セキュリティ対策
サイトのセキュリティは SEO に影響するか：脆弱性・改ざん・HTTPS と検索順位の関係を Google の公式情報で整理
サイトのセキュリティや脆弱性は SEO に影響するのかを、Google 検索セントラル・Search Console ヘルプ・web.dev・Bing の公式情報で整理。脆弱性があるだけでは順位要因にならない一方、改ざんやマルウェアは警告表示と順位低下につながります。確認方法と復旧の順番も解説。
対象：自分のサイトを運営していて、「セキュリティは検索順位に関係あるのか」「検索結果にハッキングの警告が出た」という人。本記事は Google 検索セントラル・Search Console ヘルプ・web.dev・Chrome ヘルプ・Bing Webmaster Tools の公開情報にもとづきます。攻撃の手順は扱いません。
セキュリティの状態と、検索への影響
まず、どの状態が検索にどう影響するかを、公式の根拠つきで並べます。「Google は順位要因として挙げていない」は、Google の文書にそう書いてあるという意味ではなく、Google の文書のどこにも順位要因としての記載が見当たらないという意味です。
| セキュリティの状態 | 検索への影響 | 公式の根拠 |
|---|---|---|
| 古いプラグインなど、脆弱性が残っている（まだ悪用されていない） | Google は順位要因として挙げていない。悪用されると下の行の状態になる | スパムに関するポリシー（ハッキングされたコンテンツは「脆弱性に付け込まれ、許可なく配置されたコンテンツ」と定義） |
| セキュリティヘッダを設定していない、診断ツールの評価が低い | Google は順位要因として挙げていない | ページ エクスペリエンスの文書（順位システムで使うと明記しているのは Core Web Vitals） |
| HTTP のまま（HTTPS にしていない） | 2014年の発表では、ウェイトを非常に小さく設定した順位シグナル。Chrome のアドレスバーに「保護されていない通信」と表示される | 2014年のブログ、ページ エクスペリエンスの文書、Chrome ヘルプ |
| 改ざんされ、スパムページが追加された | 検索結果に「このサイトは第三者によってハッキングされている可能性があります」。ポリシー違反のサイトは順位が下がるか表示されなくなることがある | Google 検索ヘルプ、スパムに関するポリシー |
| マルウェア配布やフィッシングに使われている | 検索結果に警告ラベル、ブラウザに「危険なサイト」の警告画面 | Search Console ヘルプ「セキュリティの問題レポート」、Chrome ヘルプ |
| フォーラムやコメント欄に第三者のスパムが大量に書き込まれた | 「手動による対策」の対象。サイトの一部またはすべてが検索結果に表示されなくなる（英語版では、順位が下がるか除外される） | Search Console ヘルプ「手動による対策レポート」 |
| Bing でマルウェアが検出された | 検索結果から削除されるか、検索結果にマルウェアの警告が付く | Bing Webmaster Tools ヘルプ |
「ハッキング」は「手動による対策」ではなく「セキュリティの問題」に出る
Search Console の「手動による対策」レポートの種類一覧には、現在「ハッキング」という項目がありません。ハッキングされたコンテンツ、マルウェアや望ましくないソフトウェア、ソーシャル エンジニアリング（偽のログイン画面などで人をだます手口）は、「セキュリティの問題」レポートに出ます。両方のレポートを確認してください。
HTTPS は順位にどこまで効くか
Google は2014年8月の検索セントラル ブログで HTTPS を順位シグナルに加えると発表しました。そのときの説明は、移行期間としてシグナルのウェイトを非常に小さく設定しており、影響するのはグローバル クエリの1%未満、高品質のコンテンツなど他のシグナルよりウェイトが小さい、というものでした。
現在のページ エクスペリエンスの文書では、HTTPS は「ページは安全な方法で配信されていますか」という確認項目に入っています。一方で同じ文書は、Google のランキング システムでは Core Web Vitals（表示速度や操作への反応の速さなどの指標）が使用されるとし、それ以外のページ エクスペリエンスの要素は検索結果でのランキング上昇に直接貢献しないと書いています。2023年4月のブログも、以前ページ エクスペリエンスのシグナルとして挙げていた要素（HTTPS を含む）について、すべてが順位に直接使われているわけではないと説明しています。
それでも HTTPS は必要です。Chrome ヘルプは、プライベート接続を使っていないサイトでは送受信する情報を他人に見られたり変えられたりする可能性があり、個人情報や機密情報を入力しないよう利用者に案内しています。問い合わせフォームやログイン画面があるサイトなら、HTTPS でないことは訪問者に見える形で不利になります。
改ざんされると、検索とブラウザで何が起きるか
Google のスパムに関するポリシーは、ハッキングされたコンテンツを、サイトのセキュリティ上の脆弱性に付け込まれて許可なく配置されたコンテンツと定義し、ポリシーに違反するサイトは検索結果での掲載順位が下がったり、まったく表示されなかったりすることがあるとしています。違反は自動システムと、必要に応じて人間の審査で検出されます。
