Stručně: SEO spam v indexu Google téměř vždy znamená, že na vašem serveru běží cizí kód, který spamové stránky vytváří nebo doručuje. Nejprve zjistěte, zda stránky vznikají jako soubory, jako záznamy v databázi, nebo dynamicky pomocí vloženého kódu. Po vyčištění musí každá spamová URL trvale vracet 404 nebo 410; nástroj pro odebrání v Search Console obsah skryje jen dočasně.
Když vaše doména najednou umisťuje cizí obsah
Nález bývá náhodný. Zaměstnanec hledá název vlastní firmy a pod ním vidí záznamy v cizím jazyce. Nebo se v Search Console objeví vyhledávací dotazy na léky, hazardní hry nebo značkové zboží, s kliknutími na stránky, které nikdo nevytvořil.
Pro útočníky je důvěryhodná firemní doména cenná. Vyhledávače jí věří a spamové stránky pod touto adresou se umisťují snáze než na čerstvě registrovaných doménách. Následky nesete vy jako provozovatel: trpí vaše pověst, Google může zobrazit varování a vlastní obsah ztrácí viditelnost.
SEO spam je příznakem průniku, ne marketingovým problémem. Po PHP2Shell, tedy zranitelnostech CVE-2026-109618 a CVE-2026-109619 přímo v PHP, to platí zvlášť: aktualizace na opravenou verzi PHP zranitelnost uzavře, ale vložený kód neodstraní. Pokud Google již zobrazuje varování, popisuje postup ověření průvodce Odstranění varování Google. Tento článek se soustředí na samotné spamové stránky.
Rozpoznání SEO spamu: co ukazuje Search Console
Google Search Console nabízí několik přehledů, které SEO spam zviditelní ještě dříve, než se objeví varování:
- Výkon: vyhledávací dotazy a stránky, které neodpovídají vaší nabídce, často v cizích jazycích nebo písmech.
- Indexování stránek: skokový nárůst indexovaných nebo objevených stránek, aniž by váš tým publikoval obsah.
- Mapy webu: odeslané mapy webu, které nikdo z týmu nezná.
- Uživatelé a oprávnění: další vlastníci, přes které mohou útočníci odesílat mapy webu.
Poznamenejte si příklady URL a jejich vzorec: leží v podadresáři, mají vlastní příponu, obsahují náhodně působící řetězce znaků? Vzorec je nejdůležitějším vodítkem, kde stránky na serveru vznikají.
Odkud spamové stránky pocházejí
Spamové stránky mohou vznikat třemi způsoby. Způsob určuje, kde hledat a jak čistit:
| Vznik | Typické stopy | Kde hledat |
|---|---|---|
| Statické soubory | mnoho souborů HTML nebo PHP v nové složce | souborový systém, podle data změny |
| Záznamy v databázi | spamové příspěvky nebo produkty v CMS, často nezveřejněné či skryté | tabulky s obsahem v databázi |
| Dynamicky vytvářené | žádné soubory, URL existují jen při volání | pravidla přepisování, vstupní soubory, vložený kód |
Třetí variantu je nejtěžší najít. Malý kus kódu ve vstupním souboru nebo v .htaccess zachytí požadavky podle určitého vzorce a spamovou stránku vytvoří ze šablony nebo ji stáhne z cizího serveru. Spamový obsah často vidí jen vyhledávače, zatímco běžní návštěvníci dostanou chybovou stránku nebo úvodní stránku.
Čtecím dotazem ověříte, co server skutečně doručuje. Dosaďte spamovou URL ze Search Console:
# Odpověď pro běžný prohlížeč
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"
# Odpověď na požadavek s identifikací Googlebota
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
Liší-li se stavové kódy, server vyhodnocuje identifikaci volajícího. Skutečné kontroly ze strany Google mohou navíc záviset na adrese volajícího; kontrola URL v Search Console proto spolehlivěji ukáže, co Google vidí. Pokud je spamový obsah v databázi, pomůže článek Kontrola databáze na vložený kód.
