Op een ochtend meldt Search Console duizenden Japanse pagina's die je nooit hebt geschreven, of je klikken storten zonder duidelijke reden in. Misschien is je WordPress-site gehackt om SEO-spam te serveren, die vanuit je eigen browser vaak onzichtbaar is. Dit artikel legt uit hoe zulke aanvallen je zoekmachineposities misbruiken, hoe je ze opspoort met de tools van Google en hoe je na het opschonen een nieuwe beoordeling krijgt.
Waarom een hacker het op je rankings heeft gemunt
Een oude site die goed geïndexeerd is en door anderen wordt geciteerd, heeft iets wat een hacker zelf niet kan opbouwen: het vertrouwen van zoekmachines. Door zijn eigen pagina's op jouw domein te zetten, profiteert hij van dat vertrouwen om links te verkopen, webwinkels met namaakproducten te pushen of bezoekers naar goksites door te sturen. Jouw verkeer is de brandstof, jouw domeinnaam de etalage.
Google deelt deze praktijken in zijn spambeleid in onder "gehackte content", die het omschrijft als alle content die zonder toestemming op een site is geplaatst via beveiligingslekken. Het beleid onderscheidt vier vormen:
- Code-injectie: kwaadaardige scripts die aan bestaande pagina's worden toegevoegd, soms in iframes.
- Pagina-injectie: complete nieuwe pagina's vol spam of kwaadaardige content.
- Content-injectie: tekst of links die in je pagina's zijn verstopt, zichtbaar voor zoekmachines maar niet voor bezoekers.
- Omleidingen: code die een deel van de bezoekers naar spampagina's stuurt, afhankelijk van waar ze vandaan komen, hun browser of hun apparaat.
De meest voorkomende soorten SEO-spam
Google beschrijft op web.dev verschillende varianten die je heel vaak terugziet op gecompromitteerde WordPress-sites. Sucuri meldt op zijn beurt dat in 2022 meer dan 40% van de SEO-spamdetecties van zijn scanner SiteCheck om geïnjecteerde farmaspam ging.
| Variant | Wat de hacker aanmaakt | Typisch teken | Waar je zoekt |
|---|---|---|---|
| Japanse zoekwoordenhack | Automatisch gegenereerde Japanse pagina's, in mappen met willekeurige namen, met affiliatelinks naar namaakproducten | Japanse resultaten bij een site:-zoekopdracht, onbekende eigenaar in Search Console | Toegevoegde PHP-bestanden, .htaccess, onbekende sitemaps |
| Gibberish-hack | Pagina's met onsamenhangende zinnen, volgepropt met zoekwoorden | Bezoekers worden doorgestuurd naar sites die er niets mee te maken hebben | .htaccess, onbekende PHP-bestanden |
| Verborgen zoekwoorden en links | Pagina's die je paginasjabloon overnemen met spamtekst en spamlinks | De link lijkt naar een 404 te leiden, terwijl Google iets anders ziet | Thema, gewijzigde corebestanden, database |
| Farmaspam | Pagina's of links over medicijnen, die aan bots worden geserveerd | Titels en fragmenten over medicijnen in de zoekresultaten van Google | Corebestanden, thema, onbekende tabellen in de database |
Waarom je niets ziet: cloaking
Wat deze aanvallen gemeen hebben, is cloaking: volgens de definitie van Google het tonen van andere content aan gebruikers dan aan zoekmachines. De geïnjecteerde code bekijkt elk bezoek. Herkent ze een zoekmachinebot, of een bezoeker die via Google binnenkomt, dan serveert ze de spam. Anders toont ze de normale pagina, of zelfs een nep-404. De handleidingen van Google zeggen het zonder omwegen: hackers proberen je te laten geloven dat de pagina verdwenen of hersteld is, terwijl ze nog steeds gehackt is.
Een geval dat Sucuri in januari 2026 analyseerde, laat het mechanisme goed zien: code die aan het einde van een legitiem PHP-bestand was toegevoegd, vergeleek de user-agent met een lijst bots (Googlebot, Bingbot, Baiduspider), haalde de spam op van een externe server en toonde die alleen aan die bots. Gewone bezoekers zagen een volkomen normale site, zonder pop-up of omleiding. Pas toen de eigenaar zijn eigen site in Google opzocht, ontdekte hij resultaten die vol spam stonden.
