Руководства по безопасности
Влияет ли безопасность сайта на SEO? Уязвимости, взломанные сайты, HTTPS и позиции в поиске по официальной документации Google
Влияет ли безопасность сайта на SEO? По документации Google и Bing: уязвимость не фактор ранжирования, но взлом ведёт к предупреждениям и выпадению из поиска. Как проверить и восстановить сайт.
Для кого эта статья: для тех, кто сам ведёт сайт и хочет знать, влияет ли безопасность на позиции в поиске, или кто только что увидел предупреждение о взломе в выдаче по своему сайту. Статья основана на документации Google Search Central, Справки Search Console, web.dev, Справки Chrome и Bing Webmaster Tools. Как проводятся атаки, здесь не описано.
Состояние безопасности и влияние на поиск
Сначала о том, как каждое состояние влияет на поиск, с официальным источником для каждого. «Google не называет фактором ранжирования» означает, что мы не нашли такого описания нигде в документации Google, а не что Google заявляет, будто это не важно.
| Состояние безопасности | Влияние на поиск | Официальный источник |
|---|---|---|
| Есть известная уязвимость (например, старый плагин), но ею не воспользовались | Google не называет фактором ранжирования. Если ею воспользуются, вы переходите в строки ниже | Правила о спаме (взломанный контент размещён «без разрешения из-за уязвимостей») |
| Нет заголовков безопасности или низкая оценка сканера | Google не называет фактором ранжирования | Документация о качестве взаимодействия со страницей (аспект, который используют системы ранжирования, — Core Web Vitals) |
| Сайт всё ещё на HTTP | «Очень лёгкий» сигнал по объявлению 2014 года; Chrome показывает в адресной строке «Not secure» («Не защищено») | Запись в блоге 2014 года, документация о качестве взаимодействия со страницей, Справка Chrome |
| Сайт взломан, добавлены спам-страницы | «This site may be hacked» в результатах; сайты, нарушающие правила, могут опуститься или не появляться | Справка Google Поиска, правила о спаме |
| Сайт распространяет вредоносное ПО или фишинг | Предупреждение в результатах и страница-предупреждение «Dangerous site» в браузере | Справка Search Console (отчёт «Security issues»), Справка Chrome |
| Форум или комментарии завалены сторонним спамом | Мера, принятая вручную; затронутые страницы опускаются в результатах или исключаются из них | Справка Search Console (отчёт «Manual actions») |
| Bing обнаружил вредоносное ПО | Сайт удалён из результатов Bing или в выдаче добавлено предупреждение о вредоносном ПО | Справка Bing Webmaster Tools |
Взлом отображается в «Security issues», а не в «Manual actions»
В нынешнем списке типов мер, принятых вручную, в Search Console нет пункта «взломанный сайт». Взломанный контент, вредоносное и нежелательное ПО, а также социальная инженерия (обман людей, например поддельной страницей входа) отображаются в отчёте «Security issues». Проверяйте оба отчёта.
Насколько HTTPS помогает позициям?
В записи блога Search Central в августе 2014 года Google объявил, что будет использовать HTTPS как сигнал ранжирования. Тогда он описал его как пока лишь очень лёгкий сигнал, который влияет менее чем на 1% запросов в мире и весит меньше, чем такие сигналы, как качественный контент.
Нынешняя документация Google о качестве взаимодействия со страницей включает HTTPS в вопросы для самопроверки: «Are your pages served in a secure fashion?» (Передаются ли ваши страницы безопасным способом?). На той же странице сказано, что Core Web Vitals (показатели скорости загрузки, отзывчивости и визуальной стабильности) используются системами ранжирования Google и что, кроме Core Web Vitals, другие аспекты качества взаимодействия напрямую не помогают сайту подняться в рейтинге. Запись в блоге в апреле 2023 года тоже говорила, что не все ранее перечисленные сигналы качества взаимодействия, среди которых был HTTPS, могут напрямую использоваться для ранжирования.
HTTPS всё равно нужен. Справка Chrome говорит, что на сайте без защищённого соединения кто-то может просматривать и изменять информацию, которую вы отправляете и получаете, и советует не вводить на таких страницах личную или персональную информацию. Если на вашем сайте есть форма обратной связи или страница входа, отсутствие HTTPS видит каждый посетитель.
Что происходит в поиске и в браузерах, когда сайт взломан
Правила Google о спаме определяют взломанный контент как любой контент, размещённый на сайте без разрешения из-за уязвимостей в его защите, и говорят, что сайты, нарушающие правила, могут занимать более низкие позиции в результатах или вовсе не появляться в них. Google находит нарушения автоматическими системами и, при необходимости, с помощью проверки людьми.
