# Spam de SEO e páginas alheias no índice do Google

> Spam de SEO após um ataque: como reconhecer páginas alheias no índice do Google, descobrir onde são geradas e limpar o índice de forma duradoura.

Fonte: https://phpsos.de/pt/blog/seo-spam-im-google-index/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** Spam de SEO no índice do Google significa quase sempre que no seu servidor corre código alheio que gera ou entrega páginas de spam. Comece por descobrir se as páginas surgem como ficheiros, como entradas na base de dados ou de forma dinâmica, através de código introduzido. Após a limpeza, cada URL de spam tem de responder de forma permanente 404 ou 410; a ferramenta de remoção da Search Console apenas oculta temporariamente.

## Quando o seu domínio passa a ter classificação para conteúdos alheios

A descoberta acontece muitas vezes por acaso. Um colaborador pesquisa o nome da própria empresa e vê, por baixo, entradas numa língua estrangeira. Ou então surgem na Search Console pesquisas sobre medicamentos, jogos de azar ou artigos de marca, com cliques em páginas que ninguém criou.

Para os atacantes, o domínio de uma empresa de boa reputação tem valor. Os motores de busca confiam nele, e as páginas de spam sob esse endereço obtêm classificação mais facilmente do que em domínios recém-registados. Quem suporta as consequências é o operador: a sua reputação sofre, o Google pode apresentar avisos e os conteúdos reais perdem visibilidade.

O spam de SEO é o sintoma de uma intrusão, não um problema de marketing. Depois do PHP2Shell, as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 no próprio PHP, isto é particularmente importante: uma atualização para uma versão corrigida do PHP fecha a vulnerabilidade, mas não remove código que já tenha sido introduzido. Para o caso de o Google já apresentar um aviso, o guia [Remover o aviso do Google](https://phpsos.de/pt/ratgeber/google-warnung-entfernen/) descreve o caminho para a revisão. Este artigo concentra-se nas próprias páginas de spam.

## Reconhecer o spam de SEO: o que mostra a Search Console

A Google Search Console oferece vários relatórios que tornam visível o spam de SEO, mesmo antes de surgir um aviso:

- **Desempenho:** pesquisas e páginas que não correspondem à sua oferta, muitas vezes em línguas ou alfabetos estrangeiros.
- **Indexação de páginas:** um aumento súbito de páginas indexadas ou detetadas, sem que a sua equipa tenha publicado conteúdos.
- **Sitemaps:** sitemaps submetidos que ninguém na equipa conhece.
- **Utilizadores e permissões:** proprietários adicionais, através dos quais os atacantes podem submeter sitemaps.

Anote URLs de exemplo e o seu padrão: estão numa subpasta, têm uma terminação própria, contêm sequências de caracteres de aspeto aleatório? O padrão é a pista mais importante sobre o local do servidor onde as páginas são geradas.

## De onde vêm as páginas de spam

As páginas de spam podem surgir de três maneiras. O tipo determina onde procurar e como limpar:

| Origem | Vestígios típicos | Onde procurar |
|---|---|---|
| Ficheiros estáticos | muitos ficheiros HTML ou PHP numa pasta nova | sistema de ficheiros, por data de alteração |
| Entradas na base de dados | artigos ou produtos de spam no CMS, muitas vezes não publicados ou ocultos | tabelas de conteúdos da base de dados |
| Geradas dinamicamente | sem ficheiros, os URLs só existem quando são chamados | regras de reescrita, ficheiros de entrada, código incluído |

A terceira variante é a mais difícil de encontrar. Um pequeno excerto de código num ficheiro de entrada ou num `.htaccess` interceta pedidos que seguem um determinado padrão e gera a página de spam a partir de um modelo, ou descarrega-a de um servidor externo. Muitas vezes só os motores de busca veem os conteúdos de spam, enquanto os visitantes normais recebem uma página de erro ou a página inicial.

Com uma consulta apenas de leitura, verifique o que o servidor realmente entrega. Substitua pelo URL de spam da Search Console:

```bash
# Resposta para um navegador normal
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"

# Resposta para um pedido com identificação do Googlebot
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
```

Se os códigos de estado diferirem, o servidor avalia a identificação de quem chama. As verificações reais do Google podem depender também do endereço de quem acede; por isso, a inspeção de URL na Search Console mostra de forma mais fiável o que o Google vê. Se os conteúdos de spam estiverem na base de dados, ajuda o artigo [Verificar na base de dados a presença de código introduzido](https://phpsos.de/pt/blog/datenbank-auf-schadcode-pruefen/).

