웹사이트 보안은 SEO에 영향을 줄까? 취약점, 해킹된 사이트, HTTPS와 검색 순위를 Google 공식 문서로 정리

이 글은 직접 웹사이트를 운영하면서 보안이 검색 순위에 영향을 주는지 알고 싶은 분, 또는 방금 내 사이트의 검색 결과에서 해킹 경고를 본 분을 위한 글입니다. Google 검색 센터, Search Console 고객센터, web.dev, Chrome 고객센터, Bing Webmaster Tools 문서를 바탕으로 했습니다. 공격 방법은 다루지 않습니다.

보안 상태별 검색 영향

먼저 상태별로 검색에 어떤 영향이 있는지 공식 출처와 함께 정리합니다. "Google이 순위 요소로 나열하지 않음"은 Google 문서 어디에서도 순위 요소로 설명된 것을 찾지 못했다는 뜻이며, Google이 관계없다고 말했다는 뜻은 아닙니다.

HTTPS는 순위에 얼마나 도움이 될까?

Google은 2014년 8월 검색 센터 블로그 글에서 HTTPS를 순위 신호로 쓰겠다고 발표했습니다. 당시에는 매우 가벼운 신호일 뿐이며, 전 세계 검색어의 1% 미만에 영향을 주고, 고품질 콘텐츠 같은 신호보다 비중이 작다고 설명했습니다.

Google의 현재 페이지 경험 문서는 HTTPS를 자가 점검 질문으로 넣고 있습니다. "페이지가 안전한 방식으로 제공되나요?"라는 질문입니다. 같은 페이지는 Core Web Vitals(로딩 속도, 응답성, 화면 안정성 지표)가 Google의 순위 시스템에서 사용된다고 하면서, Core Web Vitals 외의 페이지 경험 요소는 웹사이트 순위를 직접 올려 주지 않는다고 설명합니다. 2023년 4월 블로그 글도 이전에 나열했던 페이지 경험 신호(HTTPS 포함)가 모두 순위에 직접 쓰이는 것은 아닐 수 있다고 했습니다.

그래도 HTTPS는 필요합니다. Chrome 고객센터는 비공개 연결이 아닌 사이트에서는 누군가 주고받는 정보를 보거나 바꿀 수 있다고 하며, 그런 페이지에는 비공개 정보나 개인 정보를 입력하지 말라고 안내합니다. 사이트에 문의 양식이나 로그인 페이지가 있다면, HTTPS가 없다는 사실은 모든 방문자에게 보입니다.

사이트가 해킹되면 검색과 브라우저에서 일어나는 일

Google의 스팸 정책은 해킹된 콘텐츠를 사이트 보안의 취약점 때문에 허가 없이 사이트에 올라간 모든 콘텐츠로 정의하고, 정책을 위반한 사이트는 검색 결과에서 순위가 낮아지거나 아예 나오지 않을 수 있다고 설명합니다. Google은 자동 시스템과, 필요한 경우 사람의 검토로 위반을 찾아냅니다.

검색 결과의 "이 사이트는 해킹되었을 수 있습니다"

Google 검색 고객센터에 따르면 "이 사이트는 해킹되었을 수 있습니다" 메시지는 해커가 사이트의 기존 페이지 일부를 바꾸었거나 새 스팸 페이지를 추가했을 수 있다고 Google이 판단할 때 표시됩니다. 사이트 소유자가 문제를 고치고 Google이 수정을 확인할 때까지 남아 있습니다.

브라우저의 "위험한 사이트"

Google 세이프 브라우징(안전하지 않은 사이트를 모은 Google의 목록으로, 브라우저와 다른 제품이 사람들에게 경고할 때 사용)은 Chrome과 다른 브라우저, 그리고 Google 검색, Gmail 등을 보호합니다. Chrome 고객센터는 피싱, 멀웨어, 원치 않는 소프트웨어, 소셜 엔지니어링과 관련된 사이트에 빨간색 "위험한 사이트" 경고가 표시된다고 설명합니다. 본 사이트의 견해로는, 그 페이지를 넘어서 들어오는 방문자는 거의 없다고 보는 편이 좋습니다.

Google이 설명하는 해킹 유형

web.dev(웹 개발자를 위한 Google의 안내 사이트)는 검색에 영향을 주는 해킹의 정리 가이드를 공개하고 있습니다. 흔한 세 가지는 다음과 같습니다.

세 가지 모두 소유자가 평소에 사이트를 볼 때는 알아차리지 못하도록 만들어집니다. web.dev는 site: 검색과, Google이 보는 그대로 페이지를 보여 주는 URL 검사 도구를 권합니다.

오늘 확인할 것

경고가 없더라도 다음 다섯 가지는 몇 분이면 확인할 수 있습니다. 사이트가 아직 Search Console에 없다면 먼저 추가하고 소유권을 확인하세요. 등록되어 있으면 Google이 찾은 문제가 보고서와 Search Console 메시지로 알려집니다.

이미 경고가 붙었을 때의 복구 순서

순서가 중요합니다. 원인을 고치기 전에 검토를 요청하면 경고가 더 오래 남습니다.

출처(공식)

• Google 검색 센터 블로그, "HTTPS as a ranking signal"(2014년 8월 7일) — developers.google.com
• Google 검색 센터, "Understanding page experience in Google Search results"(페이지 경험) — developers.google.com
• Google 검색 센터 블로그, "The role of page experience in creating helpful content"(2023년 4월 19일) — developers.google.com
• Google 검색 센터, "Spam policies for Google web search"(스팸 정책, 해킹된 콘텐츠) — developers.google.com
• Search Console 고객센터, "Security Issues report"(보안 문제 보고서) — support.google.com
• Search Console 고객센터, "Manual Actions report"(직접 조치 보고서) — support.google.com
• Search Console 고객센터, "Removals and SafeSearch reports Tool"(삭제 도구) — support.google.com
• Search Console 고객센터, "Manage owners, users, and permissions"(소유자, 사용자, 권한 관리) — support.google.com
• Google 검색 고객센터, "Report a problem with Google Search"("이 사이트는 해킹되었을 수 있습니다" 표시 관련) — support.google.com
• web.dev, "Request a review" — web.dev
• web.dev, "Fix the Japanese keyword hack" — web.dev
• web.dev, "Fix the gibberish hack" — web.dev
• web.dev, "Fix the cloaked keywords and links hack" — web.dev
• Google 세이프 브라우징 — safebrowsing.google.com / 투명성 보고서 Site status — transparencyreport.google.com
• Chrome 고객센터, "Manage warnings about unsafe sites"(안전하지 않은 사이트 경고 관리) — support.google.com
• Chrome 고객센터, "Check if a site's connection is secure"(사이트 연결이 안전한지 확인) — support.google.com
• Bing, "Webmaster Guidelines" — bing.com
• Bing, "Why is My Site Not in the Index?" — bing.com

다음으로 읽기

• 침입 확인: 웹사이트나 서버가 해킹됐는지 확인하는 법(공유 호스팅, WordPress, VPS)
• 피해를 줄이는 설정: 보안 헤더 고르는 법: 아직 필요한 것, 쓸모없어진 것, 해가 되는 것 / 도구: 보안 헤더 검사 도구
• WordPress: WordPress 보안 — 운영 환경 강화 레퍼런스
• 내 도메인에 남의 페이지가 나타나는 또 다른 경우: 서브도메인 탈취(댕글링 DNS)
• 호스팅 업체가 침해됐을 때: 웹 호스팅 업체가 침해됐을 때 고객이 할 일
• 복구: 백업의 기본
• 용어: 악성코드(멀웨어)란? / 피싱이란?