Entre le 5 et le 12 octobre 2026, la plateforme Les Bases du numérique d’intérêt général, portée par l’Agence nationale de la cohésion des territoires, a fermé en deux correctifs successifs une faille qui permettait d’obtenir un backlink suivi depuis un domaine .gouv.fr avec pour seul sésame une adresse e-mail. Le mécanisme tenait en trois gestes : créer un compte sur lesbases.anct.gouv.fr, publier une « ressource » pointant vers son propre site, et laisser l’autorité du domaine gouvernemental faire le reste. L’équipe technique de la plateforme indexait ces nouvelles pages en moins de 24 heures, un délai que la plupart des sites n’obtiennent jamais.
Le site spécialisé Abondance documente l’exemple le plus parlant, repéré début octobre : une ressource intitulée « Les 7 meilleures banques en ligne en 2026 », publiée sur la plateforme, s’est hissée en première position sur sa requête cible deux jours seulement après sa mise en ligne. D’autres ressources repérées visaient des requêtes commerciales du même genre, comme « les meilleurs consultants SEO en France » ou « simulateur PEA gratuit ».
Table des matières
Comment la faille fonctionnait, concrètement
La mécanique exploitait un biais que tout moteur de recherche applique : un lien hébergé sur un domaine institutionnel pèse plus lourd dans le calcul d’autorité qu’un lien depuis un blog quelconque, parce que l’historique de ce type de domaine est associé à un contenu fiable. Avant octobre 2026, Les Bases du numérique d’intérêt général n’imposait aucune barrière entre « créer un compte » et « publier un lien suivi vers l’extérieur » : les deux opérations ne demandaient qu’une adresse e-mail valide, sans vérification d’identité ni modération préalable. Un backlink obtenu ainsi ne coûtait rien et ne demandait aucun contenu mérité, ni relation avec l’éditeur du site, ni ressource assez utile pour être recommandée par la communauté.
Le correctif en deux temps : neutraliser le lien, puis neutraliser le contenu
L’équipe technique de la plateforme, dont le code est publié en open source sur GitHub (projet inclusion-numerique/la-base), a réagi en deux temps distincts, documentés par deux pull requests horodatées. La PR #434, mergée le 5 octobre 2026, ajoute l’attribut rel= »nofollow ugc noopener noreferrer » à tous les liens saisis par les utilisateurs : dans le texte riche des ressources, dans les blocs de type « Lien » et réseaux sociaux, et côté serveur par un en-tête HTTP X-Robots-Tag: noindex, nofollow sur les routes markdown et par une balise meta robots noindex, nofollow sur les pages à jeton. Concrètement, chaque lien posé par un utilisateur perd, du jour au lendemain et rétroactivement sur l’historique, la capacité à transmettre de l’autorité à un moteur de recherche.
Une semaine plus tard, la PR #444, mergée le 12 octobre 2026, s’attaque à un problème différent : le contenu lui-même, pas seulement ses liens. Les pages (ressources, collections, profils) dont aucun contributeur ne remplit l’un des trois critères de confiance définis dans le code de la plateforme reçoivent désormais la directive noindex, follow, qui les retire des résultats de recherche sans les supprimer de la plateforme. Ces critères : une adresse e-mail vérifiée en .gouv.fr, un compte âgé d’au moins 30 jours ayant cumulé au moins 1 000 vues sur ses ressources publiques, ou au moins une ressource ayant reçu un avis d’au moins 3 étoiles d’un compte tiers lui-même âgé de plus de 30 jours. Une commande interne, domain:untrusted-users-report, a été ajoutée pour que l’équipe mesure l’ampleur du phénomène avant et après le déploiement.
La différence entre neutraliser un lien et neutraliser un contenu
Cette séquence en deux temps illustre une distinction que beaucoup d’entrepreneurs confondent : retirer la valeur d’un lien et retirer la valeur d’un contenu sont deux leviers différents. Le nofollow coupe la transmission d’autorité du lien vers le site cible, mais le contenu qui le porte reste indexé et peut continuer d’apparaître dans les résultats de recherche. Le noindex, lui, retire la page elle-même des résultats : la page existe toujours sur le site, mais les moteurs ne la proposent plus. La plateforme a d’abord choisi le réglage le plus ciblé, couper la valeur du lien sans toucher au contenu, puis, devant l’ampleur du spam, le réglage plus large qui retire du contenu l’index entier des comptes jugés non fiables.
Ce correctif n’a rien à voir avec une pénalité Google : contrairement à l’abus de réputation de site, sanctionné par une action manuelle de Google et qui ne s’applique plus dans l’Union européenne depuis l’entrée en vigueur du DMA, c’est ici la plateforme elle-même, propriétaire du site exploité, qui a corrigé son propre code. Google n’a rien eu à faire : au moment des sources consultées, les anciens liens pouvaient encore apparaître dofollow dans des outils tiers, le temps qu’un nouveau passage de crawl absorbe le changement côté index.
Ce que ça apprend sur la valeur réelle d’un backlink gratuit
La leçon ne tient pas à « ne publiez jamais sur un site gouvernemental », un réflexe que la plupart des TPE et PME n’auraient de toute façon jamais eu. Elle porte sur la nature d’un lien obtenu par une faille plutôt que par un contenu mérité : sa valeur ne tient que tant que la faille n’est pas corrigée, et sa disparition peut être soudaine, rétroactive et totale. Un artisan qui aurait posé un lien vers son site sur Les Bases fin septembre croyait détenir un backlink institutionnel solide. Deux semaines plus tard, ce même lien ne transmet plus rien, et la page qui le portait risque de sortir purement et simplement des résultats de recherche si le compte qui l’a publié ne remplit aucun critère de confiance.
Le mécanisme exploité, une inscription libre couplée à un lien utilisateur non protégé par défaut, n’a rien de spécifique au secteur public. Il existe sur une grande partie des plateformes communautaires, forums, annuaires et espaces de commentaires qui acceptent un lien sans modération. Ce qui rendait Les Bases particulièrement attractif pour les spammeurs, c’est la réputation du domaine .gouv.fr, pas une faiblesse propre à l’administration.
Ce qu’il faut retenir pour votre propre netlinking
Pour une boutique en ligne ou un cabinet de conseil qui cherche ses premiers backlinks, la question à se poser avant de poser un lien n’est pas seulement « est-ce que ce site a de l’autorité » mais « est-ce que ce lien existe parce que je l’ai mérité, ou parce qu’une faille me le permet ». Un lien obtenu par une relation réelle (un partenaire, un client satisfait, un article qui cite votre contenu parce qu’il est utile) ne disparaît pas du jour au lendemain parce qu’un développeur a mergé un correctif. À l’inverse, un lien acheté ou obtenu par une faille technique partage le même risque structurel : sa valeur dépend d’une tolérance, pas d’un mérite, et cette tolérance peut cesser sans préavis.
La fermeture de cette faille ne change rien pour les sites qui construisent leurs liens sur du contenu utile et des relations réelles. Elle rappelle seulement que la vitesse d’obtention d’un lien gratuit est souvent proportionnelle à la vitesse à laquelle il peut disparaître.
Crédits photo : StartupStockPhotos, analogicus, jarmoluk (Pixabay).
