Spam SEO w WordPress — jak usunąć spamowe podstrony z Google [2026]

Podstrony o kasynach, farmaceutykach albo w języku, którego nikt u Ciebie nie używa, widoczne w Google pod Twoją domeną, to spam SEO — najczęstszy skutek infekcji WordPressa. Haker nie „psuje" strony: wykorzystuje jej autorytet, żeby wypozycjonować obce treści, a koszt ponosisz Ty — spadkiem pozycji, ostrzeżeniami Google i utratą zaufania klientów. Ten poradnik pokazuje, skąd bierze się spam SEO w WordPressie, jak znaleźć spamowe podstrony w indeksie i bazie oraz jak je usunąć — razem z Google Search Console.

Najważniejsze: Spam SEO to backdoor generujący treści, których nie tworzyłeś. Diagnoza: Google Search Console (raport wydajności, site:domena.pl, sitemapa), ręczny przegląd wp_posts, wp_options i plików PHP. Usuwanie: czyszczenie bazy i plików, usunięcie backdoora, Removals w GSC dla zainfekowanych URL-i, ponowne wysłanie sitemapy, prośba o ponowne rozpatrzenie. Prewencja: aktualizacje, 2FA, minimum wtyczek, monitoring i opieka.

Czym jest spam SEO na stronie WordPress?

Spam SEO (nazywany też spamem indeksu albo „pharma hack") to złośliwe treści publikowane w Twojej domenie bez Twojej wiedzy. Najczęstsze warianty:

• Farmaceutyki i suplementy — tysiące podstron z nazwami leków i linkami do sklepów,
• Kasyna i zakłady — strony „promocyjne" w języku polskim lub angielskim,
• Teksty w obcych językach — japoński, perski, rosyjski; klasyczny ślad zautomatyzowanego spamu,
• Doorway pages — puste strony z linkami przekierowującymi autorytet domeny,
• Ukryte linki w treści — wstrzyknięte do istniejących wpisów i szablonów (niewidoczne dla użytkownika, widoczne dla botów),
• Spam w sitemapie i RSS — backdoor dodaje własne adresy do plików indeksowanych przez Google.

Mechanizm jest zawsze podobny: backdoor (ukryty plik PHP lub kod w bazie) generuje podstrony „w locie" albo zapisuje je w wp_posts. Google indeksuje je jako część Twojej domeny — bo ufa Twojemu adresowi.

Po czym poznać spam SEO

• Google Search Console — w raporcie wydajności pojawiają się zapytania, których nie targetujesz (leki, kasyna, obcy język); w Indeksowaniu — podstrony, których nie tworzyłeś.
• Wyszukiwarka — wpisz site:twojadomena.pl i przejrzyj wyniki; spamowe adresy często mają dziwne slugi (ciągi znaków, losowe numery).
• Sitemapa — otwórz twojadomena.pl/sitemap.xml (i sitemapy podrzędne) i sprawdź, czy nie ma w niej adresów, których nie znasz.
• Baza danych — wp_posts zawiera wpisy i strony, których nie dodawałeś (często z autorem admin lub pustym).
• Ruch — nagłe skoki wyświetleń na dziwnych frazach albo odwrotnie: spadek widoczności, bo Google „nie ufa" już domenie.

Uwaga: Nie usuwaj spamowych wpisów „na czuja" z panelu WordPressa. Backdoor potrafi je odtworzyć w kilka godzin — najpierw znajdź i usuń mechanizm generujący spam, potem treści.

Skąd bierze się spam SEO?

• Zainfekowane wtyczki i motywy — złośliwy kod dopisany do legalnej wtyczki albo cała wtyczka z pirackiego źródła (nulled).
• Backdoory PHP — pliki ukryte w uploads/ (często udające obrazy), które generują treści i utrzymują dostęp hakerowi.
• Wstrzyknięcia do bazy — kod w wp_options (autoload) lub wp_posts tworzący podstrony przy każdym żądaniu.
• Słabe hasła i brak 2FA — najprostsza droga do konta administratora, a stamtąd do publikowania treści.
• Znane podatności — nieaktualizowany WordPress, wtyczki i motyw to otwarte drzwi (aktualizacja WordPress).

Jak usunąć spamowe podstrony i treści

1. Backup — kopia dowodowa (do analizy) i robocza; bez tego nie ma bezpiecznego powrotu.
2. Zmiana haseł — hosting, WordPress (wszystkie konta), baza, FTP/SFTP, klucze API.
3. Czyszczenie bazy — usuń spamowe wpisy i strony z wp_posts, wstrzyknięty kod z wp_options, nieznane konta z wp_users i wp_usermeta.
4. Czyszczenie plików — usuń obce pliki PHP z uploads/, dopisany kod z motywu i wtyczek (albo przeinstaluj je z oryginalnych źródeł), sprawdź .htaccess.
5. Usunięcie backdoora — bez tego spam wróci; szukaj plików z ostatnio zmienionymi datami i kodu z eval(, base64_decode, gzinflate.
6. Sitemapa i robots.txt — usuń spamowe adresy; jeśli spam dodał własne wpisy do sitemapy, wygeneruj ją od nowa.
7. Utwardzenie — aktualizacje, 2FA, WAF, ograniczenie logowania (bezpieczeństwo WordPress).

