# SEO spam a cizí stránky v indexu Google

> SEO spam po hacku: jak poznat cizí stránky v indexu Google, zjistit, kde vznikají, a index trvale vyčistit. Praktický postup pro správce webu.

Zdroj: https://phpsos.de/cs/blog/seo-spam-im-google-index/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** SEO spam v indexu Google téměř vždy znamená, že na vašem serveru běží cizí kód, který spamové stránky vytváří nebo doručuje. Nejprve zjistěte, zda stránky vznikají jako soubory, jako záznamy v databázi, nebo dynamicky pomocí vloženého kódu. Po vyčištění musí každá spamová URL trvale vracet 404 nebo 410; nástroj pro odebrání v Search Console obsah skryje jen dočasně.

## Když vaše doména najednou umisťuje cizí obsah

Nález bývá náhodný. Zaměstnanec hledá název vlastní firmy a pod ním vidí záznamy v cizím jazyce. Nebo se v Search Console objeví vyhledávací dotazy na léky, hazardní hry nebo značkové zboží, s kliknutími na stránky, které nikdo nevytvořil.

Pro útočníky je důvěryhodná firemní doména cenná. Vyhledávače jí věří a spamové stránky pod touto adresou se umisťují snáze než na čerstvě registrovaných doménách. Následky nesete vy jako provozovatel: trpí vaše pověst, Google může zobrazit varování a vlastní obsah ztrácí viditelnost.

SEO spam je příznakem průniku, ne marketingovým problémem. Po PHP2Shell, tedy zranitelnostech CVE-2026-109618 a CVE-2026-109619 přímo v PHP, to platí zvlášť: aktualizace na opravenou verzi PHP zranitelnost uzavře, ale vložený kód neodstraní. Pokud Google již zobrazuje varování, popisuje postup ověření průvodce [Odstranění varování Google](https://phpsos.de/cs/ratgeber/google-warnung-entfernen/). Tento článek se soustředí na samotné spamové stránky.

## Rozpoznání SEO spamu: co ukazuje Search Console

Google Search Console nabízí několik přehledů, které SEO spam zviditelní ještě dříve, než se objeví varování:

- **Výkon:** vyhledávací dotazy a stránky, které neodpovídají vaší nabídce, často v cizích jazycích nebo písmech.
- **Indexování stránek:** skokový nárůst indexovaných nebo objevených stránek, aniž by váš tým publikoval obsah.
- **Mapy webu:** odeslané mapy webu, které nikdo z týmu nezná.
- **Uživatelé a oprávnění:** další vlastníci, přes které mohou útočníci odesílat mapy webu.

Poznamenejte si příklady URL a jejich vzorec: leží v podadresáři, mají vlastní příponu, obsahují náhodně působící řetězce znaků? Vzorec je nejdůležitějším vodítkem, kde stránky na serveru vznikají.

## Odkud spamové stránky pocházejí

Spamové stránky mohou vznikat třemi způsoby. Způsob určuje, kde hledat a jak čistit:

| Vznik | Typické stopy | Kde hledat |
|---|---|---|
| Statické soubory | mnoho souborů HTML nebo PHP v nové složce | souborový systém, podle data změny |
| Záznamy v databázi | spamové příspěvky nebo produkty v CMS, často nezveřejněné či skryté | tabulky s obsahem v databázi |
| Dynamicky vytvářené | žádné soubory, URL existují jen při volání | pravidla přepisování, vstupní soubory, vložený kód |

Třetí variantu je nejtěžší najít. Malý kus kódu ve vstupním souboru nebo v `.htaccess` zachytí požadavky podle určitého vzorce a spamovou stránku vytvoří ze šablony nebo ji stáhne z cizího serveru. Spamový obsah často vidí jen vyhledávače, zatímco běžní návštěvníci dostanou chybovou stránku nebo úvodní stránku.

Čtecím dotazem ověříte, co server skutečně doručuje. Dosaďte spamovou URL ze Search Console:

```bash
# Odpověď pro běžný prohlížeč
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"

# Odpověď na požadavek s identifikací Googlebota
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
```

Liší-li se stavové kódy, server vyhodnocuje identifikaci volajícího. Skutečné kontroly ze strany Google mohou navíc záviset na adrese volajícího; kontrola URL v Search Console proto spolehlivěji ukáže, co Google vidí. Pokud je spamový obsah v databázi, pomůže článek [Kontrola databáze na vložený kód](https://phpsos.de/cs/blog/datenbank-auf-schadcode-pruefen/).

