Définition
Le Pingback Spam detourne le protocole XML-RPC de pingback, une fonctionnalité native de WordPress qui notifié automatiquement un site lorsqu'un autre site le mentionne avec un lien. Contrairement aux trackbacks, les pingbacks sont entièrement automatiques et incluent une vérification : WordPress vérifié que le lien existe réellement dans l'article source. Les spammeurs contournent cette vérification en créant des pages temporaires contenant effectivement un lien vers la cible, declenchant un pingback légitime avant de modifier ou supprimer la page source. Au-delà du spam SEO, le protocole pingback a été massivement exploite pour des attaques DDoS amplifiees : un attaquant envoie des requêtes pingback a des milliers de sites WordPress qui interrogent tous simultanément le site cible, le submergeant de requêtes. WordPress a progressivement renforce la sécurité autour des pingbacks, mais la meilleure pratique reste de les desactiver complètement. En 2026, la fonctionnalité pingback est considérée obsolète par la communauté WordPress et de nombreux hébergeurs la desactivent par défaut.
Points clés à retenir
- Exploite le protocole XML-RPC natif de WordPress pour générer des notifications automatiques
- Contrairement aux trackbacks, les pingbacks vérifient que le lien source existe réellement
- Le protocole pingback a été detourne pour des attaques DDoS amplifiees
- La desactivation de XML-RPC est la meilleure protection contre le pingback spam
Exemples concrets
Pingback spam classique
Un spammeur crée un article avec un lien vers un blog cible, declenchant un pingback automatique. Le blog cible affiche le pingback comme commentaire avec un lien retour. Le spammeur repete l'opération sur des milliers de blogs.
Attaque DDoS par pingback
Un attaquant envoie des requêtes XML-RPC pingback a 50 000 sites WordPress, leur demandant de vérifier un lien sur le site cible. Les 50 000 sites interrogent simultanément le site cible, provoquant une surcharge serveur.
Protection XML-RPC
Un administrateur WordPress desactive complètement XML-RPC via le fichier .htaccess (deny from all sur xmlrpc.php) ou installe le plugin Disable XML-RPC, éliminant le vecteur d'attaque pingback.
Questions fréquentes
Trois méthodes : 1) Réglages > Discussion > Decocher 'Autoriser les notifications de liens depuis d'autres blogs'. 2) Bloquer xmlrpc.php via .htaccess avec 'deny from all'. 3) Installer un plugin comme Disable XML-RPC ou Wordfence qui bloque les requêtes XML-RPC malveillantes.
Non. Les liens de pingback sont en nofollow et n'apportent aucune valeur SEO directe. Leur seul intérêt original était de notifier les auteurs cités et de créer un réseau de références entre blogs. En 2026, cette fonctionnalité est obsolète et remplacée par les Webmentions du standard IndieWeb.
Termes liés
Aller plus loin avec LemmiLink
Découvrez comment LemmiLink peut vous aider à mettre en pratique ces concepts SEO.
Dernière mise à jour : 2026-02-07