Kort gezegd: Om de Google-waarschuwing over de gehackte website te verwijderen, moet u eerst de oorzaak dichten en alle schadelijke inhoud verwijderen. Pas daarna vraagt u in de Google Search Console de herbeoordeling aan. Wie te vroeg aanvraagt of alleen de zichtbare sporen wist, riskeert een afwijzing, omdat achterdeurtjes en verborgen spampagina's meestal blijven bestaan.
Welke waarschuwingen Google toont en waarom
Google waarschuwt op twee manieren voor gecompromitteerde websites. In de zoekresultaten kan onder uw vermelding een melding verschijnen dat de website mogelijk is gehackt. Bij zwaardere vondsten, zoals schadelijke software of phishing, tonen browsers via Google Safe Browsing een rode waarschuwingspagina voordat de website ook maar wordt geladen.
Oorzaak zijn bijna altijd inhoud die aanvallers hebben binnengebracht: talrijke spampagina's voor geneesmiddelen, gokken of namaakmerken, doorverwijzingen naar vreemde sites, schadelijke code voor bezoekers of vervalste aanmeldpagina's. Voor uw bedrijf betekent dat minder bezoekers, onzekere klanten en in de webshop directe omzetverliezen.
Welke problemen Google heeft gevonden, staat in de Google Search Console onder Beveiliging en handmatige acties, in het rapport Beveiligingsproblemen. Daar worden vaak voorbeeld-URL's genoemd die een eerste aanwijzing geven.
Eerst opruimen, dan herbeoordeling aanvragen
De volgorde is beslissend. De Google-waarschuwing is een symptoom; zolang de kwetsbaarheid open staat en er een achterdeur is, komt de inhoud terug, vaak al kort na het verwijderen.
Een CMS-update alleen dicht niet elke kwetsbaarheid. Bij PHP2Shell zit de zwakke plek in PHP zelf, en een patch verwijdert geen reeds binnengebrachte schadelijke software. Controleer PHP-versie, patchstand en bestanden voordat u Google om herbeoordeling vraagt.
Voor de opruiming is het zinvol de website tijdelijk in een onderhoudsmodus te zetten of van het netwerk te halen. Zo beschermt u bezoekers terwijl u werkt en voorkomt u dat de aanvaller verdere inhoud nalaadt. Een onderhoudsmodus moet daarbij de statuscode 503 leveren, zodat zoekmachines de onderbreking als tijdelijk herkennen.
Google-waarschuwing wegens gehackte website verwijderen: stap voor stap
- Bewijs veiligstellen: Logs, een kopie van de bestanden en van de database veiligstellen voordat u iets verwijdert.
- Search Console controleren: Rapport over beveiligingsproblemen lezen, voorbeeld-URL's noteren en onder Instellingen, Gebruikers en machtigingen zoeken naar onbekende eigenaren.
- Kwetsbaarheid dichten: PHP, CMS, thema's en extensies bijwerken, niet gebruikte extensies verwijderen, PHP-workers na de update herstarten.
- Schadelijke code verwijderen: Kernbestanden van het CMS vervangen vanuit een schone bron, upload- en cachemappen doorzoeken op PHP-bestanden,
.htaccessen serverconfiguratie controleren op vreemde doorverwijzingen. - Database opruimen: Spamberichten, binnengebrachte scripts in inhoud en opties en onbekende beheerdersaccounts verwijderen.
- Toegangen vernieuwen: Wachtwoorden voor CMS, hosting, database, FTP en SSH wijzigen, beveiligingssleutels van het CMS opnieuw aanmaken.
- Resultaat controleren: Voorbeeld-URL's testen met de URL-controle en de eigen website opvragen zoals Google haar ziet.
- Herbeoordeling aanvragen: In het rapport over beveiligingsproblemen de herbeoordeling aanvragen en kort beschrijven wat is gevonden en verholpen.
Verborgen sporen: spampagina's, cloaking en vreemde eigenaren
Veel hacks zijn zo gebouwd dat exploitanten ze niet opmerken. De spaminhoud verschijnt alleen voor de Googlebot of voor bezoekers die via de zoekmachine komen. Aangemelde beheerders zien de normale website. De URL-controle in de Search Console toont daarentegen het ophalen vanuit het perspectief van Google.
