L’audit de la Google Search Console pour les accès utilisateurs non autorisés est le processus consistant à examiner la liste des propriétaires vérifiés et des utilisateurs autorisés pour s’assurer que seules des personnes de confiance ont le contrôle sur les données de recherche de votre site. Cette vérification de sécurité implique de contrôler le menu ‘Utilisateurs et autorisations’ ainsi que les paramètres de ‘Validation de la propriété’ pour détecter les adresses e-mail inconnues. Des audits réguliers aident à empêcher les acteurs malveillants de soumettre des sitemaps nuisibles, de masquer des alertes de sécurité ou d’utiliser l’autorité de votre site pour des campagnes de spam.
Pourquoi la vérification des utilisateurs GSC non autorisés est-elle une priorité de sécurité ?
La Google Search Console offre un accès approfondi à la manière dont votre site web interagit avec les moteurs de recherche. Si un acteur malveillant obtient l’accès, il peut voir vos mots-clés les plus performants, les erreurs d’exploration et les actions manuelles. Il pourrait également utiliser cet accès pour masquer ses activités, comme l’injection de contenu spam que vous pourriez ne pas voir sur le frontend de votre site.
Les utilisateurs non autorisés utilisent souvent cette plateforme pour surveiller le succès des hacks de spam SEO. En consultant les rapports de performance, ils peuvent voir lesquelles de leurs pages injectées sont classées et ajuster leurs tactiques. Cela rend la brèche plus difficile à détecter par la simple surveillance du trafic standard.
Les hacks de spam SEO se produisent lorsque des acteurs malveillants obtiennent un accès non autorisé à l’infrastructure de votre site web pour injecter du contenu indésirable, des liens cachés ou des scripts de redirection dans vos pages.
Google Search Central
Comment identifier les propriétaires de propriétés suspects dans la Search Console ?
Pour commencer votre audit, accédez au menu Paramètres dans la barre latérale de votre propriété Google Search Console. Cliquez sur ‘Utilisateurs et autorisations’ pour voir la liste de toutes les personnes pouvant afficher ou gérer les données. Vous devez rechercher toute adresse e-mail qui ne se termine pas par votre domaine d’entreprise ou qui n’appartient pas à un partenaire d’agence connu.
Certains attaquants se vérifient eux-mêmes en tant que ‘Propriétaires’ plutôt qu’en tant qu’utilisateurs ‘Complets’ ou ‘Restreints’. Cliquez sur ‘Validation de la propriété’ sous l’onglet des paramètres pour voir la méthode spécifique utilisée pour chaque propriétaire. Si vous voyez un fichier HTML ou un enregistrement DNS que votre équipe informatique n’a pas créé, c’est un signe clair d’une faille de sécurité.
Signes courants d’accès non autorisé
- Adresses e-mail provenant de fournisseurs génériques comme gmail.com ou outlook.com que personne dans votre équipe ne reconnaît.
- Une augmentation soudaine du nombre de propriétaires vérifiés sans projet interne correspondant.
- Fichiers de vérification HTML trouvés dans le répertoire racine de votre serveur qui n’ont pas été placés par vos développeurs.
- Nouveaux enregistrements DNS TXT chez votre registraire de domaine qui renvoient à des comptes Google inconnus.
- Balises meta ajoutées à l’en-tête de votre site web que vous n’avez pas autorisées.
Quels sont les risques d’ignorer un accès non autorisé ?
Ignorer un utilisateur inconnu dans votre console peut entraîner des pertes catastrophiques de trafic organique. Les attaquants peuvent utiliser l’outil ‘Retraits’ pour masquer temporairement vos pages les plus importantes des résultats de recherche. Cela peut arriver rapidement et passer inaperçu pendant des jours si vous ne vérifiez pas la console quotidiennement.
De plus, les propriétaires non autorisés peuvent ignorer les avertissements de sécurité envoyés par Google. Si votre site est signalé pour malware, l’attaquant pourrait voir la notification et la supprimer ou simplement l’ignorer, laissant vos visiteurs à risque. Cela conduit à ce que votre site soit marqué comme ‘Trompeur’ dans des navigateurs comme Chrome.