1 Есть уязвимость
Старые плагины, повторно используемые пароли. На этом этапе это не фактор ранжирования из списка Google
2 Ей воспользовались, и содержимое изменилось
Спам-страницы, скрытые ссылки, перенаправления на другие сайты, вредоносное ПО
3 Предупреждения в поиске и браузерах
Пометка о взломе в результатах, страница «Dangerous site», падение позиций или удаление
4 Исправьте и запросите проверку
Только после того, как уязвимость закрыта. Проверка занимает от суток до нескольких недель
5 Предупреждения снимают
Когда сайт признан чистым, предупреждения в браузере и поиске снимают в течение 72 часов (web.dev)
«This site may be hacked» в результатах поиска
Согласно Справке Google Поиска, сообщение «This site may be hacked» (Этот сайт может быть взломан) появляется, когда Google считает, что взломщик мог изменить часть существующих страниц сайта или добавить новые спам-страницы. Оно остаётся, пока владелец сайта не исправит проблему и Google не подтвердит исправление.
«Dangerous site» в браузере
Google Safe Browsing (список небезопасных сайтов Google, по которому браузеры и другие продукты предупреждают людей) защищает Chrome и другие браузеры, а также Google Поиск, Gmail и другие сервисы. Справка Chrome говорит, что сайты, связанные с фишингом, вредоносным ПО, нежелательным ПО или социальной инженерией, получают красное предупреждение «Dangerous site» (Опасный сайт). По мнению этого сайта, стоит исходить из того, что мало кто из посетителей пройдёт дальше этой страницы.
Типы взлома, которые описывает Google
web.dev (руководства Google для веб-разработчиков) публикует инструкции по очистке от взломов, влияющих на поиск. Три распространённых типа:
| Тип | Описание Google |
|---|---|
| Взлом с японскими ключевыми словами | В каталогах со случайными именами появляются новые страницы с автоматически созданным японским текстом, монетизированные партнёрскими ссылками на магазины поддельных брендовых товаров. Взломщик обычно добавляет себя владельцем ресурса в Search Console |
| Взлом с бессмысленным текстом (gibberish hack) | Создаётся множество страниц с бессмысленными предложениями, набитыми ключевыми словами, чтобы попасть в поиск; посетителей перенаправляют на посторонние сайты |
| Взлом со скрытыми ключевыми словами и ссылками (cloaking) | Создаётся множество страниц с бессмысленным текстом, ссылками и картинками, чтобы манипулировать факторами ранжирования Google; владельцу могут показывать поддельную ошибку 404 |
Все три сделаны так, чтобы владелец не заметил их при обычном просмотре сайта. web.dev рекомендует поиск site: и инструмент проверки URL, который показывает страницу так, как её видит Google.
Что проверить сегодня
Даже без предупреждений эти пять проверок займут несколько минут. Если сайта ещё нет в Search Console, сначала добавьте его и подтвердите права; после этого проблемы, найденные Google, будут появляться в отчётах и в сообщениях Search Console.
Откройте в Search Console «Security issues» и «Manual actions»
Оба отчёта находятся в левом меню в разделе «Security & Manual Actions» (Безопасность и меры, принятые вручную). Если есть проблема, вы увидите её тип и примеры затронутых URL. Google отмечает, что список примеров может быть неполным, а для некоторых проблем примеры URL не показываются, хотя страницы затронуты.
Проверьте, нет ли владельцев, которых вы не добавляли
Откройте «Settings» > «Users and permissions» (Настройки > Пользователи и разрешения) и поищите незнакомых пользователей или владельцев. web.dev пишет, что при взломе с японскими ключевыми словами взломщик обычно добавляет себя владельцем ресурса. Чтобы удалить подтверждённого владельца, нужно удалить с сайта его токен подтверждения (HTML-файл, метатег и т. п.); раздел «Unused ownership tokens» (Неиспользуемые токены владения) показывает оставшиеся токены.
Найдите поиском `site:` страницы, которых вы не создавали
Выполните в Google поиск site:вашдомен и поищите незнакомые URL или заголовки, например японские названия брендов, лекарств или слова из интернет-магазинов. Этот сайт также советует добавить подозрительное слово после запроса site:, чтобы сузить поиск. Если Google ничего не показывает, web.dev предлагает попробовать другую поисковую систему.
Проверьте статус сайта в Safe Browsing
Введите свой домен в разделе «Site status» (Статус сайта) Safe Browsing в Google Transparency Report (отчёт Google о прозрачности), чтобы узнать, считает ли Safe Browsing сайт опасным сейчас.
Убедитесь, что сайт работает по HTTPS
Откройте сайт в Chrome и проверьте, что в адресной строке нет надписи «Not secure» («Не защищено»). Отчёт «HTTPS» в Search Console показывает, отдаёте ли вы защищённые страницы HTTPS и что исправить, если нет.
