Détournement du bouton retour : le code tiers dont votre site répond

Depuis le 15 juin 2026, Google peut sanctionner d’une action manuelle ou d’une rétrogradation automatique les pages qui empêchent l’internaute de revenir en arrière. Google précise que le code en cause peut venir des bibliothèques ou de la plate-forme publicitaire du site : un script confié à un prestataire devient un actif à inventorier, à tester et à pouvoir couper.

Entre le 9 mars et le 15 juin 2026, un éditeur qui utilisait les vignettes des annonces automatiques d’AdSense sans avoir décoché une option pouvait afficher une annonce au moment où son visiteur revenait en arrière. Le réglage s’était activé automatiquement le 9 mars 2026. Google a retiré ce déclencheur de sa propre régie pour que ses éditeurs restent conformes à sa nouvelle règle.

Cette règle vise le détournement du bouton retour, ou back button hijacking : une page qui manipule l’historique du navigateur pour empêcher l’internaute de revenir immédiatement d’où il vient. Elle s’applique depuis le 15 juin 2026. Le code qui expose un site est rarement écrit par le site lui-même, puisqu’il vient d’une régie, d’un widget de recommandation ou d’un conteneur administré par une agence. La maîtrise tient alors à trois preuves que l’entreprise doit détenir : qui a installé la balise, qui peut la couper, et quel test daté l’a vérifiée.

Ce que Google sanctionne sous le nom de détournement du bouton retour

La section « Pratiques malveillantes » des règles anti-spam vise le site qui « interfère avec la navigation de l’utilisateur dans son navigateur en manipulant l’historique de navigation ou d’autres fonctionnalités », au point de l’empêcher de revenir immédiatement à la page d’où il vient. La formulation compte : elle porte sur l’interférence, pas sur la technique employée.

Les sanctions prévues sont des actions manuelles ou des rétrogradations automatiques. Une action manuelle vise les pages concernées ; en cas de récidive, d’autres actions peuvent suivre et toucher le classement global du site.

Lecture ExternFlow, parce que le texte laisse une marge : la règle vise l’insertion de pages trompeuses ou manipulatrices, pas une entrée d’historique créée à la demande de l’internaute, comme l’ouverture d’un filtre qu’il vient d’activer. À ne pas confondre non plus avec la mise à jour anti-spam déployée du 24 au 26 juin 2026, qui relève d’un mécanisme algorithmique et non d’une nouvelle règle.

Pourquoi le code tiers d’un prestataire suffit à exposer le site

Le billet d’annonce tient en une phrase : certains cas « peuvent provenir des bibliothèques incluses sur le site ou de la plate-forme publicitaire du site ». Google demande alors de supprimer ou de désactiver tout « code, importation ou configuration » responsable du comportement.

Le mot à retenir est le troisième. Le risque peut naître d’un réglage coché dans une console, sans qu’aucune ligne n’ait été écrite par le site ni par son agence. Un responsable marketing qui demande à son développeur « on a touché à quoi ? » cherche au mauvais endroit : il n’y a parfois rien à trouver dans le dépôt de code.

La vignette AdSense déclenchée par le retour arrière

Le 9 février 2026, AdSense annonce des déclencheurs supplémentaires pour ses vignettes, dont le retour arrière avec le bouton du navigateur sur Chrome, Edge et Opera. Ces déclencheurs s’activent automatiquement un mois plus tard, sauf refus explicite de l’éditeur. Le 7 mai, Google annonce le retrait du déclencheur de retour arrière au 15 juin, sans action requise.

Rien n’indique qu’AdSense enfreignait sa propre règle, et il ne faut pas l’écrire. Le fait utile est ailleurs : un éditeur qui n’avait pas décoché l’option a porté ce réglage pendant plus de trois mois sans l’avoir choisi. Digiday rapportait en mai 2026 que des moteurs de recommandation proposent une fonction comparable, activable par l’éditeur.

Ce que Google dit de la responsabilité du site

Une phrase circule beaucoup depuis avril : « vous êtes responsable des actions des sociétés auxquelles vous faites appel ». Elle figure sur la page consacrée au recours à un référenceur, et c’est ce contexte qu’elle vise. L’étendre à une régie ou à un éditeur de widget est une lecture ExternFlow, cohérente avec le fait qu’une action manuelle frappe les pages du site et non le fournisseur du code.

