Een gehackte website merk je als eigenaar vaak als laatste. Hackers laten spam en doorverwijzingen regelmatig alleen zien aan Google, of alleen aan bezoekers die via Google komen. Jij opent je site gewoon en ziet niets. Dit artikel laat zien hoe je SEO-spam herkent, hoe je het opruimt en hoe je Google vraagt je site opnieuw te beoordelen.
Wat hackers met je site doen
Search Console deelt hackproblemen in vier soorten in.
- Content injection: een hacker voegt spamlinks of -tekst toe aan bestaande pagina's, vaak over medicijnen of andere onderwerpen die niets met jouw site te maken hebben.
- URL injection: een hacker maakt nieuwe pagina's aan op je domein, soms met code die bezoekers doorstuurt of je server aan een aanval laat meedoen.
- Code injection: kwaadaardige code in je pagina's, bijvoorbeeld doorverwijzingen naar een andere site of software die ongemerkt cryptomunten delft in de browser van je bezoeker.
- Malware: je site is besmet of verspreidt malware.
Zo komen hackers meestal binnen volgens Google: via een onveilige map op je server, via een kwetsbaarheid in je CMS of via een gehackte plugin van derden. De PHP-lekken van 21 oktober zijn een voorbeeld van de tweede route: een kwetsbaarheid in software op je server.
Zo weet je of het bij jou speelt
- Open het rapport Beveiligingsproblemen in Search Console. Google meldt daar gehackte content, malware en social engineering. Kijk ook bij Handmatige acties. Googles eigen advies: vertrouw op dit rapport en niet op wat jij zelf in je browser ziet.
- Zoek met de site:-opdracht. Typ site:jouwdomein.nl en kijk of er pagina's tussen staan die je niet kent. Verfijn met een spamwoord, bijvoorbeeld site:jouwdomein.nl pharmacy of site:jouwdomein.nl casino.
- Bekijk de pagina zoals Google hem ziet. Gebruik de URL-inspectie in Search Console en kies de live test. Hackers veranderen pagina's vaak alleen voor Google. Open besmette pagina's niet direct in je browser: dat kan jouw computer besmetten.
- Haal de pagina op met een Google-referrer. Met een opdrachtregeltool als cURL kun je een bezoeker nabootsen die via Google komt. Voorbeeld: curl -v --referer "https://www.google.com" --user-agent "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://www.jouwdomein.nl/. Dit is Googles eigen werkwijze, met een aangepaste user-agent. Krijg je niets verdachts, probeer dan een andere referrer.
- Zoek in de bron. Termen als eval, base64_decode en unescape in je pagina's verdienen een nadere blik.
Zo ruim je het op
Opschonen vraagt dat je code kunt lezen. Kun je dat niet, haal dan je hoster of webbouwer erbij. Doe het in deze volgorde.
- Haal de site tijdelijk offline als er malware of doorverwijzingen op staan. Dat is mijn advies, niet dat van Google. Volg de regels uit het artikel over het PHP-lek: een 503 met Retry-After, en robots.txt bereikbaar.
- Zoek hoe ze binnenkwamen. Zonder die route komen ze terug. Bij de PHP-lekken begin je volgens Amazon je onderzoek bij 17 oktober en niet bij de dag van de patch. Controleer de PHP-versie en de fix (zie PHP-versie controleren en updaten), je CMS, thema's en plugins.
- Herstel vanuit een schone back-up van vóór de besmetting, of verwijder de spam handmatig. Verwijder ook de nieuwe pagina's die de hacker heeft gemaakt, en de code die ze aanmaakt.
- Wijzig alle wachtwoorden: WordPress, hosting, database en FTP. Controleer of er beheerders zijn die je niet kent.
- Ruim alles op, niet alleen de voorbeelden. Google toont in het rapport een steekproef. Een gedeeltelijke reparatie geeft geen gedeeltelijk herstel in de zoekresultaten.
Zo vraag je Google om herbeoordeling
Als alles schoon is, kies je in het rapport Beveiligingsproblemen voor Review aanvragen. Google verwacht dat je in drie dingen duidelijk bent: wat het probleem was, welke stappen je hebt gezet en wat het resultaat is. Dien niet opnieuw in zolang er geen besluit is. Dat vertraagt de volgende beoordeling, en wie een aanvraag indient terwijl het probleem nog bestaat, kan als herhaalde overtreder worden aangemerkt.
Een review duurt volgens Google meestal enkele dagen tot enkele weken. Je krijgt per e-mail bericht bij ontvangst en bij het besluit.
Wat het met je posities doet
Zolang Google de besmetting ziet, kunnen pagina's of je hele site in de zoekresultaten een waarschuwing krijgen, of kan Chrome een waarschuwingspagina tonen voordat iemand je site opent. Dat kost bezoekers. Hoe snel je posities terugkomen na een review, kan ik je niet beloven: ik heb daar geen termijn van Google voor gevonden.
Veelgestelde vragen
Zie ik zelf dat mijn site gehackt is?
Niet altijd. Hackers verbergen spam voor de eigenaar en tonen die aan Google. Daarom kijk je in Search Console, in een site:-zoekopdracht en in de URL-inspectie.
Moet ik dit zelf oplossen?
Alleen als je code en serverinstellingen kunt lezen. Anders vraag je je hoster of webbouwer om te scannen, op te schonen en een back-up terug te zetten.
Is een patch genoeg?
Nee. Een patch dicht het gat, maar volgens beveiligingsexperts haalt hij een achterdeur die er al zat niet weg. Controleer daarom ook na het updaten of er iets is binnengekomen.
Wil je dat ik na een incident meekijk naar de SEO-schade? Mail mo@sahardid.com.