То, что сайт выглядит нормально для вас, не доказывает, что он чист
web.dev объясняет, что взломанные страницы могут показывать владельцу ошибку 404 или похожую, чтобы казаться удалёнными. Не ограничивайтесь открытием подозрительного URL в своём браузере: проверьте его инструментом проверки URL, чтобы увидеть то, что видит Google. Как искать следы вторжения на сервере, описано в статье как проверить, не взломан ли ваш сайт или сервер.
Порядок восстановления, если предупреждение уже есть
Порядок важен. Если запросить проверку до устранения причины, предупреждение продержится дольше.
Сохраните улики и остановите распространение
Сделайте резервную копию всего сайта и базы данных за пределами сервера и сохраните журналы. Если посетители страдают, временно отключите сайт. Подробный порядок — в руководстве по проверке и реагированию на вторжение.
Удалите контент взломщика и закройте уязвимость
Удалите добавленные страницы, изменённые файлы и незнакомых пользователей и смените все пароли. Справка Google Поиска предупреждает, что если не исправить уязвимость, сайт могут взломать снова. web.dev (страница 2015 года) ссылается на исследование, по которому 20% взломанных сайтов были взломаны повторно в течение суток. Для WordPress выполните обновления и удалите неиспользуемые плагины по справочнику по безопасности WordPress.
Сделайте так, чтобы спам-URL отвечали 404 или 410
Согласно Справке Search Console, чтобы навсегда убрать страницу из результатов, удалите её и настройте сервер так, чтобы он отвечал 404 (Not Found) или 410 (Gone). Временное удаление в инструменте «Removals» может быстро скрыть URL, но только примерно на шесть месяцев. Google говорит не использовать robots.txt как способ блокировки.
Проверьте исправление так, как его видит Google
web.dev просит перед проверкой убедиться, что ключевые страницы, включая URL, изменённые взломщиком, чисты и что Googlebot может их сканировать (они не заблокированы в robots.txt или через noindex). С помощью инструмента проверки URL убедитесь, что спам-URL теперь считаются ненайденными (404 или похожий ответ).
Выберите «Request Review» в нужном отчёте
Для «Security issues» исправьте все перечисленные проблемы по всему сайту, затем выберите «Request Review» (Запросить проверку) в этом отчёте и опишите проблему, принятые меры и результат. Для меры, принятой вручную, так же запросите повторную проверку в отчёте «Manual actions». Справка Search Console говорит, что большинство проверок занимает от нескольких дней до нескольких недель, и просит не отправлять запрос повторно, пока проверка идёт. web.dev указывает около суток для фишинга, несколько дней для вредоносного ПО и до нескольких недель для сайтов, взломанных ради спама.
Проверьте и Bing
Bing сообщает, что при обнаружении вредоносного ПО предупреждает владельцев сайтов через Bing Webmaster Tools и либо полностью удаляет сайт из результатов, либо добавляет в выдачу предупреждение о вредоносном ПО. Если ваш сайт есть в Bing Webmaster Tools, проверьте уведомления и следуйте Bing Webmaster Guidelines (рекомендациям для веб-мастеров), где сказано, что сайты, связанные с фишингом, распространением вредоносного ПО или другой вредной деятельностью, рискуют понижением или удалением.
Позиция этого сайта: безопасность для SEO — это не повышение оценки, а защита от взлома и быстрое обнаружение
Некоторые владельцы сайтов считают, что более сильная защита поднимет их позиции, и тратят время на повышение оценки заголовков безопасности или балла сканера. В документации Google нет ничего, что это подтверждает. Сильное влияние на поиск появляется, когда сайт взломан и помечен. Проверка может занять до нескольких недель, и всё это время поисковый трафик может сильно упасть.
Поэтому с точки зрения SEO мы советуем сосредоточиться на двух вещах. Во-первых, держать под контролем программы и пароли, через которые проникают взломщики. Во-вторых, зарегистрироваться в Search Console, получать её письма с уведомлениями и замечать проблемы рано. Что касается заголовков безопасности, достаточно настроить те, что ещё нужны, чтобы ограничить ущерб.
