Você pesquisa o nome da empresa e encontra páginas em japonês, anúncios de produtos que nunca vendeu ou títulos em outro idioma usando o seu domínio. Se essas páginas foram inseridas sem autorização, o site sofreu uma invasão que está usando seus endereços para distribuir spam no Google.
Apagar o resultado da busca esconde uma URL por um período. Para resolver, você precisa impedir a criação das páginas falsas, recuperar o conteúdo legítimo e devolver a resposta correta quando o Google visitar os endereços removidos.
Páginas em japonês no Google: o que aconteceu com o site?
O chamado Japanese keyword hack cria páginas ou altera o conteúdo do site para exibir textos em japonês, frequentemente ligados a ofertas sem relação com o negócio. A mesma forma de invasão pode publicar conteúdo em italiano, inglês ou português. O idioma não identifica quem invadiu o site.
Você pode abrir uma URL pelo Google e ser levado para outro domínio, enquanto a visita direta parece normal. Nesse caso, o código escolhe o que mostrar pela origem do acesso ou por outros sinais. O administrador logado também pode receber uma página diferente da que aparece para o visitante.
Para uma primeira verificação, pesquise site:seu-dominio.com e copie alguns endereços que não reconhece. Essa busca serve para encontrar exemplos, não para contar com precisão todas as URLs afetadas. Leia também os relatórios do Search Console.
Se você só recebeu comentários ou mensagens de formulário com links, verifique onde o spam está publicado antes de concluir que houve invasão. Páginas novas, arquivos alterados e contas desconhecidas pedem a investigação da instalação.
O que encontrei no Feito por Preto
No Feito por Preto, a invasão inseriu mais de 100 mil URLs falsas, com nomes de produtos em italiano, num site que tinha cerca de 40 páginas legítimas. Os endereços usavam o caminho /index.php/ e não correspondiam ao conteúdo de moda e cultura negra do portal.
Encontrei arquivos maliciosos no tema que mantinham o acesso do invasor. A recuperação incluiu remover esses arquivos, tratar as URLs de spam com resposta 410 e recuperar o acesso do Google às páginas e imagens legítimas. Também corrigi referências HTTP no sitemap de um site que usava HTTPS.
Esse trabalho exigiu separar o que o invasor publicou do que o portal precisava preservar. A regra aplicada às URLs falsas não podia eliminar os artigos e as imagens do site. Nos relatórios de recuperação, acompanhei a nova leitura desses conteúdos pelo Google; apagar o spam foi uma parte do trabalho.
Por que as páginas falsas não aparecem no painel do WordPress?
Nem toda página entregue pelo servidor é um post salvo no WordPress. Um arquivo PHP adicional ou uma regra de reescrita pode gerar milhares de endereços sem criar milhares de posts. Por isso, a lista de Publicações pode estar normal enquanto o domínio continua servindo spam.
Faça dois testes: procure um termo do título falso em Posts > Todos os posts e abra a URL exata apontada pelo Google. Confira também páginas, lixeira, rascunhos e tipos de conteúdo criados por plugins. Se o painel não tem o conteúdo, examine arquivos e regras do servidor.
No phpMyAdmin, uma consulta de leitura ajuda a procurar títulos no banco. Escolha a base indicada em DB_NAME, ajuste o prefixo da tabela e substitua o texto entre os sinais de porcentagem por um trecho do título suspeito:
SELECT ID, post_type, post_status, post_title
FROM wp_posts
WHERE post_title LIKE '%trecho do titulo encontrado no Google%'
LIMIT 50;Um resultado vazio apenas encerra essa busca por título naquela tabela. O texto pode estar nos metadados, em uma opção de plugin ou sendo montado por um arquivo. Não exclua registros em lote antes de distinguir os posts falsos dos conteúdos legítimos alterados.
Como localizar as URLs e os arquivos usados na invasão
Filtre páginas e consultas no Search Console
Abra Desempenho > Resultados da pesquisa e escolha um período que alcance o início do problema. Na aba Páginas, procure caminhos estranhos. Em Consultas, procure os títulos, marcas e termos de produtos que não pertencem ao site.
Adicione o filtro Página, escolha URLs com e use um trecho que aparece nos endereços falsos. Depois, exporte os resultados para preservar a lista.
Na Inspeção de URL, consulte uma amostra de cada grupo. Compare a última leitura registrada com o conteúdo que o servidor entrega agora. Se o Google leu a página antes da limpeza, o resultado antigo ainda pode refletir aquela versão.
O relatório de desempenho mostra URLs com impressões ou cliques no período. Acrescente à lista os exemplos de Indexação > Páginas, os sitemaps desconhecidos e as URLs encontradas nos logs. Para usar os filtros, veja o passo a passo do Search Console.
Procure o gerador das páginas nos arquivos
Salve uma cópia privada dos arquivos, do banco e dos logs antes da limpeza. Depois, compare o núcleo, os plugins e o tema com cópias confiáveis. Examine também .htaccess, wp-config.php, arquivos PHP adicionais na raiz, wp-content/mu-plugins e PHP dentro de uploads.
Com SSH, este comando apenas lista arquivos PHP modificados nos últimos sete dias dentro de wp-content:
find wp-content -type f -name '*.php' -mtime -7 -printExecute na pasta da instalação. Ajuste o período à data do problema e compare os resultados com atualizações legítimas. Arquivos antigos também podem estar comprometidos, e a data pode ter sido alterada pelo invasor.
