Kort gezegd: SEO-spam in de Google-index betekent bijna altijd dat er op uw server vreemde code draait die spampagina's aanmaakt of uitlevert. Zoek eerst uit of de pagina's als bestanden, als databasevermeldingen of dynamisch door ingebrachte code ontstaan. Na het opschonen moet elke spam-URL blijvend 404 of 410 teruggeven; de verwijdertool van de Search Console verbergt slechts tijdelijk.
Als uw domein opeens voor iets vreemds rankt
De ontdekking gebeurt vaak bij toeval. Een medewerker zoekt naar de eigen bedrijfsnaam en ziet daaronder vermeldingen in een vreemde taal. Of in de Search Console duiken zoekopdrachten op over medicijnen, gokken of merkproducten, met klikken op pagina's die niemand heeft aangemaakt.
Voor aanvallers is een gerenommeerd bedrijfsdomein waardevol. Zoekmachines vertrouwen het, en spampagina's onder dat adres ranken makkelijker dan op net geregistreerde domeinen. U als beheerder draagt de gevolgen: uw reputatie lijdt, Google kan waarschuwingen tonen en de eigenlijke inhoud verliest zichtbaarheid.
SEO-spam is het symptoom van een inbraak, geen marketingprobleem. Na PHP2Shell, de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 in PHP zelf, is dat extra belangrijk: een update naar een gerepareerde PHP-versie sluit de kwetsbaarheid, maar verwijdert geen ingebrachte code. Voor het geval Google al een waarschuwing toont, beschrijft de gids Google-waarschuwing verwijderen de route naar de herbeoordeling. Dit artikel richt zich op de spampagina's zelf.
SEO-spam herkennen: wat de Search Console toont
De Google Search Console biedt meerdere rapporten die SEO-spam zichtbaar maken, ook voordat er een waarschuwing verschijnt:
- Prestaties: zoekopdrachten en pagina's die niet bij uw aanbod passen, vaak in vreemde talen of schriftsoorten.
- Pagina-indexering: een plotselinge stijging van geïndexeerde of ontdekte pagina's, zonder dat uw team inhoud heeft gepubliceerd.
- Sitemaps: ingediende sitemaps die niemand in het team kent.
- Gebruikers en machtigingen: extra eigenaren via wie aanvallers sitemaps kunnen indienen.
Noteer voorbeeld-URL's en hun patroon: staan ze in een submap, hebben ze een eigen extensie, bevatten ze willekeurig ogende tekenreeksen? Het patroon is de belangrijkste aanwijzing voor de plek waar de pagina's op de server ontstaan.
Waar de spampagina's vandaan komen
Spampagina's kunnen op drie manieren ontstaan. De manier bepaalt waar u zoekt en hoe u opschoont:
| Ontstaan | Typische sporen | Waar u zoekt |
|---|---|---|
| Statische bestanden | veel HTML- of PHP-bestanden in een nieuwe map | Bestandssysteem, op wijzigingsdatum |
| Databasevermeldingen | spamberichten of -producten in het CMS, vaak ongepubliceerd of verborgen | Inhoudstabellen van de database |
| Dynamisch gegenereerd | geen bestanden, de URL's bestaan alleen bij een aanroep | Rewrite-regels, startbestanden, ingevoegde code |
De derde variant is het moeilijkst te vinden. Een klein stukje code in een startbestand of in een .htaccess onderschept verzoeken die een bepaald patroon volgen en maakt de spampagina uit een sjabloon of haalt hem op van een vreemde server. Vaak zien alleen zoekmachines de spaminhoud, terwijl gewone bezoekers een foutpagina of de startpagina krijgen.
Met een alleen-lezen opdracht controleert u wat de server werkelijk uitlevert. Vul een spam-URL uit de Search Console in:
# Antwoord voor een gewone browser
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"
# Antwoord voor een verzoek met Googlebot-identificatie
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
Als de statuscodes verschillen, beoordeelt de server de identificatie van de aanroeper. Echte controles door Google kunnen bovendien aan het adres van de ophaler hangen; de URL-inspectie in de Search Console laat daarom betrouwbaarder zien wat Google ziet. Staat de spaminhoud in de database, dan helpt het artikel De database controleren op ingebrachte code.