1 脆弱性がある
古いプラグイン・使い回したパスワードなど。この段階では順位要因として挙げられていない
2 悪用されて中身が変わる
スパムページの追加、隠しリンク、別サイトへの転送、マルウェアの設置
3 検索とブラウザに警告が出る
検索結果のハッキング警告、「危険なサイト」の警告画面、順位低下や非表示
4 直して審査をリクエストする
原因の脆弱性まで直してから。審査は約1日〜最長で数週間
5 警告が外れる
きれいと判断されると、72時間以内に検索結果とブラウザの警告が削除される（web.dev）
検索結果の「ハッキングされている可能性があります」
Google 検索ヘルプによれば、サイトの既存のページが改ざんされた、またはスパムページが新たに追加されたと思われる場合に、検索結果に「このサイトは第三者によってハッキングされている可能性があります」と表示されます。この表示は、サイトの所有者が問題を直して Google が確認するまで消えません。
ブラウザの「危険なサイト」
Google セーフ ブラウジング（危険なサイトの一覧を持ち、ブラウザなどに警告を出させる Google の仕組み）は、Chrome と他のブラウザ、Google 検索、Gmail などで使われています。Chrome ヘルプによれば、フィッシング、マルウェア、望ましくないソフトウェア、ソーシャル エンジニアリングのサイトには、赤い「危険なサイト」の警告が出ます。当サイトの見方では、この画面が出ると、その先に進む訪問者は多くないと考えておくべきです。
Google が説明している改ざんの型
web.dev（Google のサイト制作者向けガイド）は、検索に影響する改ざんの型ごとに直し方を公開しています。代表的なものは次の3つです。
| 型 | Google の説明 |
|---|---|
| 日本語キーワードによるハッキング | 自動生成された日本語のページが、ランダムな名前のディレクトリに作られる。偽ブランド品を売るストアへのアフィリエイト リンクで収益を得る。ハッカーが Search Console に通常、自分をプロパティ所有者として追加する |
| 意味不明な内容によるハッキング | キーワードを大量に含む意味不明なページを大量に追加し、検索結果から来た人を無関係なサイトへ転送する |
| キーワードとリンクのクローキングによるハッキング | 意味のない文章・リンク・画像のページを大量に作り、Google の順位の要因を操作しようとする。所有者が開くと 404 などに見せかけることがある |
どの型も、所有者が普段の画面で開いても気づきにくいように作られている点が共通しています。web.dev は、site: 検索と、Search Console の URL 検査ツールで Google から見た内容を確認するよう勧めています。
今日確認すること
被害がなくても、次の5つは数分で確認できます。Search Console にサイトを登録していない場合は、先に登録して所有権を確認してください。登録しておくと、問題が見つかったときにレポートと Search Console のメッセージで知らされます。
Search Console の「セキュリティの問題」と「手動による対策」を開く
左のメニューの「セキュリティと手動による対策」の下に、2つのレポートがあります。問題が出ていれば、問題の種類と、影響を受けたURLのサンプルが表示されます。Google は、サンプルの一覧は完全ではない場合があり、サンプルURLが出ない問題もあるとしています。
知らない所有者が追加されていないか確かめる
「設定」→「ユーザーと権限」で、覚えのないユーザーや所有者がいないかを見ます。日本語キーワードによるハッキングでは、ハッカーが通常、自分をプロパティ所有者として追加すると web.dev が説明しています。確認済み所有者を外すには、サイトに置かれたその人の確認トークン（HTML ファイルやメタタグなど）を削除する必要があります。「未使用の所有権トークン」で残っているトークンを確認できます。
`site:` 検索で、作った覚えのないページを探す
Google 検索で site:自分のドメイン と検索し、覚えのないURLやタイトルがないかを見ます。日本語のブランド品・薬・通販の語句が並んでいたら改ざんを疑います。当サイトとしては、site: の後ろに「激安」など覚えのない語句を足して絞り込む方法も勧めます。Google で何も出なくても、web.dev は別の検索エンジンでも試すよう案内しています。
セーフ ブラウジングのサイト ステータスを確認する
Google 透明性レポートの「セーフ ブラウジング」にある「サイト ステータス」に自分のドメインを入れると、セーフ ブラウジングが現在そのサイトを危険と判定しているかを確認できます。
HTTPS になっているかを確認する
Chrome でサイトを開き、アドレスバーに「保護されていない通信」と出ないかを見ます。Search Console の「HTTPS」レポートでは、HTTPS で配信されていないページがあるか、何を直すべきかを確認できます。
「自分で開くと普通」は、きれいな証拠にならない
