安全 / Spam / Removal / 搜索运算符完全指南 (malware + phishing + UGC + redacted + site:)

一句话: 站点安全(malware/phishing/被黑)/ UGC spam 防范 / 内容移除 / Google 搜索运算符调试 — 这 4 件事都是 SEO 从业者的"防御 + 工具" 知识,放一起方便互引。

TL;DR — 何时打开本 wiki

你遇到	打开 Part
Chrome 提示 "Deceptive site ahead" / Safe Browsing 警告	Part 3 (Social Engineering)
Search Console 报有 malware	Part 2
想防被黑 / 加固站点	Part 4
站被反复警告 + 30 天禁申诉	Part 5 (Repeat Offender)
评论 / 论坛 / 论文站被刷 spam	Part 6 (UGC spam)
想知道某 URL 是否被索引 / debug	Part 7 (`site:` / 4 大 operator)
想紧急从 Google 撤下一个页	Part 8 (Removals tool)
上传 PDF / 图被人挖出 redacted 信息	Part 9 (Keep redacted out)

Part 1 — Security 全景: Safe Browsing + Security Issues Report

1.1 Safe Browsing 是啥

Google 跨产品的安全服务:Chrome / Search 用同一份 "危险站点" 名单。命中后:

Chrome 显示拦截页(红框 "Deceptive site ahead" / "Site ahead contains malware")
Search 结果对该站加 warning
直接 download 会被拦

1.2 Search Console Security Issues report

入口:search.google.com/search-console/security-issues

显示当前站点的 4 类 issue:

类别	含义	见
Malware	网页式恶意软件(用户不交互就执行)	Part 2
Harmful downloads	用户主动下载的恶意 / unwanted software	Part 2
Social engineering	phishing / 欺骗性广告 / 第三方未清晰标识	Part 3
Hacked(派生)	你站被黑了挂了恶意 / spam 页	Part 4 + hacked recovery

修完后报告里 Request a review — review 一般几天。

Part 2 — Malware vs Unwanted Software

2.1 区分

	定义
Malware	故意伤害设备 / 软件 / 用户的程序。会无用户同意安装东西、装病毒等
Unwanted Software	行为欺骗 / 意外 / 破坏体验的程序。例:换主页、泄露隐私

很多 site owner 没意识自己托管的下载件已被分类为 malware/unwanted。

2.2 5 大行为禁忌(违反任一会触发 warning)

① 不要 misrepresent 自己

广告必须准确告知用户将下载什么(不能只说 "Download")
不能用 "Play" 按钮触发下载
广告不能伪装成发行商内容("点这里看电影",其实是软件)
behave as advertised(说收数据就在 UI 明示,别藏)

② 不要 scare 用户

不能假装系统被感染 / 安全危急
不能假装提供它做不到的服务("加速 PC")
"免费" 清理 / 优化器不能宣传成"免费"如果实际要付费

③ 软件准则(Chrome / 浏览器层)

改 Chrome 设置必须用 Chrome Settings Override API(不能绕)
不能压制浏览器 / OS 的设置变更提醒
强烈推荐 code sign 你的二进制(没签虽不会被直接标 unwanted,但更可信)
不能降低 TLS/SSL 安全(不能装 root CA,不能拦截 SSL 除非调试软件)
用户数据只能传送与功能相关的 + 必须告知 + 必须加密
不能破坏 browser reset 功能
必须可一键卸载 + 卸载干净所有组件

④ Chrome extension 准则

必须托管在 Chrome Web Store
安装时必须走官方 enable 流程(不能默装)
必须遵守 single-purpose policy
不能 silent install — 必须 Chrome 弹窗确认

⑤ 移动 App 准则

收数据前必须 informed consent
不能impersonate 别的品牌 / app
不能在 app context 外显广告 / 内容
不能未经同意装其他 app(更新 ≠ 装新)
不能模仿 OS 弹窗
干净卸载 — 不能装隐藏组件

2.3 修复路径

自查照 5 大准则
Search Console → Security Issues report → Request a review
移动 app 警告可走 Play Store 申诉
反复修不掉 → Report a security issue 给 Google 人工