De index blijvend opruimen
Het opschonen van de server komt eerst. Pas als de genererende code is verwijderd en de toegangspoort is gesloten, loont het werk aan de index. De Google-hulppagina's noemen daarvoor duidelijke wegen:
- Spam-URL's met 404 of 410 beantwoorden: de pagina's moeten echt verdwenen zijn. Controleer steekproefsgewijs met de opdrachten hierboven dat geen enkele variant nog inhoud levert.
- Niet doorverwijzen naar de startpagina: een algemene doorverwijzing laat de URL's voortbestaan en verwatert het opschonen.
- Niet via robots.txt blokkeren: volgens de Google-hulppagina's is dat geen geschikte weg voor verwijdering, omdat Google de verwijderde pagina's dan niet meer kan ophalen.
- Vreemde sitemaps en eigenaren verwijderen: in de Search Console ingediende spamsitemaps wissen en onbekende eigenaren verwijderen.
- Zo nodig tijdelijk verbergen: de tijdelijke verwijdering verbergt bijzonder schadelijke URL's volgens de Google-hulppagina's ongeveer zes maanden. Ze vervangt de blijvende oplossing niet.
Denk ook aan andere zoekmachines. De spampagina's waren voor alle crawlers bereikbaar, niet alleen voor Google. Het blijvend juiste antwoord met 404 of 410 werkt daar evengoed. Wie de webmastertools van andere zoekmachines gebruikt, moet ook daar sitemaps en gemachtigden controleren. Leg bovendien de lijst met bekende spam-URL's vast als onderdeel van de incidentdocumentatie.
Verschijnen er na het opschonen nieuwe spam-URL's, dan is er een achterdeur over het hoofd gezien. Verwijder dan niet alleen de nieuwe pagina's, maar hervat de zoektocht op de server.
Terugkeer voorkomen
SEO-spam komt vaak terug omdat alleen de zichtbare pagina's zijn verwijderd. Houd de Search Console in de weken na het opschonen in de gaten en laat de e-mailmeldingen naar een adres gaan dat regelmatig wordt gelezen. Een bestandsbewaking die nieuwe PHP-bestanden en wijzigingen in .htaccess meldt, vult dat aan serverzijde aan. Sturen bezoekers in plaats van spampagina's door naar vreemd aanbod, dan helpt het artikel De website stuurt door naar vreemde sites.
Hoe helpt PHP SOS concreet?
- Wij stellen aan de hand van de Search Console-gegevens en de serverantwoorden vast hoe de spampagina's ontstaan.
- Wij verwijderen de genererende code, spaminhoud en achterdeuren in het kader van de verwijdering van malware en sluiten de toegangspoort.
- Wij controleren dat alle bekende spam-URL's blijvend 404 of 410 teruggeven en schonen sitemaps en eigenaren in de Search Console op.
- Wij richten een bewaking in die nieuwe bestanden en ongebruikelijke indexcijfers vroeg zichtbaar maakt.
Veelgestelde vragen
Waarom verschijnen er vreemde pagina's onder mijn domein in Google?
Meestal hebben aanvallers code op de server geplaatst die spampagina's aanmaakt of uitlevert. Ze gebruiken het vertrouwen dat zoekmachines in uw domein stellen om hun eigen aanbod omhoog te krijgen. Dat wijst op een inbraak, niet op een SEO-fout.
Is het genoeg om de spam-URL's met de verwijdertool te verbergen?
Nee. Volgens de Google-hulppagina's verbergt een tijdelijke verwijdering een URL maar ongeveer zes maanden en voorkomt ze het crawlen niet. De pagina's verdwijnen pas blijvend als de server er 404 of 410 voor teruggeeft.
Moet ik spam-URL's via robots.txt blokkeren?
Nee. De Google-hulppagina's raden uitdrukkelijk af om pagina's die u wilt laten verwijderen via robots.txt te blokkeren. Geblokkeerde URL's kan Google niet meer ophalen en het ziet dus ook niet dat ze zijn verwijderd.
Hoe lang blijven de spampagina's na het opschonen in de index?
Dat hangt af van wanneer Google de URL's opnieuw ophaalt. Een betrouwbare termijn is niet te noemen. Belangrijk is dat elke bekende spam-URL blijvend 404 of 410 teruggeeft en dat er geen nieuwe bijkomen.