Un malware est tout logiciel ou application mobile conçu spécifiquement pour nuire à un ordinateur, un appareil mobile, le logiciel qu’il exécute ou ses utilisateurs.
Google Search Central
Comment Alien Road applique les audits de sécurité de la Search Console
Alien Road inclut une couche de sécurité dans chaque engagement SEO. Lorsque nous commençons un projet typique pour un client, comme une boutique Shopify ou une plateforme B2B personnalisée, la première étape est un audit des utilisateurs. Nous ne regardons pas seulement qui est là ; nous documentons chaque jeton de vérification actif trouvé sur le serveur et le DNS.
Si nous trouvons un utilisateur non autorisé, notre équipe travaille avec les développeurs du client pour supprimer d’abord la source de vérification. Supprimer simplement l’utilisateur de l’interface utilisateur de la Google Search Console ne suffit pas car l’attaquant peut re-vérifier son statut si le fichier HTML ou l’enregistrement DNS reste actif. Nous fournissons un rapport clair sur le moment où l’accès a probablement été obtenu et quelles données pourraient avoir été compromises pendant cette période.
Processus étape par étape pour supprimer les propriétaires malveillants
La suppression d’un propriétaire non autorisé nécessite un ordre d’opérations spécifique. Si vous supprimez l’utilisateur en premier mais laissez le jeton de vérification, il réapparaîtra dans la liste en quelques heures. Suivez ces étapes pour vous assurer que la suppression est permanente et sécurisée.
- Identifiez la méthode de vérification : Allez dans Paramètres > Validation de la propriété pour voir s’ils ont utilisé un fichier HTML, une balise meta ou un enregistrement DNS.
- Supprimez le jeton : Connectez-vous à votre serveur, CMS (comme WordPress ou Shopify) ou fournisseur DNS et supprimez le fichier ou l’enregistrement spécifique.
- Dé-vérifiez l’utilisateur : Retournez dans les paramètres de la Search Console et cliquez sur ‘Annuler la validation’ à côté du nom de l’utilisateur suspect.
- Changez vos mots de passe : Traitez cela comme une brèche totale du site. Mettez à jour les mots de passe de votre CMS, de votre compte d’hébergement et de votre propre compte Google.
- Auditez d’autres propriétés : Vérifiez si le même utilisateur a obtenu l’accès à vos comptes Google Analytics ou Google Ads.
Méthodes courantes utilisées par les attaquants pour obtenir l’accès à une propriété
Les attaquants obtiennent souvent l’accès via des vulnérabilités dans le logiciel de votre site web. Des plugins obsolètes ou des mots de passe de serveur faibles leur permettent de télécharger un petit fichier HTML dans votre répertoire racine. Une fois ce fichier en ligne, ils peuvent aller sur la Google Search Console et revendiquer instantanément la propriété de votre domaine.
Une autre méthode courante passe par des comptes personnels compromis. Si le compte Gmail d’un ancien employé est piraté, et que ce compte a toujours le statut de ‘Propriétaire’, le pirate obtient le contrôle total. C’est pourquoi maintenir une liste d’utilisateurs propre est un élément clé de la maintenance technique SEO.
Par où commencer cette semaine
Ouvrez votre compte Google Search Console aujourd’hui et allez directement à la section ‘Utilisateurs et autorisations’ sous Paramètres. Exportez la liste des utilisateurs vers une feuille de calcul et demandez à votre équipe de vérifier chaque adresse e-mail sur cette liste. Si vous trouvez une adresse que personne ne reconnaît, n’attendez pas ; vérifiez la méthode de vérification et commencez immédiatement le processus de suppression.
Programmez une invitation de calendrier récurrente pour le premier lundi de chaque mois pour répéter cet audit. La surveillance régulière est le moyen le plus fiable de détecter les hacks de spam SEO avant qu’ils ne causent des dommages permanents à vos classements et à la réputation de votre marque.