Het effect op indexering en verkeer
De gevolgen stapelen zich op en blijven niet beperkt tot de spampagina's:
- Duizenden parasitaire URL's geïndexeerd onder je domein, die de crawl van je echte pagina's verwateren.
- De vermelding "Deze site is mogelijk gehackt" onder je resultaat in Google. De Help van Google Zoeken raadt gebruikers aan de site niet te bezoeken zolang deze melding er staat, en vermeldt dat ze zichtbaar blijft tot de eigenaar actie onderneemt.
- Verlies van posities: volgens het beleid van Google kunnen sites die het overtreden lager scoren of zelfs helemaal niet meer verschijnen.
- Een browserwaarschuwing als de hack ook malware of phishing installeert, wat onder Google Safe Browsing valt (zie ons artikel over de waarschuwing voor een gevaarlijke site).
- Een mogelijke handmatige actie, los van het beveiligingsrapport, bijvoorbeeld "Cloaking en/of verborgen omleidingen".
Spam opsporen met Search Console
Search Console is de tool die je site ziet zoals Googlebot hem ziet. Verifieer je property als je dat nog niet hebt gedaan en loop daarna deze rapporten door:
- Beveiligingsproblemen: geeft de gedetecteerde categorieën weer (gehackt via invoeging van content, URL's of code, malware, misleidende pagina's...) met voorbeeld-URL's.
- Handmatige acties: een sanctie door een mens verschijnt hier, met een eigen beoordelingsprocedure.
- Gebruikers en rechten: volgens de handleiding van Google over de Japanse hack is een geverifieerde eigenaar die je niet kent een sterke aanwijzing voor een hack. De hacker voegt zichzelf toe om sitemaps of geografische targeting aan te passen.
- Sitemaps: een sitemap die je niet zelf hebt ingediend en die vol spam-URL's staat, moet je verwijderen.
- URL-inspectie: test een verdachte URL live. Je ziet wat Googlebot ontvangt, inclusief de content die door cloaking wordt verborgen.
- Prestaties: zoekopdrachten in een taal of over onderwerpen die niets met je activiteit te maken hebben, verraden vaak parasitaire pagina's.
Vul dat aan met een zoekopdracht site:jouwdomein.nl in Google, en in een andere zoekmachine: blader door een paar pagina's met resultaten op zoek naar ongebruikelijke URL's of titels. Voor de andere symptomen van een compromittering (onbekende accounts, gewijzigde bestanden) kun je terecht bij onze lijst met tekenen van een gehackte WordPress-site.
Opschonen met je rankings in het achterhoofd
Het technische opschonen (back-up van de besmette site, herinstallatie van core, plugins en thema's, controle van de database, nieuwe wachtwoorden) staat uitgebreid beschreven in onze opschoonprocedure stap voor stap. De handleidingen van Google leggen de nadruk op .htaccess-bestanden, die vaak worden gebruikt om door te sturen of spampagina's te genereren, en op recente, grote of versluierde PHP-bestanden (base64_decode, eval). Voor je rankings tellen vier beslissingen:
- Laat spam-URL's een 404 of 410 teruggeven. Google haalt al geïndexeerde URL's die een 4xx-code teruggeven uit de index. Stuur ze niet door naar de homepage: dan houd je zonder reden duizenden adressen in leven.
- Blokkeer ze niet in robots.txt. Google zou ze dan niet meer kunnen crawlen en dus niet zien dat ze verdwenen zijn. De documentatie over verwijderingen raadt robots.txt uitdrukkelijk af als manier om te blokkeren.
- Gebruik de Verwijderingstool voorzichtig. Die verbergt een URL ongeveer zes maanden, zonder hem definitief uit de index te halen: een pleister voor de meest zichtbare resultaten, geen oplossing.
- Verwijder onbekende sitemaps en eigenaren, en ook hun verificatietoken (HTML-bestand of rewriteregel die het genereert).
