Сайт компании выглядит нормально: услуги на месте, формы работают, новости публикуются только сотрудниками. А в поиске внезапно появляются страницы про казино, фарму или сомнительные сервисы на вашем домене. Иногда это взлом. Но есть и другой сценарий: сайт сам позволяет посетителю создать контент или URL, который становится публичным и попадает в индекс.
26 октября 2026 года Google обновил рекомендации по защите от user-generated spam. Отдельный акцент появился на страницах, которые создаются ради прямого обмена, совместной работы или какой-то функции, но не предназначены для поиска. Для таких URL Google рекомендует по умолчанию ограничивать индексацию и параллельно следить за аномалиями в Search Console.
Для бизнеса это повод проверить не только защиту формы от ботов. Вопрос шире: какие страницы ваш сайт способен создавать без участия редактора и кто контролирует, что потом видит поисковик.
Где на обычном корпоративном сайте берутся чужие страницы
Пользовательский контент — это не только форум. Источником могут стать отзывы, комментарии, профили, карточки, формы добавления объявлений, публичные страницы документов, результаты внутреннего поиска или сервис, который генерирует отдельную ссылку для отправки другому человеку.
Сам по себе такой функционал нормален. Риск возникает, когда пользователь может массово создавать доступные извне URL, а сайт автоматически разрешает их индексацию. Спамеру уже не нужно получать доступ к админке: достаточно найти разрешённый сценарий и автоматизировать его.
Особенно внимательно стоит смотреть на старые функции. Например, раздел отзывов давно скрыли из меню, но форма всё ещё доступна по прямой ссылке. Или внутренний поиск формирует отдельный URL под каждый запрос. Для посетителя эти места почти невидимы, для автоматического скрипта они могут стать фабрикой страниц.
Почему это проблема, даже если спам никто не читает
Первый риск — поисковая видимость. Google прямо указывает, что сайты, нарушающие спам-политики, могут ранжироваться ниже или исчезать из результатов. При этом мусорные страницы способны существовать отдельно от основных разделов, поэтому команда замечает проблему уже после появления странных запросов и URL в поиске.
Второй риск — репутационный. Пользователь видит домен компании в адресной строке и логично воспринимает страницу как часть вашего ресурса. Чужая реклама, фишинговая ссылка или сомнительный текст на корпоративном домене выглядят как проблема самой компании, даже если контент создал бот.
Третий риск — операционный. Массовое создание URL увеличивает объём мусора, который приходится обнаруживать, удалять и исключать из индекса. Если злоупотребление сочетается с уязвимостью CMS или плагина, ситуация уже пересекается с полноценным инцидентом безопасности.
Какие страницы не обязаны попадать в Google
Полезная развилка проста: страница создана для того, чтобы её находили через поиск, или для конкретного пользователя и сценария?
Если человек формирует расчёт, временную подборку, документ, черновик, приглашение или страницу для обмена по прямой ссылке, поисковая индексация обычно не добавляет бизнес-ценности. В обновлённой рекомендации Google для таких страниц предлагается использовать noindex через robots meta или X-Robots-Tag либо ограничивать обход в robots.txt по умолчанию.
Это не означает, что нужно закрыть весь пользовательский контент. Публичные отзывы, обсуждения или карточки могут быть полезны в поиске, если компания сознательно их публикует и модерирует. Но принцип «создался URL — значит пусть индексируется» стоит пересмотреть.
Для ссылок внутри недоверенного пользовательского контента Google отдельно рекомендует атрибут rel=»ugc» или rel=»nofollow». Это ещё один уровень контроля, но он не заменяет решение о том, должна ли сама страница присутствовать в поиске.
Как понять, что сайт уже используют не по назначению
Начните не с установки очередного плагина, а с проверки следов. Google рекомендует следить в Search Console за неожиданными скачками количества проиндексированных страниц, показов и запросов, которые не соответствуют назначению сайта. Полезно сопоставить это с логами сервера и динамикой создания новых публичных URL.
Быстрый управленческий чек-лист:
- появились ли в Search Console запросы, не связанные с бизнесом;
- растёт ли число индексируемых страниц без понятной причины;
- существуют ли публичные URL, которые может создать любой посетитель;
- можно ли массово отправлять формы или регистрировать аккаунты;
- проходят ли новые пользовательские страницы модерацию;
- есть ли уведомления об аномальном количестве публикаций или регистраций.
Отдельно проверьте поиск по оператору site: для своего домена с несколькими явно посторонними словами. Это не заменяет Search Console и технический аудит, но иногда быстро показывает то, чего нет в навигации сайта.
Что закрывать технически, а что решать процессом
Одна CAPTCHA проблему не закрывает. Google рекомендует сочетать несколько уровней: ограничивать автоматическое создание аккаунтов, отслеживать повторяющиеся паттерны, модерировать подозрительные действия, блокировать злоупотребляющие источники и не давать новым или недоверенным страницам автоматически попадать в индекс.
Для руководителя здесь важна зона ответственности. Разработчик отвечает за ограничения и техническую логику. Маркетинг или SEO контролирует индекс и поисковые аномалии. Сотрудник, отвечающий за контент, понимает, какие пользовательские материалы должны становиться публичными. Если все три зоны существуют отдельно, спам легко оказывается «ничьей» проблемой.
После изменений нужно проверить, что ограничения не закрыли полезные страницы. Слишком грубое правило в robots.txt или массовый noindex способен убрать из поиска нормальный каталог, отзывы или другой ценный раздел. Поэтому сначала составляют карту типов URL, затем для каждого типа определяют режим публикации и индексации.
Что попросить проверить у подрядчика за один проход
Если сайт давно развивался, менял CMS, плагины и подрядчиков, полезнее провести инвентаризацию, чем искать одну «антиспам-кнопку». Попросите показать список типов страниц, которые могут создаваться автоматически или пользователями, и ответить по каждому: кто может создать URL, становится ли он публичным сразу, индексируется ли он, есть ли модерация и как обнаруживается массовое создание.
Параллельно стоит проверить обновления CMS и компонентов. Google отдельно напоминает, что устаревшее программное обеспечение может облегчать злоупотребления. Это особенно актуально для сайтов, где пользовательский спам трудно отличить от внедрённых после взлома страниц.
В IT-Wizards аудит сайта включает проверку страниц и URL, технических настроек и базовых параметров индексации. Если на ресурсе накопились старые формы, личные кабинеты, каталоги или автоматически создаваемые страницы, аудит помогает сначала составить карту рисков и приоритетов, а затем передать конкретные доработки разработчику или команде сопровождения.
Вывод: контролировать нужно не только контент, но и право сайта создавать страницы
Свежая рекомендация Google полезна не потому, что появился новый SEO-тег. Она напоминает о более фундаментальной вещи: любой механизм, который создаёт публичный URL, фактически становится маленькой издательской системой внутри вашего сайта.
Проверьте, какие такие механизмы есть у вас, зачем их страницы должны индексироваться и кто заметит резкий рост мусорных URL. Если на эти три вопроса нет быстрых ответов, начинать стоит с инвентаризации страниц и Search Console, а уже потом выбирать технические ограничения.