3.1 3 大类型

类型	例子
Phishing	假装信任实体(浏览器/银行/政府)骗用户给密码/电话/SSN
Deceptive content	假按钮 / 假"软件过期" / 假优惠诱导下载
第三方服务未清晰标识	你给慈善网站托管捐款表,但表上没说 "本表由 ExampleHosting 代为 ExampleCharity 处理"

3.2 ⚠️ 即便不是你做的, 也可能背锅

嵌入式社工内容(广告里有 deceptive 内容)— host 页违反 policy(因为你嵌的)
被黑客注入 — 站被黑后,黑客往里塞 deceptive 页 / 弹窗 → Security Issues 报告会显示

3.3 4 类典型违规

(图略,见原文档)

假软件更新弹窗让用户装恶意应用
假浏览器更新提示(原文档示例)
假 Google 登录页(钓鱼,URL 一般不对)
广告假装成页面 UI 元素(假播放器更新 / 假必装组件 / 假播放按钮)

3.4 修复 4 步

Step 1: Search Console 自查
  - 验证 ownership 没被新增可疑 owner
  - Security Issues report 看是否报 deceptive
  - 看 sample URLs(用站外电脑访问,因为聪明的黑客检测到 site owner 会停止攻击)
  - 没 sample URLs 但你确信清白 → 直接 request review

Step 2: 移除 deceptive 内容
  - 整页扫一遍照 examples 对照
  - 觉得 Safe Browsing 误判 → report 给 Google

Step 3: 检查第三方资源
  - 广告网络会轮播 — 多刷新页面看是否出现 deceptive ad
  - 桌面 / 移动看可能不同 — URL Inspection tool 都看
  - 第三方服务遵守 third-party guidelines(见 3.5)

Step 4: Request review(几天)

3.5 第三方服务接入清白准则

如果你站嵌了第三方(支付 / 捐款 / 表单 / 客服),避免被标 social engineering 的条件:

每个页面第三方品牌清晰展示(用户知道是谁在运营)
每个页面如果有 first-party branding,明示双方关系 + 链 "更多信息":

This service is hosted by Example.com on behalf of Example.charities.com. More information.
best practice: 用行业标准服务 — 比如 auth 用 OAuth,不要自己撸

Part 4 — Prevent Malware Infection

4.1 通用 checklist (所有站长)

强密码 — 走 Google account guidelines
谨慎选第三方内容供应商 — 第三方 app / 广告必须有 support + contact info
联系 hosting 商 — 多数有 security 页 / RSS feed,订阅
本地电脑也要安全 — 改站的电脑装最新软件 / 防毒

4.2 高级 checklist (有服务器权限)

检查 server config
- Apache: security tips
- IIS: Microsoft tech center
备份 .htaccess(改前必备,改完删备份)
保持软件 + 补丁最新 — 装了 forum/blog 就忘是常见坑;每个插件版本都记录;hosting 商的 OS 补丁也要催更
看 log files
- 异常 URL 参数(=http:、=//)→ 可能被 open redirects 利用
- 黑客常改 log → 把 log 文件从默认位置移走让黑客难找
常见漏洞自查:
- 目录 open permission(等于敞着门)
- XSS
- SQL injection
协议: 用 SSH / SFTP 替代 telnet / FTP
追新:
- Google Security Blog
- US-CERT 政府级技术警告

4.3 用 `site:` operator 自检

site:example.com

看 Google 收了你站哪些页 — 发现意外页 = 可能被黑(常见黑链 / 黑文 / 子目录被注入)。

Part 5 — Safe Browsing Repeat Offenders Policy

5.1 触发条件

短时间内反复在"合规 / 违规"之间切换 → 被归为 Repeat Offender。

5.2 处罚

Search Console 邮箱收到通知
30 天内禁止 request additional review
30 天后才能再申诉

→ 修要修彻底,别打补丁打草惊蛇。

Part 6 — Prevent User-Generated Spam(UGC)

spammer 喜欢开放评论 / 表单的站,留 spam 链接 + 垃圾内容。简单 deterrent 也能赶走大部分。

6.1 7 大手段

A. 告诉用户你不允许 spam

注册流程明示 abuse policy
让 trusted user 能 report spam

B. 建用户 reputation system

追这些 signal 来识别 spammy 账号:

