In breve: lo SEO spam nell'indice Google significa quasi sempre che sul Suo server gira codice estraneo che genera o distribuisce pagine di spam. Scopra anzitutto se le pagine nascono come file, come voci del database o dinamicamente tramite codice iniettato. Dopo la bonifica ogni URL di spam deve rispondere in modo permanente con 404 o 410; lo strumento di rimozione della Search Console nasconde solo temporaneamente.
Quando il Suo dominio si posiziona all'improvviso per contenuti altrui
La scoperta avviene spesso per caso. Un collaboratore cerca il nome della propria azienda e sotto vede voci in una lingua straniera. Oppure nella Search Console compaiono ricerche su farmaci, gioco d'azzardo o merce di marca, con clic su pagine che nessuno ha creato.
Per gli aggressori un dominio aziendale serio ha valore. I motori di ricerca si fidano di esso e le pagine di spam sotto quell'indirizzo si posizionano più facilmente che su domini appena registrati. A subirne le conseguenze è Lei, come gestore: la reputazione ne soffre, Google può mostrare avvisi e i contenuti veri perdono visibilità.
Lo SEO spam è il sintomo di un'intrusione, non un problema di marketing. Dopo PHP2Shell, le vulnerabilità CVE-2026-109618 e CVE-2026-109619 in PHP stesso, questo è particolarmente importante: un aggiornamento a una versione di PHP corretta chiude la falla, ma non rimuove il codice iniettato. Nel caso in cui Google mostri già un avviso, la guida rimuovere l'avviso di Google descrive la via per la verifica. Questo articolo si concentra sulle pagine di spam in sé.
Riconoscere lo SEO spam: cosa mostra la Search Console
La Google Search Console offre vari rapporti che rendono visibile lo SEO spam anche prima che compaia un avviso:
- Rendimento: ricerche e pagine che non corrispondono alla Sua offerta, spesso in lingue o alfabeti stranieri.
- Indicizzazione delle pagine: un aumento improvviso di pagine indicizzate o rilevate, senza che il Suo team abbia pubblicato contenuti.
- Sitemap: sitemap inviate che nessuno nel team conosce.
- Utenti e autorizzazioni: proprietari aggiuntivi tramite i quali gli aggressori possono inviare sitemap.
Annoti URL di esempio e il loro schema: si trovano in una sottocartella, hanno un'estensione propria, contengono sequenze di caratteri dall'aspetto casuale? Lo schema è l'indizio più importante su dove le pagine nascano sul server.
Da dove arrivano le pagine di spam
Le pagine di spam possono nascere in tre modi. Il modo determina dove cercare e come bonificare:
| Origine | Tracce tipiche | Dove cercare |
|---|---|---|
| File statici | molti file HTML o PHP in una cartella nuova | file system, per data di modifica |
| Voci del database | articoli o prodotti di spam nel CMS, spesso non pubblicati o nascosti | tabelle dei contenuti del database |
| Generate dinamicamente | nessun file, gli URL esistono solo quando vengono richiamati | regole di rewrite, file di ingresso, codice incluso |
La terza variante è la più difficile da trovare. Un piccolo frammento di codice in un file di ingresso o in un .htaccess intercetta le richieste che seguono un determinato schema e genera la pagina di spam da un modello oppure la scarica da un server estraneo. Spesso solo i motori di ricerca vedono i contenuti di spam, mentre i visitatori normali ricevono una pagina di errore o la home page.
Con una richiesta in sola lettura verifichi che cosa il server consegna davvero. Inserisca un URL di spam dalla Search Console:
# Risposta per un normale browser
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"
# Risposta per una richiesta con identificativo Googlebot
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
Se i codici di stato differiscono, il server valuta l'identificativo di chi richiama. Le verifiche reali di Google possono dipendere anche dall'indirizzo di chi effettua la richiesta; l'ispezione dell'URL nella Search Console mostra perciò in modo più affidabile che cosa vede Google. Se i contenuti di spam si trovano nel database, è utile l'articolo Verificare la presenza di codice iniettato nel database.
