Signal to BuildSIGNAL TO BUILD中文Owner sign in ↗
← Knowledge Notes
Global Growth ／ Knowledge note · Chinese

安全 / Spam / Removal / 搜索运算符 完全指南 (malware + phishing + UGC + redacted + site:)

Safe Browsing + Security Issues report 全景。Malware vs Unwanted Software 严格定义 + 5 大行为禁忌。Social Engineering(phishing/deceptive ad/第三方未清晰标识)4 步修复 + 3 类典型违规截图。Prevent malware 全角色 checklist。Repeat Offender 30 天禁申诉 policy。Prevent UGC spam 7 大手段(reputation / noindex 新用户 / nofollow+ugc / 人工审核 / blocklist / reCAPTCHA / 监控)。4 大 search operator(site/filetype/imagesize/src)用法 + 限制(不准确,debug 优先 URL Inspection)。Removals tool 6 月临时 vs 删页/密码/noindex 永久。Keep redacted out 4 大泄露源(裁剪假象/OCR/document 历史/metadata/URL 文件名)+ 不当 redact 后 5 步补救。

Source collection：Google 搜索与 SEO · Published here：2026-09-26

SEO搜索引擎自然增长

一句话: 站点安全(malware/phishing/被黑)/ UGC spam 防范 / 内容移除 / Google 搜索运算符调试 — 这 4 件事都是 SEO 从业者的"防御 + 工具" 知识,放一起方便互引。

TL;DR — 何时打开本 wiki

你遇到 打开 Part
Chrome 提示 "Deceptive site ahead" / Safe Browsing 警告 Part 3 (Social Engineering)
Search Console 报有 malware Part 2
想防被黑 / 加固站点 Part 4
站被反复警告 + 30 天禁申诉 Part 5 (Repeat Offender)
评论 / 论坛 / 论文站被刷 spam Part 6 (UGC spam)
想知道某 URL 是否被索引 / debug Part 7 (site: / 4 大 operator)
想紧急从 Google 撤下一个页 Part 8 (Removals tool)
上传 PDF / 图被人挖出 redacted 信息 Part 9 (Keep redacted out)

Part 1 — Security 全景: Safe Browsing + Security Issues Report

1.1 Safe Browsing 是啥

Google 跨产品的安全服务:Chrome / Search 用同一份 "危险站点" 名单。命中后:

  • Chrome 显示拦截页(红框 "Deceptive site ahead" / "Site ahead contains malware")
  • Search 结果对该站加 warning
  • 直接 download 会被拦

1.2 Search Console Security Issues report

入口:search.google.com/search-console/security-issues

显示当前站点的 4 类 issue:

类别 含义 见
Malware 网页式恶意软件(用户不交互就执行) Part 2
Harmful downloads 用户主动下载的恶意 / unwanted software Part 2
Social engineering phishing / 欺骗性广告 / 第三方未清晰标识 Part 3
Hacked(派生) 你站被黑了挂了恶意 / spam 页 Part 4 + hacked recovery

修完后报告里 Request a review — review 一般几天。

Part 2 — Malware vs Unwanted Software

2.1 区分

定义
Malware 故意伤害设备 / 软件 / 用户的程序。会无用户同意安装东西、装病毒等
Unwanted Software 行为欺骗 / 意外 / 破坏体验的程序。例:换主页、泄露隐私

很多 site owner 没意识自己托管的下载件已被分类为 malware/unwanted。

2.2 5 大行为禁忌(违反任一会触发 warning)

① 不要 misrepresent 自己

  • 广告必须准确告知用户将下载什么(不能只说 "Download")
  • 不能用 "Play" 按钮触发下载
  • 广告不能伪装成发行商内容("点这里看电影",其实是软件)
  • behave as advertised(说收数据就在 UI 明示,别藏)

② 不要 scare 用户

  • 不能假装系统被感染 / 安全危急
  • 不能假装提供它做不到的服务("加速 PC")
  • "免费" 清理 / 优化器不能宣传成"免费"如果实际要付费

③ 软件准则(Chrome / 浏览器层)

