Cliquer sur un résultat Google ne mène plus toujours directement au site affiché. Depuis quelques semaines, le clic passe d'abord par une adresse intermédiaire au format google.com/goto, dont la destination réelle est chiffrée. Officiellement, une simple redirection technique. En pratique, un emballage de clic qui ravive une vieille question du référencement : à qui profite la visibilité de ces liens, au site de destination ou à Google lui-même ?
À retenir
- Google enveloppe désormais les URL de ses résultats dans des liens chiffrés au format google.com/goto (jeton protobuf, chiffrement AES-GCM côté serveur).
- Le chiffrement est incassable hors ligne, mais inutile à forcer : Google renvoie l'URL réelle dans l'en-tête Location de la redirection.
- La redirection observée est un 302 (temporaire), le type même qui, historiquement, laisse l'URL intermédiaire s'indexer et permet le détournement de page.
- Effet visible : des URL /goto se classent dans Google à la place des sites qu'elles pointent, un phénomène proche du googlewashing.
- Le correctif tient en un chiffre : passer le 302 en 301. Google documente ce conseil depuis 2006.
01Des liens sortants, désormais chiffrés
Le constat est simple à reproduire. Sur de nombreuses requêtes, le lien d'un résultat n'affiche plus l'URL du site de destination, mais une adresse du type google.com/goto suivie d'un long jeton. Le clic déclenche bien une redirection vers la page réelle, mais cette page n'apparaît plus en clair dans le code de la SERP.
Sous le capot, selon les analyses techniques publiées ces dernières semaines par la communauté SEO, chaque lien contient un jeton encodé en protobuf, puis chiffré en AES-GCM à l'aide de la bibliothèque Tink de Google, avec une clé conservée sur ses serveurs. Autrement dit, la destination reste illisible tant que Google ne la déchiffre pas lui-même.
Un indice public confirme qu'il s'agit d'une brique d'infrastructure assumée : le fichier robots.txt de Google contient bien la ligne Disallow: /goto?, juste à côté de Disallow: /?. Google demande donc explicitement aux robots de ne pas explorer cet endpoint.
02Un chiffrement incassable, mais inutile à forcer
La tentation serait de vouloir déchiffrer ces jetons. C'est peine perdue hors ligne : casser une clé AES 128 bits par force brute demande de l'ordre de 2 puissance 128 opérations, un nombre très supérieur à ce que toutes les machines de la planète pourraient calculer avant la fin de l'univers.
Mais l'effort n'a aucun intérêt, car Google fait le travail à votre place. Il suffit de suivre la redirection : le serveur renvoie l'URL de destination en clair dans l'en-tête Location de la réponse. Les analyses citées rapportent un test de 25 000 jetons résolus de cette façon, sans le moindre blocage et pour un coût quasi nul, avec un simple User-Agent Chrome. Le chiffrement protège donc l'affichage dans la page, pas la destination elle-même.
Ce que le jeton laisse quand même filtrer : le type de résultat
Ces mêmes analyses pointent une fuite involontaire. En mesurant la longueur des charges utiles, un motif net apparaît : les citations d'AI Overview chiffrent uniquement l'URL, quand les autres types de résultats (organique, vidéo, Local Pack) embarquent un bloc supplémentaire d'environ 21 octets de contexte SERP. Concrètement, lorsqu'une même destination apparaît à la fois en citation IA et en résultat organique, le jeton organique est plus long de 21 octets. Les liens d'AI Overview ressemblent à des pointeurs propres, tandis que les résultats classiques transportent des métadonnées de suivi.
03Le vrai sujet n'est pas la cryptographie, c'est le SEO
Le point sensible pour le référencement tient à deux détails : la redirection est un 302, et ces URL /goto sont indexables. Résultat, elles se mettent à figurer dans l'index de Google. Une recherche site:google.com/goto fait remonter des milliers de résultats, et selon les relevés partagés par ces analyses, Semrush comptabilise près de 24 296 positions organiques sur des requêtes comme breitbart (1,5 million de volume mensuel). Ce sont des adresses appartenant à google.com qui grignotent la visibilité due aux sites de destination.
Des URL appartenant à google.com se classent à la place des sites qu'elles ne font que pointer.
Le phénomène porte un nom dans le milieu : le googlewashing, ici à grande échelle et par l'effet du propre emballeur de clics de Google. Volontaire ou non, l'effet est le même : le site qui produit la page voit une partie de sa visibilité captée par une URL intermédiaire qu'il ne contrôle pas.
Un problème aussi vieux que le 302
Rien de neuf sur le fond. Le détournement de page par redirection 302 est documenté depuis longtemps : Matt Cutts, alors porte-parole SEO de Google, l'expliquait déjà en janvier 2006 dans son billet SEO advice: discussing 302 redirects, en évoquant précisément le 302 hijacking, ce cas où une URL A finit par s'afficher à la place d'une URL B. Le mécanisme est identique ici, mais appliqué à l'échelle et à l'autorité de google.com.
04La rustine du robots.txt ne suffit pas
Google a bien ajouté Disallow: /goto? à son robots.txt. Mais un Disallow bloque l'exploration, pas l'indexation. Google peut parfaitement indexer une URL qu'il n'explore pas, à partir des liens qui pointent vers elle. Avec un domaine aussi puissant que google.com, ces adresses continuent donc de se classer, et les sites réels restent effacés des positions qui devraient leur revenir. La consigne est nécessaire, elle n'est pas suffisante.
05Le correctif tient en un seul chiffre
La solution est connue de tous les référenceurs : remplacer le 302 par un 301. Une redirection permanente transmet les signaux vers la destination réelle et fait sortir l'URL intermédiaire de l'index, ce que le 302, dit temporaire, empêche justement. C'est exactement ce que Google recommande aux webmasters depuis une vingtaine d'années.
Le paradoxe est là : Google connaît ce manuel mieux que quiconque, puisque c'est lui qui l'a écrit. Il lui suffirait d'appliquer à son propre emballeur de clics le conseil qu'il donne au reste du web.
06Ce que ça change pour vous, en SEO et en data
Pour toute personne qui exploite les SERP (suivi de positions, veille, extraction de données), le changement est concret : à la place des URL directes, les résultats renvoient désormais des jetons /goto. Il faut donc résoudre ces liens, c'est-à-dire suivre la redirection, pour retrouver la vraie adresse de destination.
Les éditeurs d'outils s'y adaptent déjà. Un fournisseur d'API SERP indique par exemple résoudre près de 99,99 % des URL organiques, tout en signalant que des liens /goto subsistent dans certaines fonctionnalités, de l'ordre de la moitié des AI Overviews et d'un quart des Local Packs. La priorité annoncée porte sur les AI Overviews.
Pour les éditeurs de sites
Côté site, il n'y a pas de levier direct : c'est la redirection de Google, pas la vôtre. Le bon réflexe est la surveillance : vérifier si des URL google.com/goto pointant vers vos pages apparaissent dans l'index, et suivre l'évolution du dossier. Le vrai correctif, le passage au 301, ne dépend que de Google.
Pour votre suivi de positions, assurez-vous enfin que vos outils résolvent bien les liens /goto. Sinon, vos rapports risquent de pointer vers des wrappers google.com au lieu des pages réelles, et de fausser l'analyse de vos vraies performances.