Aucun texte de Google n’écrit que le site serait entièrement responsable. Ce qui est certain, c’est que la sanction tombe chez lui, et que le prestataire n’en subit aucune conséquence directe. Cette asymétrie se retrouve dans les décisions de référencement qui restent au client.

Inventorier le code tiers par titulaire et droit de coupure

Un inventaire utile ne liste pas des scripts, il liste des titulaires de comptes. Croisez trois sources : les domaines tiers visibles dans l’onglet Réseau des outils de développement, sur trois gabarits (accueil, article ou fiche produit, page de catégorie) ; les balises publiées dans le conteneur Tag Manager et les extensions du CMS ; les contrats et les consoles de vos fournisseurs.

Une limite à connaître avant de conclure quoi que ce soit : un script chargé en cascade par un autre, comme les appels successifs d’une régie vers ses partenaires, n’apparaît ni dans votre code source ni dans votre conteneur. L’inventaire par titulaire reste donc partiel par nature, et c’est la raison pour laquelle le test compte davantage que la liste.

La colonne décisive est la quatrième. Un code que seule l’agence peut dépublier, ou qu’un fournisseur règle depuis sa console sans vous prévenir, n’est pas maîtrisé par votre entreprise. C’est une information contractuelle, pas technique.

Tester le bouton retour selon un protocole reproductible

Un test valable se rejoue à l’identique et se consigne. Sept étapes suffisent, chacune avec son résultat attendu.

• Étape 1, l’origine : partir d’une vraie page de résultats Google, sur Chrome Android puis sur ordinateur, avec un profil neuf ou une fenêtre privée.
• Étape 2, le consentement : accepter tous les cookies, puis rejouer le test en les refusant, car la CMP conditionne le chargement des codes publicitaires.
• Étape 3, l’attente : laisser charger annonces et widgets pendant une durée fixe, trente secondes servant de repère.
• Étape 4, l’interaction : toucher une zone neutre de la page, sans lien ni bouton.
• Étape 5, le retour : appuyer une seule fois sur Retour ; le résultat attendu est la page de résultats Google.
• Étape 6, la trace : consigner appareil, navigateur, état du consentement, URL et heure, en filmant l’écran.
• Étape 7, la répétition : rejouer sur chaque gabarit et après chaque mise en production d’un prestataire.

La dernière étape n’est pas de la précaution excessive. Une annonce servie aux enchères change d’un chargement à l’autre : un test unique qui passe ne prouve rien pour le chargement suivant. Trois passages par gabarit donnent une base discutable en réunion.

Pourquoi un test sans clic ne prouve rien

La documentation du projet Chromium décrit une intervention peu connue : le bouton retour de Chrome saute les entrées d’historique ajoutées par une page qui n’a reçu aucune activation de l’utilisateur. Selon MDN, cette activation naît d’une touche, d’un clic ou d’un appui tactile ; le défilement n’en fait pas partie.

Conséquence directe pour votre protocole : charger une page puis appuyer aussitôt sur Retour masque tous les codes qui attendent une interaction. Il faut un clic avant d’appuyer sur Retour. L’intervention qui sauterait aussi les entrées créées par un code publicitaire après un clic existe, mais elle est désactivée par défaut au 15 septembre 2026.

Remonter au script responsable par la pile d’appels

Quand le test échoue, la console du navigateur désigne le coupable. Journaliser les appels aux méthodes de l’API History avec leur pile d’appels fait apparaître le fichier d’origine, donc le fournisseur. Chrome inscrit aussi dans son panneau Problèmes les entrées d’historique qu’il a sautées.

À défaut d’accès à la console, la méthode lente fonctionne : suspendre les balises une par une en préproduction, en rejouant le test après chaque coupure. Comptez une demi-journée pour un site chargé, et faites-la faire par celui qui détient le conteneur.