Trvalé vyčištění indexu
Nejprve přijde vyčištění serveru. Teprve když je generující kód odstraněn a vstupní brána uzavřena, vyplatí se práce na indexu. Nápověda Google uvádí jasné postupy:
- Spamové URL odpovídat kódem 404 nebo 410: Stránky musí skutečně zmizet. Namátkou ověřte výše uvedenými příkazy, že žádná varianta už obsah nevrací.
- Nepřesměrovávat na úvodní stránku: Plošné přesměrování nechává URL dál existovat a vyčištění rozmělňuje.
- Neblokovat v robots.txt: Podle nápovědy Google to není vhodná cesta k odstranění, protože Google pak smazané stránky nemůže načíst.
- Odstranit cizí mapy webu a vlastníky: Spamové mapy webu odeslané do Search Console smazat a neznámé vlastníky odebrat.
- Podle potřeby dočasně skrýt: Dočasné odebrání skryje zvlášť škodlivé URL podle nápovědy Google asi na šest měsíců. Trvalé řešení nenahrazuje.
Myslete i na další vyhledávače. Spamové stránky byly dostupné všem crawlerům, nejen Google. Trvale správná odpověď 404 nebo 410 platí i tam. Kdo používá nástroje pro webmastery u dalších vyhledávačů, měl by tam rovněž zkontrolovat mapy webu a oprávněné osoby. Seznam známých spamových URL si také uchovejte jako součást dokumentace incidentu.
Pokud se po vyčištění objeví nové spamové URL, byla přehlédnuta zadní vrátka. Pak nestačí smazat jen nové stránky, ale je nutné znovu zahájit hledání na serveru.
Jak zabránit návratu
SEO spam se často vrací, protože byly odstraněny jen viditelné stránky. V týdnech po vyčištění sledujte Search Console a nechte e-mailová oznámení chodit na adresu, která se pravidelně čte. Na straně serveru to doplní kontrola souborů, která hlásí nové soubory PHP a změny v .htaccess. Pokud návštěvníky místo na spamové stránky přesměrovává web na cizí nabídky, pomůže článek Web přesměrovává na cizí stránky.
Jak konkrétně pomáhá PHP SOS?
- Na základě dat ze Search Console a odpovědí serveru zjistíme, jak spamové stránky vznikají.
- V rámci odstranění malwaru odstraníme generující kód, spamový obsah a zadní vrátka a uzavřeme vstupní bránu.
- Ověříme, že všechny známé spamové URL trvale vracejí 404 nebo 410, a vyčistíme mapy webu a vlastníky v Search Console.
- Nastavíme sledování, které brzy zviditelní nové soubory a neobvyklé počty indexovaných stránek.
Časté dotazy
Proč se pod mou doménou v Google objevují cizí stránky?
Útočníci obvykle umístili na server kód, který spamové stránky vytváří nebo doručuje. Využívají důvěru, kterou vyhledávače vaší doméně projevují, aby vynesli vlastní nabídky nahoru. Je to známka průniku, ne chyby v SEO.
Stačí spamové URL skrýt nástrojem pro odebrání?
Ne. Podle nápovědy Google dočasné odebrání skryje URL jen asi na šest měsíců a procházení nezabrání. Stránky trvale zmizí teprve tehdy, když pro ně server vrací 404 nebo 410.
Mám spamové URL zablokovat v robots.txt?
Ne. Nápověda Google výslovně nedoporučuje blokovat stránky určené k odstranění v robots.txt. Zablokované URL už Google nemůže načíst, a proto nepozná ani to, že byly smazány.
Jak dlouho zůstanou spamové stránky po vyčištění v indexu?
Záleží na tom, kdy Google URL znovu načte. Spolehlivou dobu uvést nelze. Důležité je, aby každá známá spamová URL trvale vracela 404 nebo 410 a nepřibývaly nové.