Form completion time(机器人秒填)
同 IP 段大量请求
User agent
User name / 表单值

C. 新用户的内容加 `noindex` ⭐

spammer 想要的就是 Google 索引他们的链接。新用户 → noindex → spammer 无利可图;过段时间用户建立 reputation 后再让其内容被索引。

D. 不信任内容的链接全加 `nofollow` 或 `ugc`

spammer 想留 link → 加 rel="nofollow" 或 rel="ugc" 让他们留也白留。

E. 人工审核高风险交互

评论 / 注册 / 大表单变更 → 人工 approve 才发布。CMS 内置 moderation 是有原因的。

F. blocklist

发现 spammy IP / 账号 → 加防火墙 deny list。CMS 用 Akismet 等插件。

G. 防自动账号注册

reCAPTCHA 或类似 verification tool。

6.2 monitoring spam signals

用 site: + spammy 关键词 / Google Alerts 自动监控
log 突然流量尖峰
Google Safe Browsing API 测自家 URL
confidence check — 主要服务日本用户,凌晨突然几千意大利 IP → 几乎肯定 spam。用 language detection 库或 Google Translate API 识别新建内容的语言

Part 7 — 4 大 Search Operator(给 SEO debug 用)

⚠️ 核心: search operator 受 indexing + retrieval limit 限制,结果不准确。Debug 优先用 URL Inspection tool(Search Console),operator 只作粗查辅助。

7.1 完整表

Operator	用途	限制
`site:`	限定某域 / URL / prefix 的结果	不返回所有索引 URL;无 query 时结果不排序
`filetype:`	限定文件类型(按 content-type 或扩展名)	例: `filetype:rtf galway`
`imagesize:`(仅 Google Images)	限定图片尺寸(width x height)	例: `imagesize:1500x1000`
`src:`(仅 Google Images)	找引用了某 image URL 的页	跨域(可看谁 hotlink 了你的图)

7.2 `site:` 实用 patterns

查询	用途
`site:example.com`	看 Google 收了你哪些页(可能不全)
`site:https://example.com/recipes/tsukemen.html`	看具体 URL 是否被索引
`site:example.com viagra casino`	监控 spam 是否注入你站
`site:https://example.com/ lemon`	看你站哪些 URL 能为 "lemon" 排到
`site:https://example.com/page.html lemon`	看特定 URL 是否能为 "lemon" 排到

⚠️ site:https://www.example.com ≠ site:https://example.com/ — www 子域和裸域不一样,注意输入精确。

7.3 `src:` + `imagesize:` 组合

src:https://example.com/media/carrot.jpg imagesize:500x1200

→ 找特定 URL 的特定尺寸版

site:https://example.com/ imagesize:500x1200

→ 找你站上某尺寸的所有图

7.4 `src:` 查 hotlink

src:https://yoursite.com/your-image.jpg → 返回所有用了你这张图 src 的页(跨域)。hotlink 监控神器。

Part 8 — Remove a Page from Google

⚠️ 不是你的页? → Remove personal info from Google 走另一条路。

8.1 临时(1 天内见效, ~6 月有效)

Search Console → Removals tool → 提 URL prefix 或单 URL。

Why 临时:给你时间永久处理。到期后还会回来。

8.2 永久 3 大手段

手段	优缺
删 / 改内容	最彻底 — 其他搜索引擎也搜不到
密码保护	真访问控制,Googlebot 也进不去
noindex 标签	仅屏蔽 Google;其他不支持 noindex 的引擎仍能找到

⚠️ 不要用 robots.txt 当 removal 工具 — 见抓取与索引控制完全指南 (robots.txt / noindex / X-Robots-Tag / data-nosnippet / rel): disallow 的 URL 仍可能被索引(无内容)。

8.3 URL 变体陷阱

example.com/puppies / example.com/PUPPIES / example.com/petchooser?pet=puppies 可能指同内容。全部 URL 都得处理,见 find the right URL to block。

8.4 其他 Google property 怎么撤

Shopping 等: Opt out of specific Google properties
Business Profile: Edit business info
Knowledge Panel: Update