Источники (первичные)
- Блог Google Search Central, «HTTPS as a ranking signal» (7 августа 2014 года) — developers.google.com
- Google Search Central, «Understanding page experience in Google Search results» (качество взаимодействия со страницей) — developers.google.com
- Блог Google Search Central, «The role of page experience in creating helpful content» (19 апреля 2023 года) — developers.google.com
- Google Search Central, «Spam policies for Google web search» (правила о спаме, взломанный контент) — developers.google.com
- Справка Search Console, «Security Issues report» — support.google.com
- Справка Search Console, «Manual Actions report» — support.google.com
- Справка Search Console, «Removals and SafeSearch reports Tool» — support.google.com
- Справка Search Console, «Manage owners, users, and permissions» — support.google.com
- Справка Google Поиска, «Report a problem with Google Search» (о пометке «This site may be hacked») — support.google.com
- web.dev, «Request a review» — web.dev
- web.dev, «Fix the Japanese keyword hack» — web.dev
- web.dev, «Fix the gibberish hack» — web.dev
- web.dev, «Fix the cloaked keywords and links hack» — web.dev
- Google Safe Browsing — safebrowsing.google.com / Transparency Report, Site status — transparencyreport.google.com
- Справка Chrome, «Manage warnings about unsafe sites» — support.google.com
- Справка Chrome, «Check if a site's connection is secure» — support.google.com
- Bing, «Webmaster Guidelines» — bing.com
- Bing, «Why is My Site Not in the Index?» — bing.com
Читать дальше
- Проверка на вторжение: Как проверить, не взломан ли ваш сайт или сервер (виртуальный хостинг, WordPress, VPS)
- Настройки, ограничивающие ущерб: Как выбрать заголовки безопасности: что ещё нужно, что устарело и что вредит / инструмент: сканер заголовков безопасности
- WordPress: Безопасность WordPress — справочник по укреплению в продакшене
- Ещё один способ, которым чужие страницы появляются на вашем домене: Захват поддомена (висящая DNS-запись)
- Если взломан хостинг: Что делать клиентам, когда взломан ваш хостинг-провайдер
- Восстановление: Основы резервного копирования
- Глоссарий: Что такое вредоносное ПО? / Что такое фишинг?
FAQ
QВлияет ли безопасность сайта на SEO?
Сама по себе работа над безопасностью позиции не повышает. Google не называет уязвимости или заголовки безопасности факторами ранжирования. Сильное влияние появляется, когда уязвимостью воспользовались и сайт взломан или начал распространять вредоносное ПО. Google помечает взломанные сайты в результатах поиска и сообщает, что сайты, нарушающие его правила о спаме, могут занимать более низкие позиции или вовсе не появляться в результатах.
QКак убрать пометку «Этот сайт может быть взломан» в Google?
Убрать её может только владелец сайта, исправив сайт. Подтвердите права на сайт в Search Console, откройте отчёт «Security issues» (Проблемы безопасности), посмотрите проблему и примеры URL и закройте уязвимость, через которую проник взломщик. Когда весь сайт будет чист, выберите «Request Review» (Запросить проверку) в том же отчёте. Google снимет пометку после того, как убедится, что сайт исправлен. По данным web.dev, проверка сайтов, взломанных ради спама, может занять до нескольких недель.
QПоднимет ли переход на HTTPS мои позиции?
Многого не ждите. Объявляя HTTPS сигналом ранжирования в 2014 году, Google назвал его очень лёгким сигналом, который влияет менее чем на 1% запросов в мире. Нынешняя документация Google о качестве взаимодействия со страницей включает HTTPS в вопросы для самопроверки, но говорит, что, кроме Core Web Vitals, остальные аспекты напрямую не помогают сайту подняться в рейтинге. Считайте HTTPS необходимым для защиты посетителей.
QВлияют ли на позиции заголовки безопасности или оценки сканеров уязвимостей?
Документация Google Search Central не называет заголовки безопасности или оценки сторонних сканеров факторами ранжирования. Аспект качества взаимодействия со страницей, который, по словам Google, используют его системы ранжирования, — это Core Web Vitals. Заголовки безопасности стоит настроить, чтобы ограничить ущерб при атаке, а не ради позиций.
QЧем меры, принятые вручную, отличаются от проблем безопасности?
Мера, принятая вручную (Manual action), означает, что сотрудник Google проверил сайт и решил, что его страницы нарушают правила о спаме; затронутые страницы могут опуститься в результатах или быть исключены из них. Спам в вашем форуме или комментариях отображается там как «Site abused with third-party spam» (сайт используется для стороннего спама) или «User-generated spam» (спам, созданный пользователями). Взлом и вредоносное ПО вместо этого отображаются в отчёте «Security issues». В обоих случаях исправьте проблему и выберите «Request Review» в соответствующем отчёте.
QКак быстро убрать из Google спам-страницы, появившиеся после взлома?
Удалите страницы и убедитесь, что сервер отвечает 404 или 410. Если их нужно скрыть быстро, инструмент «Removals» (Удаления) может временно заблокировать их, но только примерно на шесть месяцев; это не окончательное удаление. Не блокируйте эти URL в robots.txt: Google говорит не использовать его для удаления.