Ripulire l'indice in modo duraturo
La bonifica del server viene per prima. Solo quando il codice generatore è stato rimosso e il punto d'ingresso è chiuso, vale la pena lavorare sull'indice. La guida di Google indica a tal fine percorsi chiari:
- Rispondere agli URL di spam con 404 o 410: le pagine devono essere davvero scomparse. Verifichi a campione, con i comandi qui sopra, che nessuna variante restituisca ancora contenuti.
- Non reindirizzare alla home page: un reindirizzamento generalizzato lascia esistere gli URL e diluisce la bonifica.
- Non bloccare con robots.txt: secondo la guida di Google non è una via adatta alla rimozione, perché Google non può più richiamare le pagine cancellate.
- Rimuovere sitemap e proprietari estranei: eliminare nella Search Console le sitemap di spam inviate e rimuovere i proprietari sconosciuti.
- Se necessario, nascondere temporaneamente: secondo la guida di Google, la rimozione temporanea nasconde per circa sei mesi gli URL particolarmente dannosi. Non sostituisce la soluzione permanente.
Pensi anche agli altri motori di ricerca. Le pagine di spam erano raggiungibili da tutti i crawler, non solo da Google. La risposta permanentemente corretta con 404 o 410 ha effetto anche lì. Chi usa gli strumenti per webmaster di altri motori di ricerca dovrebbe controllare anche lì sitemap e utenti autorizzati. Conservi inoltre l'elenco degli URL di spam noti come parte della documentazione dell'incidente.
Se dopo la bonifica compaiono nuovi URL di spam, è sfuggita una backdoor. In tal caso non si limiti a cancellare le nuove pagine, ma riprenda la ricerca sul server.
Evitare che si ripresenti
Lo SEO spam torna spesso perché sono state rimosse solo le pagine visibili. Osservi la Search Console nelle settimane successive alla bonifica e faccia inviare le notifiche e-mail a un indirizzo letto regolarmente. Un monitoraggio dei file che segnali nuovi file PHP e modifiche a .htaccess lo completa sul lato server. Se i visitatori, invece di pagine di spam, vengono reindirizzati verso offerte estranee, è utile l'articolo Il sito reindirizza verso pagine estranee.
Come aiuta PHP SOS in concreto?
- Stabiliamo, in base ai dati della Search Console e alle risposte del server, come nascono le pagine di spam.
- Rimuoviamo il codice generatore, i contenuti di spam e le backdoor nell'ambito della rimozione del malware e chiudiamo il punto d'ingresso.
- Verifichiamo che tutti gli URL di spam noti rispondano in modo permanente con 404 o 410 e ripuliamo sitemap e proprietari nella Search Console.
- Configuriamo un monitoraggio che renda visibili per tempo nuovi file e numeri insoliti nell'indice.
Domande frequenti
Perché pagine estranee compaiono su Google sotto il mio dominio?
Di solito gli aggressori hanno collocato sul server del codice che genera o distribuisce pagine di spam. Sfruttano la fiducia che i motori di ricerca accordano al Suo dominio per spingere in alto le proprie offerte. È il segno di un'intrusione, non di un errore SEO.
Basta nascondere gli URL di spam con lo strumento di rimozione?
No. Secondo la guida di Google, una rimozione temporanea nasconde un URL solo per circa sei mesi e non impedisce la scansione. Le pagine scompaiono in modo permanente solo quando il server risponde per esse con 404 o 410.
Devo bloccare gli URL di spam con robots.txt?
No. La guida di Google sconsiglia espressamente di bloccare con robots.txt le pagine da rimuovere. Google non può più richiamare gli URL bloccati e quindi non si accorge nemmeno che sono stati cancellati.
Quanto restano nell'indice le pagine di spam dopo la bonifica?
Dipende da quando Google richiama di nuovo gli URL. Non si può indicare un periodo affidabile. L'importante è che ogni URL di spam noto risponda in modo permanente con 404 o 410 e che non ne arrivino di nuovi.