Le 26 août 2026, un porte-parole de Google a confirmé à Barry Schwartz, fondateur de Search Engine Roundtable, le déploiement généralisé du paramètre google.com/goto dans les pages de résultats. Chaque lien organique pointe désormais vers une adresse intermédiaire de Google, qui redirige ensuite vers la page de destination via une redirection côté serveur (le navigateur reçoit un code 302 et une nouvelle adresse, sans que l’URL finale figure dans le code de la page de résultats). Le porte-parole invoque des mesures techniques de protection contre des formes d’abus en constante évolution, sans nommer ni les scrapers, ni les outils de suivi de position, ni les entreprises d’IA.
Cinq semaines plus tôt, le 20 juillet 2026, la juge fédérale Yvonne Gonzalez Rogers rejetait la plainte de Google contre SerpApi, en jugeant que des résultats de recherche composés d’URL et de snippets sont des faits publics que le droit d’auteur ne protège pas.
La séquence dit l’essentiel : privé de l’arme juridique, Google verrouille par l’architecture. Mais goto n’est pas un mur, c’est une taxe. Les tests que Neper a menés sur des tokens réels, détaillés plus bas, montrent que le verrou n’est ni cryptographique ni comportemental : il est infrastructurel, et les principaux fournisseurs de données SERP ont annoncé l’avoir absorbé en moins de cinq jours.
Un lien qui ne dit plus où il mène
Le mécanisme est visible par n’importe qui en navigation privée : survolez un résultat, la barre d’état du navigateur affiche une adresse du type google.com/goto?url= suivie d’un long jeton alphanumérique, à la place de l’URL du site. Le clic aboutit toujours à la bonne page, mais l’adresse de destination a disparu du code HTML de la SERP.
Le dispositif ne date pas du 26 août. Le consultant Alex Greenland signale la réécriture des liens dès le 23 juin 2026, Brodie Clark l’observe début juillet sur les listings organiques et payants, et Barry Schwartz la décrit comme un test le 8 juillet. Ce qui a changé fin août, c’est l’échelle : Derek Perkins, cofondateur de l’outil de suivi de position Nozzle, mesure un déploiement proche de 100 % sur plusieurs fournisseurs d’IP résidentielles (des adresses attribuées à des foyers, que les scrapers louent pour se fondre dans le trafic humain), après environ quatre mois de tests par paliers.
Le déploiement n’est pas uniforme pour autant. Ray Grieselhuber, fondateur de DemandSphere, indique le 27 août que les utilisateurs connectés à un compte Google reçoivent ou non les liens goto, et recommande le mode incognito pour reproduire le comportement de façon fiable. Deux praticiens qui vérifient la même requête peuvent donc constater deux choses différentes, sans que l’un des deux se trompe.
Du côté judiciaire, c’est pas gagné !
Pour comprendre pourquoi Google investit dans cette tuyauterie, il faut relire le calendrier judiciaire. Le 19 décembre 2025, Google attaque SerpApi, société texane d’une quarantaine de salariés qui revend des résultats de recherche via API, sur le fondement de la section 1201 du DMCA (la disposition du droit d’auteur américain qui interdit de contourner les protections techniques d’une œuvre). Google reproche à SerpApi d’avoir contourné son système anti-bot SearchGuard.
La défense, déposée le 20 février 2026 par SerpApi, retourne l’argument : la section 1201 protège l’accès à des œuvres protégées, or des URL, des snippets et des données factuelles d’index n’en sont pas. Le 20 juillet, la juge Gonzalez Rogers suit ce raisonnement et rejette avec prejudice (définitivement, sans possibilité de réécrire la plainte sur ce point) le volet portant sur les résultats sans contenu protégé. Google ne peut pas utiliser le droit d’auteur pour interdire le scraping de ses résultats bruts. Seul le volet concernant les images sous licence des Knowledge Panels survit, avec possibilité d’amendement.
Google a réécrit sa plainte le 10 août, en la recentrant sur ces contenus licenciés. SerpApi a répliqué le 24 août par une nouvelle motion de rejet, et l’audience est fixée au 29 septembre 2026 devant le tribunal fédéral de Californie du Nord.
La chronologie interdit une lecture trop simple : le test goto a commencé avant le jugement du 20 juillet. Google ne riposte pas à sa défaite, il menait les deux fronts en parallèle. Le front technique prend simplement le relais au moment où le front judiciaire vacille.
500 à 1 000 requêtes pour suivre un mot-clé
Le coût du dispositif pour les outils tient en trois mécanismes cumulés.
D’abord, l’URL de destination a quitté le code de la page. Un outil qui lisait les adresses dans le HTML d’une SERP doit désormais résoudre chaque lien individuellement.