No Wordfence, abra a verificação de arquivos e compare cada alteração apontada com a versão original. Repare arquivos oficiais confirmados e preserve as personalizações legítimas do tema filho. Retirar um arquivo que gera as páginas falsas precisa vir acompanhado da remoção de outros acessos e da correção do componente vulnerável. O roteiro de limpeza de um WordPress hackeado detalha essa recuperação.
O que devolver nas URLs depois de remover o spam
Uma página legítima alterada pelo invasor deve voltar ao conteúdo correto. Já uma URL criada exclusivamente para spam deve deixar de entregar esse conteúdo e responder com 404 ou 410. Ambos informam ao Google que aquele conteúdo não está disponível.
Use 301 quando uma página legítima mudou e há uma substituta equivalente. Mandar todos os endereços falsos para a home cria um destino sem relação com o que estava nessas URLs e pode ser interpretado como soft 404.
Para verificar um endereço removido sem executar a página no navegador, consulte a resposta HTTP:
curl.exe -sS -I --max-time 20 "https://seu-dominio.example/caminho-do-spam/"No Windows, use curl.exe; no macOS ou Linux, use curl. Troque a URL pelo endereço que você já identificou. A resposta esperada para spam removido é 404 ou 410. Se continua em 200, confira a regra do servidor e o conteúdo retornado. Uma página que escreve “não encontrado” mas responde 200 continua informando sucesso ao robô.
Ao aplicar uma regra por caminho, confira se há páginas legítimas dentro dele. Um prefixo como /index.php/ pode fazer parte de URLs válidas de outra instalação. A regra precisa corresponder ao conjunto confirmado de spam daquele site.
Se o invasor apagou imagens ou artigos legítimos, recupere os arquivos e o conteúdo nos endereços anteriores. Não devolva 410 para uma página que precisa continuar na busca. A orientação de respostas HTTP para o Google explica como os códigos de erro entram no processamento das URLs.
Como usar Remoções no Search Console sem esconder o site inteiro
Em Remoções > Nova solicitação > Remover URL temporariamente, você pode pedir a ocultação de uma URL ou dos endereços que começam com um prefixo. A ferramenta retira a exibição por cerca de seis meses; a exclusão definitiva depende da resposta que o servidor passa a entregar.
Copie uma URL falsa já verificada e escolha a opção correspondente. Antes de confirmar um prefixo, leia o endereço desde o domínio até o último caractere e compare com páginas legítimas. Solicitar o prefixo da raiz pode ocultar o site todo.
Para muitas URLs que compartilham um caminho exclusivo de spam, o prefixo economiza pedidos individuais. Se o caminho mistura conteúdo legítimo e falso, use uma seleção mais restrita. Corrija o servidor antes ou junto do pedido temporário para que o conteúdo indevido não volte quando a ocultação terminar.
Confira o andamento em Remoções e use a Inspeção de URL para consultar a resposta atual. Os tipos de solicitação e seus efeitos variam conforme a opção escolhida.
Revise proprietários, sitemaps e permissões
No Search Console, abra Configurações > Usuários e permissões. Remova acessos não autorizados e confira os métodos de verificação. Um proprietário que mantém o arquivo, a meta tag ou o registro DNS usado para validar o domínio pode verificar a propriedade novamente.
Retire os tokens desconhecidos pelo método correspondente e preserve os que pertencem às contas legítimas. Revise também contas administrativas do WordPress, usuários da hospedagem e credenciais de integrações.
Em Sitemaps, remova envios desconhecidos e corrija os arquivos gerados no site. Excluir apenas o envio no Search Console não apaga um sitemap malicioso que continua público. O sitemap das páginas legítimas deve conter os endereços canônicos e acessíveis que você quer manter indexados.
Robots.txt, noindex e disavow resolvem esse spam?
Não use robots.txt para esconder do Google a resposta 404 ou 410. O robô precisa acessar a URL para descobrir que o spam foi removido. Se você bloqueia o rastreamento, pode impedir essa leitura.
O noindex retira uma página da busca quando o Google consegue ler a instrução. Manter a página maliciosa pública apenas com noindex deixa os visitantes expostos e não limpa os arquivos. Para URLs falsas que foram encerradas, entregue a resposta HTTP de remoção.
Links de outros sites apontando para o spam não obrigam a enviar um arquivo de rejeição de links. Primeiro limpe o site. A rejeição de links tem uso restrito, especialmente em situações de links artificiais associados a ações manuais ou ao risco delas; não envie uma lista automática de todos os domínios estranhos que apareceram num relatório.
Conclusão
Escolha agora uma URL falsa e uma página legítima para testar. A falsa deve responder como removida; a legítima deve voltar com o conteúdo e as imagens corretos. Depois, amplie essa conferência para os grupos de URLs encontrados e acompanhe novas leituras no Search Console.
Resultados antigos podem continuar aparecendo até o Google revisitar os endereços. URLs novas sendo criadas depois da limpeza pedem outra procura nos arquivos e acessos. Na manutenção WordPress, posso cuidar da limpeza e dos ajustes para recuperar o conteúdo legítimo. Para conversar sobre o seu site, reúna algumas URLs falsas e os avisos que recebeu no Search Console.