## Trvalé vyčištění indexu

Nejprve přijde vyčištění serveru. Teprve když je generující kód odstraněn a vstupní brána uzavřena, vyplatí se práce na indexu. Nápověda Google uvádí jasné postupy:

1. **Spamové URL odpovídat kódem 404 nebo 410:** Stránky musí skutečně zmizet. Namátkou ověřte výše uvedenými příkazy, že žádná varianta už obsah nevrací.
2. **Nepřesměrovávat na úvodní stránku:** Plošné přesměrování nechává URL dál existovat a vyčištění rozmělňuje.
3. **Neblokovat v robots.txt:** Podle nápovědy Google to není vhodná cesta k odstranění, protože Google pak smazané stránky nemůže načíst.
4. **Odstranit cizí mapy webu a vlastníky:** Spamové mapy webu odeslané do Search Console smazat a neznámé vlastníky odebrat.
5. **Podle potřeby dočasně skrýt:** Dočasné odebrání skryje zvlášť škodlivé URL podle nápovědy Google asi na šest měsíců. Trvalé řešení nenahrazuje.

Myslete i na další vyhledávače. Spamové stránky byly dostupné všem crawlerům, nejen Google. Trvale správná odpověď 404 nebo 410 platí i tam. Kdo používá nástroje pro webmastery u dalších vyhledávačů, měl by tam rovněž zkontrolovat mapy webu a oprávněné osoby. Seznam známých spamových URL si také uchovejte jako součást dokumentace incidentu.

> **Důležité:**
> Pokud se po vyčištění objeví nové spamové URL, byla přehlédnuta zadní vrátka. Pak nestačí smazat jen nové stránky, ale je nutné znovu zahájit hledání na serveru.

## Jak zabránit návratu

SEO spam se často vrací, protože byly odstraněny jen viditelné stránky. V týdnech po vyčištění sledujte Search Console a nechte e-mailová oznámení chodit na adresu, která se pravidelně čte. Na straně serveru to doplní kontrola souborů, která hlásí nové soubory PHP a změny v `.htaccess`. Pokud návštěvníky místo na spamové stránky přesměrovává web na cizí nabídky, pomůže článek [Web přesměrovává na cizí stránky](https://phpsos.de/cs/blog/website-leitet-um/).

## Jak konkrétně pomáhá PHP SOS?

- Na základě dat ze Search Console a odpovědí serveru zjistíme, jak spamové stránky vznikají.
- V rámci [odstranění malwaru](https://phpsos.de/cs/leistungen/malware-entfernung/) odstraníme generující kód, spamový obsah a zadní vrátka a uzavřeme vstupní bránu.
- Ověříme, že všechny známé spamové URL trvale vracejí 404 nebo 410, a vyčistíme mapy webu a vlastníky v Search Console.
- Nastavíme sledování, které brzy zviditelní nové soubory a neobvyklé počty indexovaných stránek.


## Časté dotazy

**Proč se pod mou doménou v Google objevují cizí stránky?**  
Útočníci obvykle umístili na server kód, který spamové stránky vytváří nebo doručuje. Využívají důvěru, kterou vyhledávače vaší doméně projevují, aby vynesli vlastní nabídky nahoru. Je to známka průniku, ne chyby v SEO.

**Stačí spamové URL skrýt nástrojem pro odebrání?**  
Ne. Podle nápovědy Google dočasné odebrání skryje URL jen asi na šest měsíců a procházení nezabrání. Stránky trvale zmizí teprve tehdy, když pro ně server vrací 404 nebo 410.

**Mám spamové URL zablokovat v robots.txt?**  
Ne. Nápověda Google výslovně nedoporučuje blokovat stránky určené k odstranění v robots.txt. Zablokované URL už Google nemůže načíst, a proto nepozná ani to, že byly smazány.

**Jak dlouho zůstanou spamové stránky po vyčištění v indexu?**  
Záleží na tom, kdy Google URL znovu načte. Spolehlivou dobu uvést nelze. Důležité je, aby každá známá spamová URL trvale vracela 404 nebo 410 a nepřibývaly nové.

## Zdroje

- [Nápověda Google Search Console](https://support.google.com/webmasters/)
- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)