Préproduction indexée : la sortir de Google

Un seul lien suffit à faire indexer une préproduction

Une préproduction (on dit aussi recette, test ou staging) est une copie du site où l'on prépare les changements avant de les publier. Elle vit souvent sur un sous-domaine, comme staging.exemple.fr, et elle est parfois laissée ouverte à tous pour que le client ou l'équipe la consulte sans identifiant.

Google n'a pas besoin qu'on la lui signale. Il découvre les adresses par les liens des pages qu'il connaît déjà, et par les sitemaps. Un lien vers la copie suffit : publié par erreur sur le vrai site, laissé dans un ticket public, partagé sur une page que Google lit. Si la copie reprend le robots.txt de la production, qui autorise en général tout le site, rien ne l'arrête une fois qu'il l'a trouvée.

Vivre sur un sous-domaine ne la protège pas : pour Google, c'est une adresse publique comme une autre.

Deux sites pour un même contenu, et Google en garde un

Une préproduction reprend les textes, les titres et les images de la production. Pour Google, ce sont des pages en double : il les regroupe et en garde une, celle qu'il juge la plus représentative. Il en décide d'après ses propres signaux, et sur certaines pages la copie peut l'emporter.

Notre propre site a connu une version de ce problème, sans préproduction : une copie de l'accueil servie à sa racine a été indexée à la place des deux accueils de langue, alors qu'aucun lien interne n'y menait. Le guide sur un site qui n'apparaît pas sur Google raconte ce cas.

Une copie peut aussi montrer ce qui n'est pas prêt : des prix pas encore annoncés, un texte provisoire, des pages d'essai, une offre en préparation. Elle tourne parfois avec des réglages de développement, plus bavards et moins protégés que ceux de la production.

Mot de passe, noindex, robots.txt : lequel retire la copie

Google décrit trois façons de retirer durablement une page de ses résultats : la supprimer, pour que le serveur réponde 404 ou 410 ; en bloquer l'accès, par exemple par un mot de passe ; ou la marquer noindex. Son outil de suppression, dans la Search Console, ne masque une adresse que pour six mois environ : il fait gagner du temps, il ne remplace aucune des trois.

L'interdiction dans robots.txt, souvent conseillée pour une préproduction, n'en fait pas partie. Elle empêche Google de lire les pages, pas de les garder : une adresse qu'il connaît déjà peut rester dans les résultats, sans description. Et la consigne noindex ne fonctionne que si la page n'est pas bloquée par robots.txt. Le guide sur la différence entre interdire l'exploration et désindexer détaille ce piège.

Le mot de passe est la protection qui tient. Demandé par le serveur, il fait répondre 401 à chaque page, une réponse que Google range parmi les causes de non-indexation, et la copie reste fermée à tous ceux qui ne doivent pas la voir, robots compris. La consigne noindex retire la copie des résultats, mais la laisse ouverte à qui connaît l'adresse.

Fermer la copie, puis faire la liste des autres

La préproduction est souvent tenue par l'agence, l'indépendant ou l'équipe qui construit le site. Ce qui suit, ce sont donc surtout des demandes à leur faire, et des décisions qui vous reviennent.

1. Faites fermer la copie par un mot de passe demandé par le serveur, sur toutes ses pages. Google finit par la retirer de ses résultats, et plus personne ne l'ouvre sans y être autorisé.
2. En attendant, faites masquer ses adresses avec l'outil de suppression de la Search Console. Il n'agit que dans une propriété de la Search Console dont vous êtes propriétaire : déclarée pour le domaine entier, elle couvre aussi les sous-domaines de travail. Le masquage dure environ six mois, le temps que le mot de passe fasse son effet.
3. Demandez la liste de toutes les copies du site : préproduction, recette, démonstration, ancienne version. Chacune se ferme de la même façon.
4. Faites retirer les liens qui mènent à la copie, sur le vrai site comme dans les documents que vous publiez.
5. Pour votre prochain site, inscrivez dans la commande qu'une préproduction est fermée dès sa création, et vérifiez-le à la livraison comme le reste.

Poser le mot de passe se règle en général chez l'hébergeur ou dans la configuration du serveur, sans toucher au site. Le travail prend une autre ampleur quand la copie a longtemps vécu à découvert : des liens extérieurs mènent à elle, des pages du vrai site y renvoient, ou les deux sites ont divergé et l'on ne sait plus lequel fait foi. Il faut alors retrouver ce qui mène à la copie, rediriger vers la production ce qui doit l'être, et décider de ce que devient la préproduction elle-même.

Quand la copie a été ouverte par l'agence ou l'indépendant qui a construit le site, la fermer fait partie d'une livraison propre. Le guide pour juger le site qu'une agence web a livré décrit ce que l'audit relève sur un site qui vient d'être livré.

Staging, test, dev : les copies cherchées, et celles qu'on écarte

L'audit cherche les copies là où les équipes les placent d'habitude : six noms de sous-domaine courants pour une préproduction, comme staging, test ou dev, sur le domaine du site. Pour chacun, qu'une page réponde ne suffit pas à la relever.

• Le code de réponse. Un sous-domaine qui n'existe pas, ou qui demande un mot de passe, n'est pas relevé : une préproduction protégée est une préproduction bien tenue.
• Le poids de la page servie, comparé à celui de l'accueil de production. Une page beaucoup plus légère est une page d'attente ou un écran de connexion, pas une copie : elle est écartée. Ce contrôle existe parce que notre règle a relevé une fois, à tort, une page de quelques centaines d'octets qui n'affichait que « DEV ».
• Le contenu, jugé par une personne : une copie du site, ou un site distinct qui a sa raison d'être sous ce nom (une démonstration, un blog, une autre application) ? Seule la copie est relevée.
• Les fermetures déjà posées : une consigne noindex, ou un robots.txt qui interdit tout. L'audit les vérifie avant de conclure qu'une copie est indexable.

Le constat appartient au référencement, mais il touche aussi la sécurité : une préproduction ouverte expose un environnement qui n'est pas réglé comme la production. Quand la copie laisse voir des données ou des fonctions sensibles, le rapport le dit dans sa synthèse.

La frontière se franchit aussi dans l'autre sens. Aucun des deux exemples publiés n'a de préproduction publique. Mais le rapport d'une boutique en ligne relève, parmi les services tiers de ses pages, une ressource servie depuis le sous-domaine de préproduction d'un partenaire de paiement fractionné, chargée sur les pages du site publié. Le rapport la range parmi les points à traiter : le site publié charge là une ressource d'un environnement de test, et ce n'est pas le sien.

L'audit ne trouve que les copies placées sous ces noms usuels, et c'est pourquoi la liste demandée à votre prestataire reste nécessaire. Dans nos audits, une copie publique et indexable du site reste un cas isolé.