Een verder aanknopingspunt is een zoekopdracht met site:uwdomein.nl in combinatie met typische spamtermen. Verschijnen daar pagina's die u nooit hebt aangemaakt, dan is dat een duidelijk teken. Controleer ook ingediende sitemaps: aanvallers maken soms eigen sitemaps aan om hun spampagina's sneller te laten indexeren.
Op de server helpen eenvoudige, alleen lezende controles bij het zoeken naar gewijzigde bestanden:
# PHP- en HTML-bestanden die in de afgelopen 14 dagen zijn gewijzigd
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP-bestanden in uploadmappen (die horen er normaal niet te zijn)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Doorverwijzingsregels in .htaccess-bestanden
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Regels die afhankelijk van referer of user-agent verschillend doorverwijzen, zijn een typisch kenmerk van cloaking. Ga bij WordPress aanvullend gericht te werk volgens de aanwijzingen in de gids Achterdeurtjes in WordPress vinden.
Wat er na de aanvraag gebeurt
Google controleert de website opnieuw en deelt het resultaat mee in de Search Console. Wordt de aanvraag aanvaard, dan verdwijnen de waarschuwingen. Wordt ze afgewezen, dan noemt Google meestal verdere voorbeeld-URL's. Zoek dan gericht naar de resterende inhoud en vraag pas na de opruiming opnieuw aan.
Spam-URL's die Google al kent, moeten na de opruiming een status 404 of 410 leveren, zodat ze uit de index vallen. Verwijs ze niet allemaal zonder onderscheid door naar de startpagina. Blijf de Search Console in de weken daarna bewaken, want het opnieuw opduiken van spam wijst op een over het hoofd geziene achterdeur. Een volledige nazorg beschrijft onze checklist na een hack.
Opdat de waarschuwing zich niet herhaalt, moeten na de opruiming enkele dingen blijvend zijn geregeld:
- Updates voor PHP, CMS, thema's en extensies worden tijdig ingespeeld en iemand is daarvoor verantwoordelijk.
- Niet gebruikte extensies, oude testinstallaties en vergeten submappen zijn verwijderd.
- Beheertoegangen zijn persoonlijk en met tweede factor beschermd.
- Een bestandsbewaking meldt nieuwe PHP-bestanden in upload- en cachemappen.
- De e-mailmeldingen van de Search Console bereiken een adres dat regelmatig wordt gelezen.
Informeer bij langere uitval of getroffen klantgegevens ook uw klanten zakelijk over de stand. Open, rustige communicatie beschermt het vertrouwen meestal beter dan zwijgen.
Hoe helpt PHP SOS concreet?
- We zetten eerst de sporen veilig en bepalen via welke kwetsbaarheid de aanvaller binnenkwam.
- We ruimen bestanden, database en serverconfiguratie op binnen de malwareverwijdering en dichten de oorzaak.
- We controleren de website vanuit het perspectief van Google, verwijderen vreemde Search Console-eigenaren en bereiden de aanvraag voor herbeoordeling samen met u voor.
- Bij acute besmetting neemt onze spoedhulp bij gehackte websites de indamming over, tot het incident is afgesloten en gedocumenteerd.
Veelgestelde vragen
Hoe lang duurt het voordat Google de waarschuwing verwijdert?
Dat is niet betrouwbaar te voorspellen. De beoordeling begint pas wanneer u die in de Search Console aanvraagt en hangt af van aard en omvang van het probleem. De stand ziet u in het rapport over beveiligingsproblemen.
Wat gebeurt er als ik de herbeoordeling te vroeg aanvraag?
Vindt Google bij de controle nog steeds schadelijke inhoud, dan wordt de aanvraag afgewezen en blijft de waarschuwing. Herhaalde afwijzingen kunnen de volgende controle vertragen. Vraag de herbeoordeling daarom pas aan na volledige opruiming.
Waarom zie ik de spampagina's zelf niet?
Veel hacks tonen spam alleen aan zoekmachines of aan bezoekers die via Google komen, en aan aangemelde beheerders de normale pagina. Deze techniek heet cloaking. Met de URL-controle in de Search Console ziet u wat Google daadwerkelijk ophaalt.
Moet ik na de opruiming mijn rankings opnieuw opbouwen?
Na het verwijderen van de waarschuwing herstelt de zichtbaarheid zich vaak, maar niet per se tot de oude stand. Beslissend is dat spam-URL's uit de index verdwijnen en de eigenlijke inhoud ongewijzigd bereikbaar is.