Part 9 — Keep Redacted Information Out ⭐⭐⭐

你上传 "看似 redact 干净" 的 PDF / 图,可能被搜索引擎挖出隐藏信息。OCR / 文档历史 / metadata 都是泄露源。

9.1 4 大泄露源

源	怎么泄
图像中的"redact"	黑长方形盖文字 / 小字号 / 同色背景文字 — OCR 都能读
文档历史	Word/PDF 可能保留 change history,redact 前内容可恢复
图片裁剪假象	Word/PPT 里"裁剪"图,公开版仍包含未裁剪的全图
Metadata	编辑者名 / 访问记录 / 文档 ID
URL / 文件名	即便 robots.txt block,URL 本身可能被索引(无内容);URL 里有 email/姓名就泄露

9.2 redact 前必做

A. 编辑图,再嵌入

先 crop / 涂掉敏感处再放进 document
完全移除 / 模糊(OCR 读得到任何文字 → 别用马赛克)
移除 metadata
导出为非矢量 / flattened 格式(PNG / WEBP)— 防止 vector 包含隐藏图层

B. 编辑文本,再公开

用专业 redaction tool,不要用黑长方形盖
双查公开文档的 metadata
用 document redaction best practices (按格式查)
URL / 文件名避免 email / 姓名,用 hash
用 认证 + login 页 noindex 限制访问

9.3 不当 redact 已被索引怎么办 — 5 步补救

1. 把活的 document 从站上撤掉
2. 用 Removals tool(verified site)— 几小时内移
   - 多文件可用 URL prefix
3. 把 redact 干净的版**新 URL 重发** — 防止旧版残留在 Google 缓存
   - 更新所有指向链接
4. 联系**其他可能转载**了未 redact 文档的站
   - 让他们用自己的 Removals tool
   - 或你用 [Outdated Content tool](https://support.google.com/webmasters/answer/7041154) 让 Google 更新搜索结果
5. 等 URL removal 过期(URL 已更新进索引 / ~6 个月,二选一先发生)

⚠️ publish 前在 Search Console verify 你的站 — 出事时才能快速 Removals。

Part 10 — 14 条反 pattern 集锦

#	反 pattern	后果
1	改 Chrome 设置不用 Settings API	被标 unwanted software
2	Chrome extension silent install	被分类 malware
3	应用安装 root CA / 拦 SSL(非调试用)	严重违反 unwanted software policy
4	弹假"系统危急 / 你被感染"	scare tactic, 触发警告
5	把 "Download" 当唯一广告文本	misrepresent, 触发警告
6	嵌入第三方广告含 deceptive 内容	host 页违反 social engineering policy
7	第三方服务接入不标识双方关系	social engineering 违规
8	不当 redact 后只 noindex(没新 URL 发干净版)	Google 缓存 / 其他搜索引擎仍有
9	redact 时用黑长方形盖文字	OCR / PDF reader 读得到
10	图先 embed 后 crop	document 公开版仍含原图
11	URL / 文件名带敏感信息(email / 姓名)	即便页面 noindex,URL 也泄露
12	用 robots.txt 移除已索引页	仍可能出现在结果(无内容)
13	UGC 站不加 reputation system + noindex 新用户内容	spammer 蜂拥
14	UGC 评论 link 不加 nofollow / ugc	违反 link spam policy + 帮 spammer 实现目标

Part 11 — 相关 wiki

robots.txt / noindex / X-Robots-Tag 细节: 抓取与索引控制完全指南 (robots.txt / noindex / X-Robots-Tag / data-nosnippet / rel)
canonical / 重定向 / 临时停业 503: Canonical / 重定向 / 网站迁移完全指南 (含 HTTP 状态码全表 + 503 临时停业 playbook)
helpful content / E-E-A-T(防被算法判 spammy)/ 24 条 spam policy: Google SEO 入门 + Search 工作原理 + Search Essentials
流量被攻击 / 突然掉(可能是 security issue): Search Console + Analytics + Trends 三件套用法 (流量诊断 / 关键词调研 / Looker Studio) 的 7 步诊断
被黑站修复完整指南: https://web.dev/articles/hacked
Safe Browsing 透明度报告: https://www.google.com/transparencyreport/safebrowsing
Google Security Blog: https://security.googleblog.com/

Last updated

2026-05-17 — 基于 Google Search Central 11 篇 monitor-debug + remove-information + keep-redacted 系列(2025-12 最新)整理。