Pełną procedurę czyszczenia plików i bazy opisuje usuwanie wirusów WordPress; szukanie źródeł przekierowań — WordPress przekierowuje na obce strony.

Google Search Console — usuwanie spamu z indeksu

Nawet po wyczyszczeniu serwera spamowe adresy mogą zostać w indeksie Google przez tygodnie. Kolejność działań

1. Problemy z bezpieczeństwem — sprawdź ostrzeżenia i próbki zainfekowanych URL-i.
2. Removals (Usuwanie) — zgłoś spamowe adresy do usunięcia z wyników (ochrona na 6 miesięcy); równolegle muszą zniknąć z serwera, inaczej wrócą po okresie ochronnym.
3. Prośba o ponowne rozpatrzenie — po pełnym czyszczeniu; przy niepełnej naprawie proces się wydłuża.
4. Sitemapa — wyślij ponownie po wyczyszczeniu; przyspiesza usunięcie spamowych adresów i powrót właściwych.
5. Monitoring — przez kilka tygodni sprawdzaj site:twojadomena.pl i raport wydajności; nowe spamowe adresy oznaczają, że backdoor przetrwał.

Wskazówka: Spamowe podstrony generowane „w locie" mogą nie istnieć w bazie — sprawdź też logi dostępu. Jeśli pod tym samym adresem raz widzisz swoją stronę, a raz spam, to cloaking — kod decyduje po user-agentcie, a nie zapisana treść.

Jak nie dopuścić do powtórki?

• Aktualizuj WordPress, wtyczki i motyw — spam wchodzi najczęściej przez znane podatności.
• 2FA i silne hasła dla wszystkich kont administracyjnych; osobne konta dla wykonawców.
• Minimum wtyczek z legalnych źródeł — zero „nulled".
• Kopie zapasowe z testem odtworzenia (kopie zapasowe WordPress).
• Monitoring integralności plików i skany — spam wykryty w godzinach kosztuje ułamek tego, co spam wykryty po miesiącach (opieka nad stroną WordPress).
• Hosting z detekcją malware i wsparciem w incydentach (hosting WordPress).

Najczęściej zadawane pytania

Czy spam SEO szkodzi pozycjom mojej strony?

Tak — i to podwójnie. Google może obniżyć zaufanie do całej domeny (spamowe podstrony łamią wytyczne jakościowe), a użytkownicy tracą zaufanie, widząc obce treści. Efektem jest spadek widoczności na frazach, na których strona wcześniej się liczyła.

Czy usunięcie spamowych wpisów z panelu wystarczy?

Nie. Backdoor generujący spam potrafi odtworzyć treści w kilka godzin. Najpierw trzeba znaleźć i usunąć mechanizm (backdoor, zainfekowany plik, wstrzyknięcie w bazie), a dopiero potem wyczyścić treści — inaczej problem wraca.

Jak szybko Google usunie spamowe podstrony z indeksu?

Zgłoszone przez Removals adresy znikają zwykle w ciągu kilku dni. Adresy niezgłoszone mogą zostać w indeksie tygodniami — Google usunie je po ponownym indeksowaniu, gdy zobaczy 404 lub czystą treść. Sitemapa i inspekcja URL przyspieszają proces.

Czy spam SEO to zawsze efekt włamania?

Prawie zawsze. Sporadycznie to skutek „pożyczonych" treści z nieznanych źródeł (kopiowanie cudzej treści nie tworzy jednak spamowych podstron w Twoim indeksie). Jeśli w Google widzisz podstrony, których nie tworzyłeś, zakładaj infekcję.

Czy mogę po prostu wyłączyć stronę i poczekać?

Nie — wyłączenie strony nie usuwa infekcji, a po przywróceniu spam wraca. Co więcej, długa przerwa w działaniu pogarsza widoczność i może oznaczać utratę wypracowanych pozycji. Właściwa kolejność to: izolacja → czyszczenie → utwardzenie → powrót do indeksu.

Źródła i narzędzia

• Google Search Console — Problemy z bezpieczeństwem
• Google — usuwanie adresów URL z wyników
• Google — wytyczne jakościowe dla webmasterów
• WordPress News — bezpieczeństwo
• OWASP — Top 10

👉 W Google widzisz podstrony, których nie tworzyłeś? Opisz objawy przez formularz kontaktowy — usunę backdoor, wyczyszczę bazę i indeks oraz zabezpieczę stronę przed powtórką. Zobacz też usługę usuwanie wirusów WordPress.

📖 Zobacz również: Usuwanie wirusów WordPress, WordPress przekierowuje na obce strony, jak sprawdzić czy strona jest zainfekowana oraz naprawa WordPress.