Ensuite, Google bloque la voie économique. Une requête HEAD (une requête HTTP qui ne récupère que les en-têtes de la réponse, dont l’adresse de redirection, sans télécharger la page) aurait suffi à résoudre chaque lien à moindre coût. Interrogé sur ce point par le consultant Mic King, Derek Perkins répond que Google refuse les requêtes HEAD sur les URL goto. Il faut donc une requête GET complète par lien. Perkins chiffre la facture : résoudre l’ensemble des liens d’un suivi sur cinq pages de résultats demande entre 500 et 1 000 requêtes par mot-clé.
Enfin, ce surcoût s’ajoute à un précédent. Le 14 septembre 2025, Google avait désactivé le paramètre num=100, qui permettait de récupérer cent résultats en une requête. Semrush avait confirmé un décuplement du coût opérationnel, AccuRanker avait limité son suivi au top 20, Sistrix avait suspendu ses mises à jour desktop, et Ahrefs avait rétabli le suivi du top 100 fin octobre sans détailler sa méthode. num=100 multipliait les pages à récupérer, goto multiplie les requêtes par page. Les deux mesures composent une même repricing de la donnée SERP.
Ce que contient vraiment le token
Depuis fin août, des posts affirment que l’encodage aurait été « craqué facilement ». Neper a vérifié sur pièces, en disséquant des tokens goto capturés en conditions réelles, et le résultat contredit ces affirmations.
Décodé depuis son base64url (une variante de l’encodage base64 compatible avec les URL), chaque token révèle une structure protobuf (Protocol Buffers, le format de sérialisation binaire de Google) réduite à deux champs : un entier de version fixé à 1, puis un bloc binaire de longueur variable. Dans nos échantillons, des blocs de 96 et 107 octets, sans un seul fragment lisible : pas de domaine, pas de chemin, pas de texte. La plus longue séquence de caractères imprimables fait trois caractères, du bruit statistique. L’entropie du contenu (la mesure du désordre des octets, maximale pour des données chiffrées ou aléatoires) est proche du maximum théorique. Deux analyses indépendantes publiées fin août, sur le blog allemand seo-kreativ.de et sur scraping.club, décrivent exactement la même structure.
Deux détails de nos mesures n’apparaissent nulle part ailleurs à notre connaissance. Les blocs de deux tokens capturés dans la même session partagent un préfixe commun de 5 octets, compatible avec un identifiant de clé ou de session, donc avec un chiffrement dont la clé tourne. Et leurs tailles diffèrent de 11 octets : une longueur variable suggère que l’URL de destination est chiffrée dans le token lui-même, plutôt que remplacée par un identifiant de consultation en base à taille fixe. Deux échantillons ne suffisent pas à en faire une certitude, mais l’hypothèse est testable en collectant des tokens pointant vers des URL de longueurs très différentes.
Personne n’a donc décodé quoi que ce soit. Ceux qui affirment le contraire confondent le déchiffrement du token, qui n’existe pas publiquement, avec sa résolution par redirection, qui est une autre histoire.
Qui a le droit de résoudre le lien : notre banc d’essai
La résolution est triviale sur le papier : requêter l’URL goto sans suivre la redirection, et lire la destination dans l’en-tête Location de la réponse. La manipulation se reproduit en une ligne de terminal :
curl -s -o /dev/null -D - "https://www.google.com/goto?url=CAESaw..."
Nous avons soumis les mêmes tokens à ce test depuis deux origines réseau différentes, et les résultats divergent radicalement.
Depuis une IP résidentielle française, avec un curl nu, sans cookies, sans en-têtes de navigateur, sans empreinte TLS de Chrome, la réponse est un 302 propre, avec l’URL de destination en clair dans l’en-tête Location. Depuis une infrastructure datacenter, la même requête sur les mêmes tokens renvoie une erreur 400, requête invalide, sans captcha ni page de consentement.
Le protocole élimine les autres hypothèses une à une. Les tokens capturés en navigation privée fonctionnent en navigation normale : ils ne sont pas liés à la session. Ils se résolvent plusieurs heures après leur capture : ils ne sont pas éphémères à court terme. Un curl sans aucun attribut de navigateur obtient son 302 : le tri ne repose pas sur l’empreinte du client. Reste une seule variable discriminante : la réputation de l’adresse IP d’origine.
La conclusion technique tient en une phrase : le verrou de goto n’est ni cryptographique ni comportemental, il est infrastructurel. Google résout volontiers le lien pour qui requête depuis une IP résidentielle, et le refuse aux clients hébergés en datacenter. Réserve d’échelle : une requête isolée qui passe ne prouve pas que mille requêtes par minute passeraient depuis la même adresse. Le rate limiting (la limitation du débit de requêtes acceptées par client) reste la contrainte dimensionnante, et c’est précisément le modèle économique du dispositif.
