CleanOps

Google pokazuje podstrony, których nie masz — spam SEO, japońskie znaki i jak to wyczyścić z indeksu

11 października 2026 • 3 min czytania • SEO, Google, spam, Search Console, WordPress

Laptop na biurku przy oknie z żaluzjami

Wpisujesz w Google site:twojadomena.pl i zamiast dwudziestu podstron widzisz dwa tysiące. Tytuły po japońsku, oferty leków bez recepty, repliki zegarków, kasyna. Klikasz, czasem otwiera się coś na Twojej domenie, czasem przekierowuje dalej, czasem 404. Strona „normalnie” wygląda poprawnie. To jedna z najczęstszych infekcji, jakie widzimy, i jedna z bardziej uciążliwych, bo sprzątanie plików to dopiero połowa pracy.

Po co komuś Twoja domena

Twoja domena ma historię, wiek i linki. Dla spamera to gotowa reputacja, której sam musiałby budować miesiącami. Wstrzykuje tysiące podstron ze swoimi treściami i linkami, Google je indeksuje w ramach Twojej domeny, a ruch z wyszukiwarki trafia do jego sklepu. Ty tracisz pozycje, bo Google widzi na Twojej domenie stertę śmieci, i w końcu dostajesz ręczną karę albo ostrzeżenie „ta strona może być zhakowana”.

Odmiany, które mają własne nazwy:

  • Japanese keyword hack — tytuły i treści w języku japońskim, sprzedaż podróbek;
  • pharma hack — leki, suplementy, apteki online;
  • casino / gambling spam — kasyna i zakłady, często z linkami do stron w Azji;
  • spam w PDF — setki plików PDF z treścią reklamową w uploads/.

Dlaczego nie widzisz tych stron na swojej witrynie

Kod serwuje treść spamową tylko Googlebotowi i odwiedzającym z wyników wyszukiwania. Dla Ciebie zwraca normalną stronę albo 404. Sprawdzisz to tak:

curl -s -A "Googlebot/2.1 (+http://www.google.com/bot.html)" "https://twojadomena.pl/jeden-z-dziwnych-adresow/" | head -60

Jeśli Googlebot dostaje treść, a Ty 404, to jest cloaking i infekcja jest aktywna.

Gdzie jest kod

Pliki

Najczęściej:

  • index.php w katalogu głównym z doklejonym include na początku (ładuje spam przed CMS‑em);
  • nieznana wtyczka albo plik w wp-content/mu-plugins/;
  • pliki w wp-content/uploads/ lub images/ o rozszerzeniu .php;
  • .htaccess z regułami RewriteRule kierującymi dziwne adresy do jednego pliku PHP;
  • w Joomli: wtyczka systemowa lub zmieniony libraries/src/Application/SiteApplication.php.

Sitemapy i pliki dla robotów

Spam dokłada własne mapy strony (sitemap-xxx.xml, dziesiątki plików) i dopisuje je do robots.txt, żeby Google szybciej je znalazł. Sprawdź robots.txt i katalog główny pod kątem map, których nie generowałeś.

Search Console

Atakujący często dodaje siebie jako właściciela w Google Search Console (przez plik weryfikacyjny google...html w katalogu głównym albo rekord DNS). Dzięki temu zgłasza swoje sitemapy i widzi statystyki. Sprawdź listę właścicieli i usuń obcych, inaczej po Twoim sprzątaniu zgłosi wszystko od nowa.

Kolejność naprawy

  1. Kopia plików i bazy.
  2. Usunięcie infekcji: porównanie z oficjalnym wydaniem, kwarantanna nieznanych plików, przegląd bazy (spam bywa też w wp_posts jako wpisy ze statusem roboczym lub w nieznanym typie treści).
  3. Czyszczenie robots.txt, .htaccess i obcych sitemap.
  4. Search Console: usuń obcych właścicieli i obce pliki weryfikacyjne. Zgłoś własną, prawdziwą mapę strony.
  5. Zamknięcie drogi wejścia: hasła, sole, aktualizacje. Spam SEO wraca najszybciej ze wszystkich infekcji, bo kampanie są zautomatyzowane i sprawdzają, czy luka nadal jest.

Jak wyprosić spam z Google

Tu nie ma skrótu. Google usuwa adresy z indeksu, kiedy przestaje je widzieć, a to wymaga, żeby każdy z nich zwracał 404 lub 410 i żeby robot do nich wrócił. Przyspieszysz to tak:

  • Narzędzie do usuwania adresów w Search Console (Indeksowanie → Usunięcia): usuwa z wyników na pół roku, przedrostkiem da się objąć całą ścieżkę, np. /shop/.
  • Kod 410 Gone zamiast 404 dla wzorców spamowych adresów w .htaccess. Google traktuje 410 jako sygnał trwałego usunięcia.
  • Prośba o ponowne sprawdzenie w Search Console (Bezpieczeństwo i ręczne działania), jeśli jest ostrzeżenie o zhakowaniu. Opisz, co usunąłeś. Odpowiedź przychodzi zwykle w ciągu kilku dni do dwóch tygodni.

Tysiące adresów znikają z indeksu stopniowo, zwykle w ciągu 2–8 tygodni od usunięcia infekcji. Pozycje Twoich prawdziwych podstron wracają wraz z nimi.

Jak sprawdzić, czy jest czysto

Po tygodniu powtórz site:twojadomena.pl i komendę z Googlebotem na kilku adresach z listy. W Search Console liczba zaindeksowanych stron powinna spadać, a w sekcji Bezpieczeństwo nie powinno być ostrzeżeń. Jeśli liczba rośnie, infekcja wróciła i trzeba szukać drogi wejścia, nie tylko sprzątać.

Czytaj też