le rapport Pages de la Search Console et l'inspection d'URL sur vos dix pages les plus touchées règlent souvent la question en vingt minutes.

Hypothèse 3 : l'attaque

Si les deux premières hypothèses tombent, l'attaque devient crédible. Trois familles dominent, le piratage avec injection de contenu, le scraping de vos textes et les campagnes de liens. La première est de loin la plus documentée et la plus destructrice. La troisième est la plus fantasmée.

Les signaux faibles d'une attaque negative SEO

Une attaque efficace ne s'annonce pas. Elle se lit dans des détails que personne ne regarde, parce que personne ne pense à les chercher.

Des requêtes qui n'ont rien à faire là

Dans le rapport Performances, triez vos requêtes par impressions et parcourez la longue traîne. Des mots en japonais, des noms de casinos, de médicaments ou de marques de luxe sur le site d'une PME industrielle, c'est la signature d'un spam injecté. Faites le même exercice sur les pages, des URLs que vous n'avez jamais créées ne mentent pas.

Des propriétaires que vous ne connaissez pas

Dans les paramètres de la Search Console, ouvrez la liste des utilisateurs et propriétaires. Google documente ce schéma pour le spam japonais, les pirates s'ajoutent comme propriétaires pour soumettre leurs propres sitemaps et accélérer l'indexation de leurs pages. Un propriétaire inconnu, c'est une alerte rouge.

Des redirections que vous ne voyez jamais

Le cloaking sert un contenu différent selon le visiteur. Testez votre site depuis un smartphone, en cliquant sur un résultat Google plutôt qu'en tapant l'adresse, puis lancez un test en direct dans l'inspection d'URL. Si le HTML rendu pour Googlebot contient des liens que vous n'avez pas écrits, vous tenez votre coupable.

Une vague de liens datée et ciblée

Un pic de domaines référents avec des ancres casino, porn, pharma ou des ancres commerciales exactes ne signifie rien seul. Il devient un indice quand il vise précisément les pages qui ont chuté, la même semaine. Sans cette corrélation, c'est du bruit de fond, et Google le traite comme tel.

Le protocole de diagnostic en 60 minutes

Voici la séquence que nous suivons en début d'audit. Elle ne remplace pas une investigation complète, mais elle suffit dans la majorité des cas à savoir dans quelle direction chercher.

Le filtre regex qui révèle un spam injecté

Dans Performances, ajoutez un filtre sur les requêtes, choisissez « Personnalisée (expression régulière) » et collez ce motif. La Search Console utilise la syntaxe RE2, qui reconnaît les alphabets japonais.

Adaptez la liste à votre secteur. Sur le site d'un cabinet comptable, une seule impression sur « slot » mérite une enquête. Faites ensuite la même chose sur l'onglet Pages avec un motif d'URL, par exemple les répertoires que votre CMS ne crée jamais.

Les commandes Google qui interrogent l'index

Quelques commandes de recherche Google suffisent à voir ce que Google a indexé chez vous.

• site:votresite.fr casino, puis les autres mots de votre liste
• site:votresite.fr -inurl:blog -inurl:produit pour faire apparaître les répertoires inattendus
• site:votresite.fr sur Google.co.jp, le spam japonais y remonte souvent en premier

Pour aller plus loin que les 16 mois d'historique de la Search Console, l'export de la Search Console vers BigQuery conserve tout, et permet de dater une apparition de requêtes parasites au jour près.

Que faire si l'attaque se confirme

L'ordre compte plus que la vitesse. Sécurisez avant de nettoyer, sinon les pages reviendront, SiteLock retrouve des portes dérobées dans 65 % des sites infectés qu'il analyse. Supprimez ensuite les pages spam en renvoyant un code 410, plus adapté qu'une 404 pour une suppression définitive. Documentez tout, captures, URLs, dates, adresses IP.

Ne demandez le réexamen dans la Search Console qu'une fois la faille corrigée et le code malveillant entièrement éliminé. Comptez de quelques jours à quelques semaines pour la review, puis mesurez sur 8 à 12 semaines. Une courbe ne se redresse pas en dix jours.

Si vous voulez une réponse factuelle plutôt qu'une intuition, notre audit negative SEO pour détecter une attaque reconstruit l'historique de votre trafic, élimine les fausses pistes et vous dit ce qui s'est réellement passé, preuves datées à l'appui.

Et si votre fiche Google Business a encaissé une vague d'avis une étoile au même moment, ce n'est probablement pas un hasard. On parle alors de negative GEO, un second front que traite notre audit negative GEO de votre réputation locale et IA. Nous détaillons ce scénario dans notre article sur la double attaque faux avis et pages spam.

Le doute coûte plus cher que le diagnostic

Une chute de trafic inexpliquée est rarement une attaque. Mais quand c'en est une, chaque semaine perdue à attendre ou à désavouer au hasard laisse l'attaquant travailler tranquille. Et quand ce n'en est pas une, chaque euro dépensé à combattre un ennemi imaginaire manque à la vraie correction.

Dans les deux cas, la réponse est la même, des données datées et un raisonnement par élimination. Une fois la cause traitée, la reconquête repose sur les fondamentaux du référencement naturel, et notre agence SEO à Metz accompagne cette reconstruction partout en France. Et si on regardait ensemble ce que votre courbe raconte vraiment ?