Cinq jours plus tard, les outils annoncent avoir absorbé
La question qui intéresse les praticiens est de savoir si leurs données de position vont se dégrader. Les fournisseurs ont répondu vite, et par écrit.
DataForSEO publie ses chiffres le 27 août : le fournisseur d’API affirme résoudre les URL goto vers leur destination directe pour 99,99 % des SERP sur les résultats organiques, ayant identifié le comportement avant le déploiement général. L’impact résiduel se concentre sur les AI Overviews, où 52,26 % des SERP retournées contenaient au moins une URL non résolue ce jour-là, avant une mise à jour annoncée le lendemain pour couvrir ces cas. DemandSphere publie le même jour un billet signé Ray Grieselhuber : contre-mesures déjà déployées, données de ranking organique non affectées, résolution des SERP features en cours. Grieselhuber y conteste au passage la qualification d’abus avancée par Google, qu’il juge définie unilatéralement et contraire à ce que les tribunaux américains ont tranché. Sistrix résout déjà les liens et monte en charge, selon son fondateur Johannes Beus cité par SEO Südwest le 27 août. SerpApi renverrait des liens directs dès le lendemain du constat de déploiement, selon un test publié par un utilisateur de Reddit, donnée de source unique à prendre au conditionnel. Seul Ahrefs a signalé une perturbation, via une notice affichée dans son produit et relayée par Glenn Gabe.
Ces chiffres appellent une réserve : chaque fournisseur décrit sa propre infrastructure, sans contre-vérification indépendante possible. Personne d’autre ne peut mesurer le taux de résolution de DataForSEO que DataForSEO.
Le test le plus instructif vient d’un annonceur. Hanns Kronenberg, responsable SEO de Chefkoch, a comparé le 27 août 1 040 mots-clés sur google.de entre l’interface DataForSEO et des sessions navigateur ordinaires, soit 44 072 URL classées. Sur la requête « girokonto vergleich », son navigateur affichait 116 liens externes en clair et pas une adresse goto, quand le HTML de la même requête via l’API n’en contenait aucun en direct. Sa conclusion rejoint notre banc d’essai : ce qui détermine le traitement n’est pas le marché, c’est le profil du client. Des portes latérales subsistent par ailleurs, comme le lien « Traduire cette page » qui expose l’URL propre quand la langue du client diffère de celle des résultats, signalé sur X, ou la ligne d’URL visible sous le titre du snippet, qui préserve le suivi au niveau du domaine à défaut de l’URL complète.
Pourquoi ça compte, et ce que vous devez faire
Vos données de position passent désormais par une couche de contre-mesures que chaque fournisseur de données sur les SERPs doit répercuter dans ses coûts, (notamment en crééant des pools d’IP résidentielles dont Google peut durcir le tri à tout moment, sans préavis ni changement visible du produit).
Le précédent num=100 s’est soldé par des hausses de coûts et des réductions de couverture chez plusieurs outils. La probabilité que la facture goto finisse dans vos abonnements est élevée, et le maillon le plus fragile est le suivi des citations dans les AI Overviews, résolu en dernier chez les fournisseurs qui publient leurs chiffres.
Google a perdu le droit d’interdire le scraping de ses résultats bruts. Il lui reste le pouvoir d’en fixer le prix, et les urls avec goto sont une nouvelle mesure technique pour rendre l’aspiration des SERPs de plus en plus coûteuse.
Sources et lectures complémentaires
- DataForSEO : Google’s Goto Rollout, We Already Resolve 99.99% of URLs
- DemandSphere : An update from DemandSphere on Google’s goto redirects
- SerpApi : Google v. SerpApi, We’re filing a Motion to Dismiss
- Search Engine Roundtable : Google Search Rolling Out google.com/goto Tracking Parameters
- Search Engine Roundtable : Google Lawsuit Against SerpApi Has Been Dismissed
- Search Engine Land : Google confirms deploying goto URL redirects to search results links
- PPC Land : Google forces rank trackers into 500 to 1,000 requests per query
- PPC Land : SerpApi asks judge to end Google’s scraping case over three unseen contracts
- seo-kreativ.de : Google’s goto Links, Search Results Now Take a Detour
- scraping.club : Google removed the URLs. Only for the people who resell them
- Neper : https://www.neper.fr/2025/09/22/google-fini-les-pages-de-100-resultats-et-les-outils-de-suivi-de-position-sont-tres-impactes/