  • 改 Chrome 设置必须用 Chrome Settings Override API(不能绕)
  • 不能压制浏览器 / OS 的设置变更提醒
  • 强烈推荐 code sign 你的二进制(没签虽不会被直接标 unwanted,但更可信)
  • 不能降低 TLS/SSL 安全(不能装 root CA,不能拦截 SSL 除非调试软件)
  • 用户数据只能传送与功能相关的 + 必须告知 + 必须加密
  • 不能破坏 browser reset 功能
  • 必须可一键卸载 + 卸载干净所有组件

④ Chrome extension 准则

  • 必须托管在 Chrome Web Store
  • 安装时必须走官方 enable 流程(不能默装)
  • 必须遵守 single-purpose policy
  • 不能 silent install — 必须 Chrome 弹窗确认

⑤ 移动 App 准则

  • 收数据前必须 informed consent
  • 不能impersonate 别的品牌 / app
  • 不能在 app context 外显广告 / 内容
  • 不能未经同意装其他 app(更新 ≠ 装新)
  • 不能模仿 OS 弹窗
  • 干净卸载 — 不能装隐藏组件

2.3 修复路径

  1. 自查照 5 大准则
  2. Search Console → Security Issues report → Request a review
  3. 移动 app 警告可走 Play Store 申诉
  4. 反复修不掉 → Report a security issue 给 Google 人工

Part 3 — Social Engineering(Phishing & 欺骗站)

3.1 3 大类型

类型 例子
Phishing 假装信任实体(浏览器/银行/政府)骗用户给密码/电话/SSN
Deceptive content 假按钮 / 假"软件过期" / 假优惠诱导下载
第三方服务未清晰标识 你给慈善网站托管捐款表,但表上没说 "本表由 ExampleHosting 代为 ExampleCharity 处理"

3.2 ⚠️ 即便不是你做的, 也可能背锅

  • 嵌入式社工内容(广告里有 deceptive 内容)— host 页违反 policy(因为你嵌的)
  • 被黑客注入 — 站被黑后,黑客往里塞 deceptive 页 / 弹窗 → Security Issues 报告会显示

3.3 4 类典型违规

(图略,见原文档)

  1. 假软件更新弹窗让用户装恶意应用
  2. 假浏览器更新提示(原文档示例)
  3. 假 Google 登录页(钓鱼,URL 一般不对)
  4. 广告假装成页面 UI 元素(假播放器更新 / 假必装组件 / 假播放按钮)

3.4 修复 4 步

Step 1: Search Console 自查
  - 验证 ownership 没被新增可疑 owner
  - Security Issues report 看是否报 deceptive
  - 看 sample URLs(用站外电脑访问,因为聪明的黑客检测到 site owner 会停止攻击)
  - 没 sample URLs 但你确信清白 → 直接 request review

Step 2: 移除 deceptive 内容
  - 整页扫一遍照 examples 对照
  - 觉得 Safe Browsing 误判 → report 给 Google

Step 3: 检查第三方资源
  - 广告网络会轮播 — 多刷新页面看是否出现 deceptive ad
  - 桌面 / 移动看可能不同 — URL Inspection tool 都看
  - 第三方服务遵守 third-party guidelines(见 3.5)

Step 4: Request review(几天)

3.5 第三方服务接入清白准则

如果你站嵌了第三方(支付 / 捐款 / 表单 / 客服),避免被标 social engineering 的条件:

  • 每个页面第三方品牌清晰展示(用户知道是谁在运营)
  • 每个页面如果有 first-party branding,明示双方关系 + 链 "更多信息":

    This service is hosted by Example.com on behalf of Example.charities.com. More information.

  • best practice: 用行业标准服务 — 比如 auth 用 OAuth,不要自己撸

Part 4 — Prevent Malware Infection

4.1 通用 checklist (所有站长)

  • 强密码 — 走 Google account guidelines
  • 谨慎选第三方内容供应商 — 第三方 app / 广告必须有 support + contact info
  • 联系 hosting 商 — 多数有 security 页 / RSS feed,订阅
  • 本地电脑也要安全 — 改站的电脑装最新软件 / 防毒

4.2 高级 checklist (有服务器权限)

