Site de préprod indexé par Google : le plan d’urgence

Tu viens de découvrir ton domaine de préproduction dans Google ? Le plus important est de ne pas empiler des réglages contradictoires. Une préprod indexée se traite dans un ordre précis : sécuriser ce qui est exposé, indiquer clairement aux moteurs ce qui doit disparaître, puis vérifier que chaque ancienne URL aboutit au bon statut.

Pourquoi une préprod finit-elle dans Google ?

Un moteur n’a pas besoin que tu lui soumettes volontairement une URL. Il peut découvrir un sous-domaine de test dans un lien oublié, un sitemap, un historique de navigation partagé, un outil public, un dépôt de code ou une ancienne configuration DNS. Si le serveur répond normalement et qu’aucune règle d’indexation ne s’y oppose, la préprod devient une page web comme une autre.

Il faut distinguer trois étapes souvent mélangées :

Étape	Ce que fait le moteur	Le bon levier
Découverte	Il trouve l’URL dans un lien, un sitemap ou une autre source.	Supprimer les liens publics et les sitemaps de test.
Exploration	Son robot demande la page au serveur.	Authentification, règles réseau ou gestion raisonnée du crawl.
Indexation	Il décide si l’URL peut apparaître dans ses résultats.	`noindex`, statut 404/410 ou protection par mot de passe.

Le fichier robots.txt gère principalement l’exploration. Il ne constitue pas une protection et ne garantit pas la disparition d’une URL des résultats.

C’est le piège classique : bloquer immédiatement tout le sous-domaine dans robots.txt alors que les pages sont déjà indexées. Google ne peut alors plus visiter les pages et lire leur directive noindex. Une URL peut donc rester visible, parfois sans extrait.

Faire le diagnostic avant de corriger

Commence par établir un inventaire. Une recherche site:preprod.exemple.fr donne un premier aperçu, mais elle n’est pas exhaustive. Dans Google Search Console, l’inspection d’URL permet de savoir si une page est connue, quelle version canonique Google a retenue et quand elle a été explorée.

Je vérifie également :

les sitemaps XML de la préprod et de la production ;
les balises canoniques, qui pointent parfois vers le mauvais domaine ;
les réponses HTTP réelles, sans se fier uniquement à ce qu’affiche le navigateur ;
les liens présents dans le contenu, les menus et les données structurées ;
les journaux du serveur pour comprendre quelles URL ont été explorées ;
la présence éventuelle de commandes, comptes clients ou données personnelles.

Si des données sensibles sont accessibles, ce n’est plus seulement un incident SEO. Coupe l’accès, révoque les clés et mots de passe concernés, conserve les journaux utiles et traite le sujet comme un incident de sécurité.

La procédure propre pour désindexer une préprod

1. Protéger réellement l’accès

Une préprod n’a pas vocation à être publique. Le meilleur choix est une authentification HTTP, un VPN, une liste d’adresses IP autorisées ou un accès derrière un proxy d’entreprise. Un simple formulaire de connexion WordPress ne protège pas nécessairement les médias, les API ou les fichiers statiques.

Une réponse 401 Unauthorized ou 403 Forbidden empêche le moteur de consulter le contenu. Pour un nouvel environnement, cette protection doit être présente avant même l’installation du CMS.

2. Envoyer une directive `noindex`

Si tu dois laisser temporairement les pages accessibles au robot afin qu’elles sortent de l’index, renvoie une directive explicite :

<meta name="robots" content="noindex, nofollow">

Pour les PDF, images ou autres fichiers non HTML, utilise plutôt l’en-tête HTTP :

X-Robots-Tag: noindex, nofollow

Sur WordPress, l’option « Demander aux moteurs de recherche de ne pas indexer ce site » ajoute ce type d’instruction. Elle reste une consigne destinée aux moteurs coopératifs, pas un contrôle d’accès.

3. Ne pas cacher le `noindex` au robot

Tant que la désindexation n’est pas constatée, Google doit pouvoir explorer l’URL pour découvrir la nouvelle règle. Si un Disallow: / bloque déjà le domaine, retire temporairement ce blocage pour les pages concernées, vérifie le noindex, puis demande une nouvelle exploration.

Une fois les URL sorties de l’index, tu peux refermer complètement l’environnement avec une authentification. C’est elle qui assurera la protection durable.

4. Accélérer avec l’outil de suppression

L’outil « Suppressions » de Search Console masque rapidement une URL ou un préfixe dans Google. Ce retrait est temporaire, environ six mois. Il faut donc l’accompagner d’une solution permanente : accès protégé, noindex, suppression réelle ou statut 404/410.

Pour un sous-domaine entier, vérifie soigneusement le préfixe avant de valider la demande. L’objectif est de masquer la préprod, pas une partie du site de production.

5. Choisir le bon devenir pour chaque URL

Situation	Réponse recommandée	À éviter
La même page existe en production	Redirection 301 vers son équivalent exact.	Tout rediriger vers l’accueil.
La page de test n’a aucun équivalent	Suppression avec statut 404 ou 410.	Conserver une page vide en statut 200.
L’environnement doit rester utilisé	Authentification ou restriction réseau.	Compter uniquement sur `robots.txt`.
Le résultat doit disparaître en urgence	Demande Search Console puis traitement permanent.	Considérer la demande comme définitive.

Éviter que cela recommence

La prévention doit faire partie du déploiement, pas d’une liste de vérifications que l’on espère relire. Sur mes projets WordPress et applications métier, je préfère cumuler plusieurs barrières indépendantes :

authentification activée automatiquement sur les environnements hors production ;
noindex piloté par une variable d’environnement et non par une action manuelle ;
absence de préprod dans les sitemaps et les liens publics ;
données anonymisées quand une copie de production est nécessaire ;
contrôle automatique des en-têtes HTTP avant chaque livraison ;
vérification inverse le jour de la mise en ligne, afin de ne pas laisser le site final en noindex.

Questions fréquentes

Combien de temps faut-il pour disparaître de Google ?

Le délai dépend du prochain passage du robot. L’outil de suppression accélère le masquage, mais la disparition durable exige que Google constate ensuite un noindex, une protection ou un statut de suppression.

Une balise canonique vers la production suffit-elle ?

Non. Une canonique est un signal de consolidation, pas une interdiction d’indexation ni une mesure de sécurité. Sur une préprod, utilise une vraie protection.

Dois-je supprimer le sous-domaine ?

Pas forcément. Si tu en as encore besoin, protège-le. S’il ne sert plus, supprime son contenu et fais renvoyer un statut cohérent au lieu de laisser une ancienne copie accessible.

Sources officielles

Tu veux sécuriser une préprod existante ou fiabiliser tes déploiements WordPress ? Mon accompagnement de consultant SEO technique couvre le diagnostic d’indexation, et mon expertise WordPress permet de corriger directement la chaîne de publication.