Uw website ziet er precies zo uit als altijd. Toch belt een klant dat hij via Google op uw pagina terechtkwam met een omschrijving over goedkope medicijnen. U kijkt, u ziet niets, en u vraagt zich af of iemand zich vergist. Dat is bijna altijd het moment waarop blijkt dat er verborgen links op de website staan.

Deze vorm van misbruik is stil, kost u langzaam uw posities in Google en wordt zelden binnen een week ontdekt. In dit artikel leest u hoe zulke links worden verstopt, met welke stappen u ze zichtbaar maakt en wat er moet gebeuren voordat u kunt zeggen dat het echt opgelost is.

Waarom iemand dit doet

Achter de meeste van deze aanvallen zit geen persoon die het op u gemunt heeft, maar een netwerk dat links verkoopt. Een link vanaf een echte Nederlandse bedrijfswebsite met een normale geschiedenis is voor zoekmachines geloofwaardiger dan een link vanaf een wegwerpdomein. Uw site wordt dus gebruikt als reclamebord voor gokdiensten, medicijnhandel of nagemaakte merkartikelen.

Omdat het geld oplevert zolang het onopgemerkt blijft, is de code erop gericht om níet op te vallen. De bezoeker ziet niets, de beheerder ziet niets, en alleen de zoekmachine krijgt de volledige pagina te zien. Dat verklaart waarom de eerste melding vaak van een klant of van Search Console komt en niet van uzelf.

Er zijn een paar vaste trucs, en het loont om ze te kennen omdat ze bepalen waar u moet zoeken.

  • Onzichtbaar gemaakt met opmaak. De links staan gewoon in de tekst, maar zijn met opmaakregels buiten beeld geplaatst of op nul pixels gezet. In de broncode zijn ze zichtbaar, in de browser niet.
  • Alleen getoond aan zoekmachines. De code kijkt wie de pagina opvraagt. Bent u een gewone bezoeker, dan krijgt u de normale pagina. Meldt de bezoeker zich als Googlebot, dan komt de spam erbij.
  • In de voettekst van het thema. Een klassieker, vooral bij thema’s uit dubieuze bron. Vaak staat de code versleuteld in een themabestand.
  • Als losse pagina’s. Er worden honderden nieuwe pagina’s aangemaakt die nergens in uw menu staan, maar wel in de sitemap terechtkomen.
  • In de database, verwerkt in oude berichten of in de instellingen van een plugin.

Werk deze stappen in volgorde af. De eerste twee kosten vijf minuten en geven meestal al uitsluitsel.

  1. Zoek in Google naar site:uwdomein.nl en blader door de resultaten. Ziet u pagina’s die u niet kent, of omschrijvingen in een andere taal, dan heeft u uw antwoord. Voeg er eventueel een woord aan toe, bijvoorbeeld site:uwdomein.nl casino.
  2. Kijk in Google Search Console bij de dekkingsrapporten. Een sprong van veertig naar zeshonderd geïndexeerde pagina’s is nooit toeval.
  3. Bekijk de broncode van uw eigen pagina’s. Klik met rechts en kies paginabron weergeven, zoek dan met de zoekfunctie op woorden als casino, viagra of replica. Ook zoeken op display:none levert vaak resultaat op.
  4. Haal de pagina op als zoekmachine. Gebruik de functie voor live-inspectie in Search Console. Daar ziet u wat Google werkelijk krijgt, en dat is precies het verschil dat u zoekt.
  5. Draai een malwarescan die zowel bestanden als database bekijkt. Hoe zo’n scan te werk gaat staat in de uitleg over wat een malwarescan wel en niet ziet.
  6. Vergelijk uw themabestanden met een schone kopie van hetzelfde thema. Verschillen in header, footer en functies springen er dan uit.
  7. Controleer uw sitemap. Open het sitemapbestand en scroll erdoorheen. Vreemde adressen vallen daar direct op.

Opruimen zonder dat het terugkomt

Het verleidelijke is om de gevonden regel weg te halen en verder te gaan. Negen van de tien keer staat hij een week later terug, want het probleem is niet de link maar de toegang waarmee die link is geplaatst.

Doe daarom het volgende. Verwijder eerst de spam zelf: de bestanden, de pagina’s en de databaseregels. Zoek daarna naar wat de code opnieuw kan plaatsen, meestal een achterdeur in de uploadmap of in een plugin die u niet herkent. Vervang vervolgens de WordPress-kern, alle plugins en het thema door schone downloads in plaats van ze te repareren. Wijzig ten slotte alle wachtwoorden, inclusief die van de database, FTP en het hostingpaneel, en verbreek lopende sessies.

De volledige route staat uitgewerkt bij het stappenplan voor het opschonen van een besmette installatie. Twijfelt u ergens, dan is een schone herinstallatie op basis van uw eigen inhoud sneller dan drie weken achter symptomen aanlopen.

Daarna: uw plek in Google terugverdienen

Het opruimen is de helft van het werk. Zolang Google honderden spampagina’s kent, blijft u last houden. Werk deze punten af.

  • Geef de verwijderde pagina’s een duidelijke foutmelding terug, dus code 404 of 410, in plaats van een omleiding naar de homepage.
  • Dien een nieuwe sitemap in met alleen uw eigen pagina’s.
  • Gebruik de tool voor tijdelijke verwijdering in Search Console voor de ergste adressen.
  • Staat er een handmatige maatregel in Search Console, dien dan pas een verzoek tot herbeoordeling in als u zeker weet dat alles weg is. Een afgewezen verzoek kost extra weken.
  • Houd twee maanden lang wekelijks het aantal geïndexeerde pagina’s in de gaten.

Reken erop dat het herstel van uw posities enkele weken tot een paar maanden duurt. Dat is vervelend, maar het gaat vanzelf goed zodra de site schoon is en blijft.

Voorkomen kost minder tijd dan opruimen

Vrijwel alle gevallen die wij zien, beginnen op één van drie plekken: een verouderde plugin, een thema uit een gratis downloadsite, of een beheerdersaccount met een zwak wachtwoord. Houd die drie op orde en u loopt dit risico nauwelijks.

Verder helpt het enorm om te wéten wat er verandert. Een wekelijkse controle van het aantal geïndexeerde pagina’s en een melding bij gewijzigde kernbestanden zijn onderdeel van vrijwel elke vorm van doorlopende bewaking van uw site tegen misbruik. Bij WebMaintor is dat de reden dat dit soort besmettingen meestal binnen dagen wordt gezien in plaats van na een telefoontje van een klant.

Concrete volgende stap: typ nu site: gevolgd door uw domeinnaam in Google en kijk of het aantal resultaten ongeveer klopt met het aantal pagina’s dat u heeft. Wijkt dat sterk af, dan weet u waar uw avond heen gaat.