  • 检查 server config
  • 备份 .htaccess(改前必备,改完删备份)
  • 保持软件 + 补丁最新 — 装了 forum/blog 就忘是常见坑;每个插件版本都记录;hosting 商的 OS 补丁也要催更
  • 看 log files
    • 异常 URL 参数(=http:、=//)→ 可能被 open redirects 利用
    • 黑客常改 log → 把 log 文件从默认位置移走让黑客难找
  • 常见漏洞自查:
  • 协议: 用 SSH / SFTP 替代 telnet / FTP
  • 追新:

4.3 用 site: operator 自检

site:example.com

看 Google 收了你站哪些页 — 发现意外页 = 可能被黑(常见黑链 / 黑文 / 子目录被注入)。

Part 5 — Safe Browsing Repeat Offenders Policy

5.1 触发条件

短时间内反复在"合规 / 违规"之间切换 → 被归为 Repeat Offender。

5.2 处罚

  • Search Console 邮箱收到通知
  • 30 天内禁止 request additional review
  • 30 天后才能再申诉

→ 修要修彻底,别打补丁打草惊蛇。

Part 6 — Prevent User-Generated Spam(UGC)

spammer 喜欢开放评论 / 表单的站,留 spam 链接 + 垃圾内容。简单 deterrent 也能赶走大部分。

6.1 7 大手段

A. 告诉用户你不允许 spam

  • 注册流程明示 abuse policy
  • 让 trusted user 能 report spam

B. 建用户 reputation system

追这些 signal 来识别 spammy 账号:

  • Form completion time(机器人秒填)
  • 同 IP 段大量请求
  • User agent
  • User name / 表单值

C. 新用户的内容加 noindex ⭐

spammer 想要的就是 Google 索引他们的链接。新用户 → noindex → spammer 无利可图;过段时间用户建立 reputation 后再让其内容被索引。

D. 不信任内容的链接全加 nofollow 或 ugc

spammer 想留 link → 加 rel="nofollow" 或 rel="ugc" 让他们留也白留。

E. 人工审核高风险交互

评论 / 注册 / 大表单变更 → 人工 approve 才发布。CMS 内置 moderation 是有原因的。

F. blocklist

发现 spammy IP / 账号 → 加防火墙 deny list。CMS 用 Akismet 等插件。

G. 防自动账号注册

reCAPTCHA 或类似 verification tool。

6.2 monitoring spam signals

Part 7 — 4 大 Search Operator(给 SEO debug 用)

⚠️ 核心: search operator 受 indexing + retrieval limit 限制,结果不准确。Debug 优先用 URL Inspection tool(Search Console),operator 只作粗查辅助。

7.1 完整表

Operator 用途 限制
site: 限定某域 / URL / prefix 的结果 不返回所有索引 URL;无 query 时结果不排序
filetype: 限定文件类型(按 content-type 或扩展名) 例: filetype:rtf galway
imagesize:(仅 Google Images) 限定图片尺寸(width x height) 例: imagesize:1500x1000
src:(仅 Google Images) 找引用了某 image URL 的页 跨域(可看谁 hotlink 了你的图)

7.2 site: 实用 patterns

查询 用途
site:example.com 看 Google 收了你哪些页(可能不全)
site:https://example.com/recipes/tsukemen.html 看具体 URL 是否被索引
site:example.com viagra casino 监控 spam 是否注入你站
site:https://example.com/ lemon 看你站哪些 URL 能为 "lemon" 排到
site:https://example.com/page.html lemon 看特定 URL 是否能为 "lemon" 排到

⚠️ site:https://www.example.com ≠ site:https://example.com/ — www 子域和裸域不一样,注意输入精确。

7.3 src: + imagesize: 组合

src:https://example.com/media/carrot.jpg imagesize:500x1200

→ 找特定 URL 的特定尺寸版

site:https://example.com/ imagesize:500x1200

→ 找你站上某尺寸的所有图

src:https://yoursite.com/your-image.jpg → 返回所有用了你这张图 src 的页(跨域)。hotlink 监控神器。

Part 8 — Remove a Page from Google

⚠️ 不是你的页? → Remove personal info from Google 走另一条路。

8.1 临时(1 天内见效, ~6 月有效)

Search Console → Removals tool → 提 URL prefix 或单 URL。

Why 临时:给你时间永久处理。到期后还会回来。

8.2 永久 3 大手段

手段 优缺
删 / 改内容 最彻底 — 其他搜索引擎也搜不到
密码保护 真访问控制,Googlebot 也进不去
noindex 标签 仅屏蔽 Google;其他不支持 noindex 的引擎仍能找到

