PHP2Shell : mettre votre site hors ligne, mais pas n’importe comment
L’actualité des webmasters de ces dernières 48 heures est dominée par une faille de sécurité. Le 21 octobre, le projet PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 pour corriger deux vulnérabilités critiques, surnommées PHP2Shell. PHP est le langage de programmation sur lequel repose WordPress. Si votre site utilise WordPress, il est donc concerné. Plusieurs sites ont été mis hors ligne pour installer le correctif ou préparer son déploiement, notamment des sites gouvernementaux de l’Union européenne (UE).
Si vous mettez votre site hors ligne pour appliquer le correctif, les consignes de Google sont claires. John Mueller recommande de renvoyer un code HTTP 503 plutôt que de laisser les requêtes expirer ou de renvoyer des codes 404 ou 500. Un code 503 signifie « temporairement fermé, revenez plus tard ». Il précise que cette réponse peut être envoyée sans passer par PHP, en faisant pointer le DNS ailleurs ou en passant par un CDN. Un point essentiel : si PHP ne fonctionne plus, il ne peut pas envoyer ce message lui-même. Selon la documentation de Google, le code 503 est destiné aux mises hors ligne urgentes d’un à deux jours, quelques jours tout au plus. Le fichier robots.txt, lui, ne doit jamais renvoyer de code 503. Search Engine Journal a relayé le même rappel.
Les positions continuent de bouger
Les résultats de recherche sont instables depuis un mois entier. Depuis fin septembre, notre indicateur oscille entre un niveau modéré et élevé, et repart à la hausse. La première mesure du jour est de 7,7, mais seuls 5 des 12 fournisseurs ont transmis leurs données. Et leurs résultats divergent nettement : Serpstat et Wincher affichent 10/10, contre 3,2 pour SimilarWeb. Barry Schwartz, de Search Engine Roundtable, a signalé une hausse des discussions les 20 et 21 octobre. Il estime qu’une mise à jour de Google est en cours, sans confirmation officielle. Certains propriétaires de sites ont vu leurs positions progresser, mais leurs clics chuter de 60 à 70 % par rapport à la normale. Ce décalage indique généralement que les AI Overviews répondent à la question avant même que l’internaute ne clique.
Prenez les données des outils avec prudence. Selon Nozzle, une partie des résultats que Google transmet aux outils de suivi des positions est complète, mais incorrecte. Cette part a atteint un pic de 25 % et se situe entre 5 et 11 % par jour depuis le 1er octobre.
Que faire ?
- Demandez dès aujourd’hui à votre hébergeur si votre serveur utilise une version corrigée de PHP.
- Renvoyez un code 503, pas une page d’erreur, si vous mettez votre site hors ligne.
- Fiez-vous aux clics de Search Console plutôt qu’aux outils tiers de suivi des positions cette semaine.