Google om een nieuwe beoordeling vragen
Zodra de site schoon is en het lek gedicht, dien je het verzoek in vanuit het rapport Beveiligingsproblemen, met de knop "Beoordeling aanvragen". Google vraagt om het probleem op alle betrokken pagina's op te lossen, niet alleen op de voorbeelden, en om precies te beschrijven wat het probleem was, welke acties je hebt ondernomen en wat het resultaat is. Controleer voor het versturen met URL-inspectie dat Googlebot de homepage en een paar oude spam-URL's kan crawlen, zonder onbedoelde blokkade of noindex.
| Stap | Termijn volgens Google | Bron |
|---|---|---|
| Beoordeling van een beveiligingsprobleem | Een paar dagen tot een paar weken | Search Console Help, rapport Beveiligingsproblemen |
| Beoordeling van een gehackte site met spam | Tot enkele weken | web.dev, "Request a review" |
| Verwijdering van de waarschuwingen zodra de site schoon is bevonden | Binnen 72 uur | web.dev, "Request a review" |
| Nieuwe beoordeling van een handmatige actie | Enkele dagen of weken | Search Console Help, rapport Handmatige acties |
Stuur geen nieuw verzoek zolang het vorige nog geen beslissing heeft gekregen. Wordt het afgewezen, dan is er nog spam over, een bestand dat hem opnieuw aanmaakt of een open toegangspoort: begin opnieuw aan de analyse in plaats van het verzoek anders te formuleren. Houd tot slot realistische verwachtingen: het opheffen van de melding geeft je verloren posities niet meteen terug. De legitieme pagina's moeten opnieuw worden gecrawld, en de terugkeer van het verkeer hangt af van Google, niet van een contractuele termijn.
Een nieuwe besmetting voorkomen
De handleiding van Google over de Japanse hack wijst erop dat 20% van de gehackte sites binnen een dag opnieuw wordt gehackt. De oorzaak is bijna altijd dezelfde: de toegangspoort is niet gesloten, of een vergeten bestand maakt de spampagina's bij elk bezoek opnieuw aan. Concreet:
- Spoor het lek op (kwetsbare plugin, hergebruikt wachtwoord, gecompromitteerde FTP-toegang) voordat je de site weer online zet.
- Werk core, thema's en plugins bij, en verwijder de plugins die niet meer worden onderhouden.
- Schakel tweestapsverificatie in op de beheerdersaccounts.
- Vergelijk de corebestanden regelmatig met de originelen van WordPress.org en houd nieuwe accounts en plugins in de gaten.
- Doe eens per maand een
site:-zoekopdracht en open het rapport Beveiligingsproblemen.
Het getuigenis hieronder, in het Frans, laat zien hoe zo'n aanval eruitziet vanuit het oogpunt van een site-eigenaar.
Wat WP Masquerade kan bijdragen
WP Masquerade is geen antivirus en geen opschoontool: het verwijdert geen spam die al is geïnjecteerd. Het werkt voor en na het incident. Ervoor, door de aanwijzingen te verminderen die op WordPress wijzen en veelgebruikte toegangspoorten te sluiten (aangepast inlogadres, geblokkeerde XML-RPC). Erna helpt de Pro-versie om een compromittering eerder op te merken: integriteitscontrole van de corebestanden, een activiteitenlog van beheerders om een toegevoegd account of een toegevoegde plugin te zien, meldingen over kwetsbare plugins en e-mailmeldingen. Geen van deze functies garandeert dat je niet wordt gehackt, maar elk ervan verkort de tijd waarin spam ongemerkt kan woekeren. Deze SEO-spam staat los van reactiespam, waarvoor je een anti-spamplugin nodig hebt: zie onze pagina over WordPress anti-spam.
Is de site weer schoon, dan helpt onze gids om de SEO van WordPress te optimaliseren je zichtbaarheid opnieuw op te bouwen.
Om te onthouden
- SEO-spam misbruikt het vertrouwen in je domein en verbergt zich vaak met cloaking.
- Controleer met URL-inspectie en een
site:-zoekopdracht, niet alleen in je eigen browser. - Laat spam-URL's een 404 of 410 teruggeven, zonder omleiding of blokkade in robots.txt.
- Vraag maar één keer een beoordeling aan, nadat het lek gedicht is: van een paar dagen tot enkele weken.
- De terugkeer van het verkeer is niet gegarandeerd en niet onmiddellijk: de prioriteit is niet opnieuw besmet te raken.
Bronnen
- Google Search Central, spambeleid (bijgewerkt op 28 augustus 2026) (opent in een nieuw tabblad)
- Search Console Help, rapport Beveiligingsproblemen (opent in een nieuw tabblad)
- Search Console Help, rapport Handmatige acties (opent in een nieuw tabblad)
- web.dev, Fix the Japanese keyword hack (opent in een nieuw tabblad)
Andere geraadpleegde bronnen: officiële documentatie en publicaties van beveiligingsonderzoekers.