⚠️ 不要用 robots.txt 当 removal 工具 — 见 抓取与索引控制完全指南 (robots.txt / noindex / X-Robots-Tag / data-nosnippet / rel): disallow 的 URL 仍可能被索引(无内容)。

8.3 URL 变体陷阱

example.com/puppies / example.com/PUPPIES / example.com/petchooser?pet=puppies 可能指同内容。全部 URL 都得处理,见 find the right URL to block。

8.4 其他 Google property 怎么撤

Part 9 — Keep Redacted Information Out ⭐⭐⭐

你上传 "看似 redact 干净" 的 PDF / 图,可能被搜索引擎挖出隐藏信息。OCR / 文档历史 / metadata 都是泄露源。

9.1 4 大泄露源

源 怎么泄
图像中的"redact" 黑长方形盖文字 / 小字号 / 同色背景文字 — OCR 都能读
文档历史 Word/PDF 可能保留 change history,redact 前内容可恢复
图片裁剪假象 Word/PPT 里"裁剪"图,公开版仍包含未裁剪的全图
Metadata 编辑者名 / 访问记录 / 文档 ID
URL / 文件名 即便 robots.txt block,URL 本身可能被索引(无内容);URL 里有 email/姓名就泄露

9.2 redact 前必做

A. 编辑图,再嵌入

  • 先 crop / 涂掉敏感处再放进 document
  • 完全移除 / 模糊(OCR 读得到任何文字 → 别用马赛克)
  • 移除 metadata
  • 导出为非矢量 / flattened 格式(PNG / WEBP)— 防止 vector 包含隐藏图层

B. 编辑文本,再公开

  • 用专业 redaction tool,不要用黑长方形盖
  • 双查公开文档的 metadata
  • 用 document redaction best practices (按格式查)
  • URL / 文件名避免 email / 姓名,用 hash
  • 用 认证 + login 页 noindex 限制访问

9.3 不当 redact 已被索引怎么办 — 5 步补救

1. 把活的 document 从站上撤掉
2. 用 Removals tool(verified site)— 几小时内移
   - 多文件可用 URL prefix
3. 把 redact 干净的版**新 URL 重发** — 防止旧版残留在 Google 缓存
   - 更新所有指向链接
4. 联系**其他可能转载**了未 redact 文档的站
   - 让他们用自己的 Removals tool
   - 或你用 [Outdated Content tool](https://support.google.com/webmasters/answer/7041154) 让 Google 更新搜索结果
5. 等 URL removal 过期(URL 已更新进索引 / ~6 个月,二选一先发生)

⚠️ publish 前在 Search Console verify 你的站 — 出事时才能快速 Removals。

Part 10 — 14 条反 pattern 集锦

# 反 pattern 后果
1 改 Chrome 设置不用 Settings API 被标 unwanted software
2 Chrome extension silent install 被分类 malware
3 应用安装 root CA / 拦 SSL(非调试用) 严重违反 unwanted software policy
4 弹假"系统危急 / 你被感染" scare tactic, 触发警告
5 把 "Download" 当唯一广告文本 misrepresent, 触发警告
6 嵌入第三方广告含 deceptive 内容 host 页违反 social engineering policy
7 第三方服务接入不标识双方关系 social engineering 违规
8 不当 redact 后只 noindex(没新 URL 发干净版) Google 缓存 / 其他搜索引擎仍有
9 redact 时用黑长方形盖文字 OCR / PDF reader 读得到
10 图先 embed 后 crop document 公开版仍含原图
11 URL / 文件名带敏感信息(email / 姓名) 即便页面 noindex,URL 也泄露
12 用 robots.txt 移除已索引页 仍可能出现在结果(无内容)
13 UGC 站不加 reputation system + noindex 新用户内容 spammer 蜂拥
14 UGC 评论 link 不加 nofollow / ugc 违反 link spam policy + 帮 spammer 实现目标

Part 11 — 相关 wiki

Last updated

2026-05-17 — 基于 Google Search Central 11 篇 monitor-debug + remove-information + keep-redacted 系列(2025-12 最新)整理。

来源与关联资料