web.dev は、改ざんされたページが所有者には 404 エラーなどに見えるよう作られている場合があると説明しています。疑わしいURLは、自分のブラウザで開くだけでなく、URL 検査ツールで Google から見た内容を確認してください。侵入の痕跡をサーバー側で調べる手順は サイトやサーバーが不正アクセスされたか調べる方法 にまとめています。
すでに警告が出ているときの復旧手順
順番が大事です。原因を直す前に審査をリクエストすると、警告が出ている期間が延びます。
証拠を残し、広がりを止める
サイト全体とデータベースをサーバーの外にバックアップし、ログを保存します。訪問者に被害が出ているなら、サイトを一時的に非公開にします。調べ方と順番の詳細は 侵入の確認と対応の手順 を参照してください。
ハッカーの内容を消し、入口の脆弱性を塞ぐ
追加されたページ・書き換えられたファイル・知らないユーザーを消し、パスワードを全部変えます。Google 検索ヘルプは、原因の脆弱性を直さないと再び被害を受けるおそれがあるとしています。web.dev（2015年のページ）は、ハッキングされたサイトの20%が1日以内に再びハッキングされたという調査を紹介しています。WordPress なら WordPress のセキュリティ対策 で、更新と不要なプラグインの削除を進めます。
スパムURLは 404 か 410 を返すようにする
Search Console ヘルプによれば、検索結果から恒久的に消すには、ページを削除してサーバーが 404 か 410 を返すようにします。「非表示」ツールの「一時的な非表示」で急いで隠すこともできますが、効果は約6か月です。Google は、robots.txt をブロックの手段に使わないよう案内しています。
Google から見て直ったかを確かめる
web.dev は、審査の前に、ハッカーが変更したURLを含む主要なページがきれいになっていること、Googlebot がそれらをクロールできること（robots.txt や noindex でブロックしていないこと）を確認するよう求めています。URL 検査ツールで、スパムURLが存在しない（404 など）と判定されているかを確かめます。
レポートごとに「審査をリクエスト」を選ぶ
「セキュリティの問題」に出ていたら、報告されたすべての問題をサイト全体で直したあと、同じレポートで「審査をリクエスト」を選びます。リクエストには、問題の内容、行った修正、その結果を書きます。「手動による対策」に出ていたら、そのレポートから同じように再審査をリクエストします。Search Console ヘルプは、ほとんどの審査は数日から数週間かかるとし、結果が出る前に再送信しないよう案内しています。web.dev は、フィッシングは約1日、マルウェアは数日、スパムによるハッキングは最長で数週間としています。
Bing も確認する
Bing は、マルウェアを検出すると Bing Webmaster Tools で所有者に知らせ、サイトを検索結果から削除するか、検索結果にマルウェアの警告を付けると説明しています。Bing Webmaster Tools にサイトを登録していれば、通知を確認し、Bing のガイドラインに沿って対応します。Bing のガイドラインは、フィッシングやマルウェア配布に関わるサイトは順位低下や削除の対象になり得るとしています。
当サイトの視点：SEO のためのセキュリティは「点数を上げる」ことではなく「改ざんされない・すぐ気づく」こと
「セキュリティを強化すれば順位が上がる」と考えて、セキュリティヘッダの評価や診断ツールの点数を上げることに時間を使う人がいます。けれども Google の文書にもとづく限り、それで順位が上がる根拠はありません。検索への影響が大きいのは、改ざんされて警告が付いたときです。審査は最長で数週間かかり、その間、検索からの流入は大きく減ることがあります。
だから当サイトは、SEO の観点では2つに絞ることを勧めます。1つは、改ざんの入口になる古いソフトとパスワードの管理。もう1つは、Search Console に登録してメール通知を受け、異常に早く気づくことです。セキュリティヘッダは、被害を小さくするための設定として、今も必要なものだけ を入れれば十分です。
出典（公式情報）
- Google 検索セントラル ブログ「ランキング シグナルとしての HTTPS」（2014年8月7日） — developers.google.com
- Google 検索セントラル「Google 検索結果におけるページ エクスペリエンスについて」 — developers.google.com
- Google 検索セントラル ブログ「The role of page experience in creating helpful content」（2023年4月19日） — developers.google.com
- Google 検索セントラル「Google ウェブ検索のスパムに関するポリシー」（ハッキングされたコンテンツ） — developers.google.com
- Search Console ヘルプ「セキュリティの問題レポート」 — support.google.com
- Search Console ヘルプ「手動による対策レポート」 — support.google.com