## Limpar o índice de forma duradoura

A limpeza do servidor vem primeiro. Só depois de removido o código gerador e fechada a porta de entrada vale a pena trabalhar o índice. A ajuda do Google indica para isso caminhos claros:

1. **Responder 404 ou 410 aos URLs de spam:** as páginas têm de ter mesmo desaparecido. Verifique por amostragem, com os comandos acima, que nenhuma variante continua a entregar conteúdos.
2. **Não redirecionar para a página inicial:** um redirecionamento generalizado deixa os URLs continuar a existir e dilui a limpeza.
3. **Não bloquear através do robots.txt:** segundo a ajuda do Google, não é um caminho adequado para a remoção, porque o Google deixa então de conseguir aceder às páginas eliminadas.
4. **Remover sitemaps e proprietários alheios:** eliminar na Search Console os sitemaps de spam submetidos e remover os proprietários desconhecidos.
5. **Se necessário, ocultar temporariamente:** segundo a ajuda do Google, a remoção temporária oculta durante cerca de seis meses os URLs particularmente prejudiciais. Não substitui a solução duradoura.

Pense também nos outros motores de busca. As páginas de spam estavam acessíveis a todos os rastreadores, não só ao Google. A resposta permanentemente correta com 404 ou 410 produz o mesmo efeito nesses casos. Quem utiliza as ferramentas para webmasters de outros motores de busca deve verificar também aí os sitemaps e as pessoas autorizadas. Registe ainda a lista dos URLs de spam conhecidos como parte da documentação do incidente.

> **Importante:**
> Se, depois da limpeza, surgirem novos URLs de spam, ficou uma porta dos fundos por descobrir. Nesse caso, não elimine apenas as novas páginas: retome a busca no servidor.

## Evitar o regresso

O spam de SEO regressa com frequência porque só foram removidas as páginas visíveis. Acompanhe a Search Console nas semanas seguintes à limpeza e envie as notificações por e-mail para um endereço que seja lido regularmente. Uma monitorização de ficheiros que comunique novos ficheiros PHP e alterações ao `.htaccess` complementa isto do lado do servidor. Se os visitantes forem reencaminhados para ofertas alheias em vez de páginas de spam, ajuda o artigo [O site reencaminha para páginas alheias](https://phpsos.de/pt/blog/website-leitet-um/).

## Como ajuda concretamente a PHP SOS?

- Determinamos, com base nos dados da Search Console e nas respostas do servidor, como surgem as páginas de spam.
- Removemos o código gerador, os conteúdos de spam e as portas dos fundos no âmbito da [remoção de malware](https://phpsos.de/pt/leistungen/malware-entfernung/) e fechamos a porta de entrada.
- Verificamos que todos os URLs de spam conhecidos respondem de forma permanente 404 ou 410 e limpamos sitemaps e proprietários na Search Console.
- Configuramos uma monitorização que torna visíveis cedo os novos ficheiros e números de índice invulgares.


## Perguntas frequentes

**Porque aparecem páginas alheias sob o meu domínio no Google?**  
Em regra, os atacantes colocaram no servidor código que gera ou entrega páginas de spam. Aproveitam a confiança que os motores de busca depositam no seu domínio para fazer subir as suas próprias ofertas. É sinal de uma intrusão, não de um erro de SEO.

**Basta ocultar os URLs de spam com a ferramenta de remoção?**  
Não. Segundo a ajuda do Google, uma remoção temporária oculta um URL apenas durante cerca de seis meses e não impede o rastreio. As páginas só desaparecem em definitivo quando o servidor responde 404 ou 410 para elas.

**Devo bloquear os URLs de spam através do robots.txt?**  
Não. A ajuda do Google desaconselha expressamente bloquear através do robots.txt as páginas que se pretende remover. O Google deixa de conseguir aceder aos URLs bloqueados e, por isso, também não reconhece que foram eliminados.

**Quanto tempo ficam as páginas de spam no índice após a limpeza?**  
Depende de quando o Google voltar a aceder aos URLs. Não é possível indicar um prazo fiável. O importante é que cada URL de spam conhecido responda de forma permanente 404 ou 410 e que não surjam novos.

## Fontes

- [Ajuda do Google Search Console](https://support.google.com/webmasters/)
- [php.net: comunicados de segurança](https://www.php.net/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)