L’avertissement Search Console d’avril 2026 et ses limites

Le texte de l’avertissement envoyé avant l’échéance, relayé fin avril par un média spécialisé, contient trois précisions que beaucoup de lecteurs ont sautées. Les exemples d’URL ne sont pas exhaustifs. Aucune action manuelle n’était appliquée à ce stade. Et les corrections postérieures au 17 avril n’étaient pas prises en compte dans le message, une revérification étant prévue avant toute action.

Trois conséquences pratiques : testez au-delà des adresses citées, datez chaque correction pour pouvoir la rapprocher d’une revérification, et ne lisez jamais l’absence de message comme une attestation de conformité. Les messages partent vers les propriétaires et les utilisateurs de la propriété, d’où l’intérêt d’un titulaire interne, comme le détaillent les statuts de propriétaire et d’utilisateur dans la Search Console. La gouvernance d’une action manuelle et la demande de réexamen font l’objet d’un article distinct.

Couper le script d’abord, négocier avec le prestataire ensuite

L’ordre des opérations évite des semaines de discussion pendant que les pages restent exposées. Coupez la fonction d’abord, par la console du fournisseur, la mise en pause de la balise ou le retrait du code. Rejouez le test. Obtenez une confirmation écrite du réglage désactivé. Datez le tout dans votre journal des changements.

Reste la question qui fâche, celle du revenu. Aucune source publique ne mesure ce que rapportent ces fonctions ; un éditeur cité par Digiday a coupé la sienne faute de revenu significatif, ce qui reste un témoignage isolé. Y renoncer est une décision de l’entreprise, pas de son agence, et elle se prend avec les chiffres de votre propre régie.

Clause de conformité du code tiers : les points à faire relire

Une limite d’abord : une plateforme en libre-service impose ses conditions générales, et rien ne se négocie. La clause se discute avec une régie sous contrat, un éditeur de widget ou une agence, c’est-à-dire là où existe un rapport commercial direct.

Deux repères du Code civil méritent d’être posés devant votre juriste, sans conclure à leur place. L’article 1231-3 limite les dommages et intérêts à ce qui était prévu ou prévisible lors de la conclusion du contrat, sauf faute lourde ou dolosive : d’où l’intérêt de mentionner par écrit qu’une sanction de Google et une perte de trafic sont des conséquences envisagées. L’article 1170 répute non écrite la clause qui prive de sa substance l’obligation principale du débiteur, ce qui intéresse les plafonds de responsabilité.

Le délai de retrait après signalement relève de la négociation, pas d’un usage établi : ne le présentez pas comme une norme du marché. Sur la nature même de l’engagement, voyez la différence entre obligation de moyens et obligation de résultat.

Un script que personne ne peut couper est un risque que vous portez

La règle ne distingue pas le code écrit par le site de celui que ses prestataires y chargent. La sanction, elle, ne frappe qu’une adresse : la vôtre. Entre une régie qui active un format par défaut et une agence qui publie une balise un vendredi soir, la seule protection reste une preuve datée et un droit de coupure. Autant ne renouveler aucun contrat sans test daté, ni sans droit de coupure identifié.

Passez le protocole sur vos trois gabarits les plus visités avant votre prochaine réunion de régie, et gardez-en la trace horodatée. Pour suivre les évolutions de la section pratiques malveillantes et les premiers chiffres d’application, la newsletter ExternFlow vous préviendra.

Sources et références

Cet article s’appuie notamment sur le billet de Google Search Central annonçant la règle le 13 avril 2026, sur la section des règles anti-spam consacrée aux pratiques malveillantes, sur le rapport sur les actions manuelles de la Search Console et sur l’aide relative aux propriétaires, utilisateurs et autorisations. Le cas de la régie a été lu dans les annonces AdSense sur les déclencheurs de vignettes, le comportement du navigateur dans la documentation Chromium sur l’intervention relative à la manipulation de l’historique, et la phrase sur la responsabilité du site dans la page de Google consacrée au recours à un référenceur. Les repères de droit français proviennent de l’article 1231-3 du Code civil et des articles voisins sur Légifrance, et le texte de l’avertissement envoyé avant l’échéance a été relevé dans l’article de Search Engine Roundtable du 28 avril 2026. Toutes ces pages ont été consultées le 15 septembre 2026.