Définition
Le Pingback Spam detourne le protocole XML-RPC de pingback, une fonctionnalite native de WordPress qui notifie automatiquement un site lorsqu'un autre site le mentionne avec un lien. Contrairement aux trackbacks, les pingbacks sont entierement automatiques et incluent une verification : WordPress verifie que le lien existe reellement dans l'article source. Les spammeurs contournent cette verification en creant des pages temporaires contenant effectivement un lien vers la cible, declenchant un pingback legitime avant de modifier ou supprimer la page source. Au-dela du spam SEO, le protocole pingback a ete massivement exploite pour des attaques DDoS amplifiees : un attaquant envoie des requetes pingback a des milliers de sites WordPress qui interrogent tous simultanement le site cible, le submergeant de requetes. WordPress a progressivement renforce la securite autour des pingbacks, mais la meilleure pratique reste de les desactiver completement. En 2026, la fonctionnalite pingback est consideree obsolete par la communaute WordPress et de nombreux hebergeurs la desactivent par defaut.
Points clés à retenir
- Exploite le protocole XML-RPC natif de WordPress pour generer des notifications automatiques
- Contrairement aux trackbacks, les pingbacks verifient que le lien source existe reellement
- Le protocole pingback a ete detourne pour des attaques DDoS amplifiees
- La desactivation de XML-RPC est la meilleure protection contre le pingback spam
Exemples concrets
Pingback spam classique
Un spammeur cree un article avec un lien vers un blog cible, declenchant un pingback automatique. Le blog cible affiche le pingback comme commentaire avec un lien retour. Le spammeur repete l'operation sur des milliers de blogs.
Attaque DDoS par pingback
Un attaquant envoie des requetes XML-RPC pingback a 50 000 sites WordPress, leur demandant de verifier un lien sur le site cible. Les 50 000 sites interrogent simultanement le site cible, provoquant une surcharge serveur.
Protection XML-RPC
Un administrateur WordPress desactive completement XML-RPC via le fichier .htaccess (deny from all sur xmlrpc.php) ou installe le plugin Disable XML-RPC, eliminant le vecteur d'attaque pingback.
Questions fréquentes
Trois methodes : 1) Reglages > Discussion > Decocher 'Autoriser les notifications de liens depuis d'autres blogs'. 2) Bloquer xmlrpc.php via .htaccess avec 'deny from all'. 3) Installer un plugin comme Disable XML-RPC ou Wordfence qui bloque les requetes XML-RPC malveillantes.
Non. Les liens de pingback sont en nofollow et n'apportent aucune valeur SEO directe. Leur seul interet original etait de notifier les auteurs cites et de creer un reseau de references entre blogs. En 2026, cette fonctionnalite est obsolete et remplacee par les Webmentions du standard IndieWeb.
Termes liés
Aller plus loin avec LemmiLink
Découvrez comment LemmiLink peut vous aider à mettre en pratique ces concepts SEO.
Dernière mise à jour : 2026-02-07