- Search Console ヘルプ「非表示ツール」 — support.google.com
- Search Console ヘルプ「プロパティのオーナー、ユーザー、権限を管理する」 — support.google.com
- Google 検索ヘルプ「Google 検索の問題を報告する」（「ハッキングされている可能性があります」の表示） — support.google.com
- web.dev「審査を申請する」 — web.dev
- web.dev「日本語キーワードによるハッキングを解決する」 — web.dev
- web.dev「意味不明な内容によるハッキングを解決する」 — web.dev
- web.dev「キーワードとリンクのクローキングによるハッキングを解決する」 — web.dev
- Google セーフ ブラウジング — safebrowsing.google.com ／ 透明性レポート「サイト ステータス」 — transparencyreport.google.com
- Chrome ヘルプ「安全でないサイトに関する警告を管理する」 — support.google.com
- Chrome ヘルプ「サイトの接続が安全かどうかを確認する」 — support.google.com
- Bing「Webmaster Guidelines」 — bing.com
- Bing「Why is My Site Not in the Index?」 — bing.com
次に読む
- 侵入の確認：サイトやサーバーが不正アクセスされたか調べる方法（レンタルサーバー・WordPress・VPS別）
- 被害を小さくする設定：セキュリティヘッダの選び方：今も必要なもの、不要になったもの、害になるもの ／ ツール：セキュリティヘッダ診断
- WordPress：WordPressのセキュリティ対策
- 自分のドメインに他人のページが出る別の原因：サブドメイン乗っ取り（dangling DNS）とは
- 事業者側が侵害されたとき：レンタルサーバーが不正アクセスされたとき、利用者は何をすべきか
- 復旧：バックアップと復旧の基本
- 用語：マルウェアとは ／ フィッシングとは
よくある質問
Qサイトのセキュリティ対策は SEO に影響しますか？
対策をしたこと自体で順位が上がるわけではありません。Google は、脆弱性の有無やセキュリティヘッダの設定を順位要因として挙げていません。影響が大きいのは、脆弱性が悪用されて改ざんやマルウェア配布が起きたときです。Google は、ハッキングされたサイトの検索結果に警告を付け、スパムポリシーに違反するサイトは順位が下がるか表示されなくなることがあると説明しています。
Q「このサイトは第三者によってハッキングされている可能性があります」の表示を消すには？
サイトの所有者が修正しないと消えません。Search Console にサイトを登録して所有権を確認し、「セキュリティの問題」レポートで問題とサンプルURLを確認して、原因の脆弱性まで直します。サイト全体がきれいになったら、同じレポートで「審査をリクエスト」を選びます。Google が修正を確認すると表示が削除されます。web.dev は、スパムによるハッキングの審査は最長で数週間かかることがあるとしています。
QHTTPS にすると検索順位は上がりますか？
大きくは期待できません。Google は2014年に HTTPS を順位シグナルにすると発表しましたが、そのときも、シグナルのウェイトを非常に小さく設定し、影響は世界のクエリの1%未満としていました。現在のページ エクスペリエンスの文書は、HTTPS をよいページ エクスペリエンスの確認項目に挙げる一方、Core Web Vitals 以外の要素は順位上昇に直接貢献しないと書いています。HTTPS は訪問者の通信を守るために必要な設定と考えてください。
Qセキュリティヘッダや脆弱性診断の点数は、検索順位に関係しますか？
Google の検索セントラルの文書は、セキュリティヘッダの有無や、外部の診断ツールの評価を順位要因として挙げていません。Google が順位システムで使うと明記しているページ エクスペリエンスの要素は Core Web Vitals です。セキュリティヘッダは、改ざんされたときの被害を小さくするための設定として入れるものです。
Q「手動による対策」と「セキュリティの問題」は何が違いますか？
「手動による対策」は、Google の担当者がスパムポリシーに違反していると判断したときに出るもので、サイトの一部またはすべてが検索結果に表示されなくなります（英語版ヘルプでは、順位が下がるか検索結果から除外される、と説明）。フォーラムなどに書き込まれたスパムは「サイトが第三者のスパムにより悪用されている」「ユーザー生成スパム」としてここに出ます。ハッキングやマルウェアは「セキュリティの問題」レポートに出ます。どちらも、直したあとにそれぞれのレポートで「審査をリクエスト」を選びます。
Q改ざんで作られたスパムページを、検索結果から早く消すには？
まずページを削除し、サーバーが 404 か 410 を返すようにします。急ぐときは Search Console の「非表示」ツールで一時的に隠せますが、効果は約6か月で、恒久的な削除にはなりません。Google は、robots.txt をブロックの手段に使わないよう案内しています。