Perché su Google compaiono pagine del mio sito che non ho creato?

Spesso qualcuno sfrutta una funzione del sito che genera URL pubblici con un testo scelto da lui, come la ricerca interna, i profili utente o il caricamento di file, e poi linka quegli URL da altri siti: Google li trova e li indicizza. Se invece trovi cartelle o pagine che nessuna funzione può aver creato, il sito potrebbe essere stato violato.

Le pagine di ricerca interna indicizzate penalizzano il sito?

Non in automatico: secondo John Mueller non significano di per sé che Google consideri il sito spam, ma sprecano scansione e possono mostrare testi di spam sul tuo dominio. Mueller ritiene sensato bloccarle per motivi tecnici. Se sono già indicizzate, conviene prima il noindex e poi il blocco nel robots.txt.

Basta bloccare le pagine spam nel robots.txt?

No, se sono già indicizzate. Con il blocco Googlebot non visita più le pagine e non vede il noindex né l'eliminazione, quindi possono restare nei risultati. Prima vanno tolte con noindex o con un codice 404 o 410, poi si può aggiungere un blocco mirato per evitare nuove scansioni.

Come vedo in Search Console se ho pagine spam indicizzate?

Controlla il grafico in Indicizzazione > Pagine per crescite che non sai spiegare, poi in Prestazioni cerca query estranee alla tua attività e filtra le pagine con un'espressione regolare sugli URL della ricerca interna o dei profili. Completa con una ricerca site: e con i rapporti Azioni manuali e Problemi di sicurezza.

WordPress mette il noindex sulla ricerca interna?

Sì, dalla versione 5.7 il core aggiunge di serie il noindex ai risultati della ricerca interna, proprio per proteggersi dallo spam riflesso. Va comunque verificato nel sorgente della pagina, perché temi, plugin o installazioni non aggiornate possono non applicarlo.

Pagine spam indicizzate: trovarle e toglierle

Cerchi il nome della tua azienda su Google e tra i risultati compare una pagina del tuo dominio che non hai mai scritto: «Risultati per: casino online bonus…», un profilo utente pieno di link a farmacie, un file caricato da chissà chi. Le pagine spam indicizzate su un sito aziendale arrivano spesso da una funzione lasciata aperta, non sempre da un attacco informatico. Il 26 ottobre Google ha aggiornato la guida per prevenire lo spam generato dagli utenti: qui vedi da dove entrano queste pagine, come trovarle in Search Console e in che ordine toglierle.

La risposta breve

Le pagine spam indicizzate nascono di solito da ricerca interna, registrazione aperta, commenti, file caricati o pagine condivise via link. Prima chiudi la porta da cui entrano, poi togli quelle già indicizzate con noindex o con un 404/410, lasciandole scansionabili finché Google non le esclude. Il blocco nel robots.txt va messo dopo, non prima.

01Cosa ha cambiato Google il 26 ottobre nella guida sullo spam generato dagli utenti

La pagina "Prevent user-generated spam on your site and platform" esisteva già. Come ha rilevato PPC Land, l'introduzione ora cita anche gli strumenti che permettono agli utenti di pubblicare «shared pages, generated content, or web apps». La novità vera è una sezione intitolata "Only index content meant for Search": chi ospita contenuti creati dagli utenti deve chiedersi se sono fatti per essere trovati dai motori di ricerca o solo per chi riceve il link, e per quelli pensati per la condivisione Google consiglia un noindex predefinito (meta robots o intestazione X-Robots-Tag) oppure un blocco nel robots.txt. Tra i controlli consigliati è entrata Search Console, con i rapporti Indicizzazione delle pagine e Prestazioni.

Il registro delle modifiche parla di aiutare le piattaforme a tenere fuori dall'indice le pagine non destinate alla Ricerca e a «detect spam earlier». Google non ha nominato prodotti. Marie Haynes si è chiesta su X se arriveranno azioni manuali per gli strumenti di IA e chi costruisce app; Lily Ray ha fatto gli esempi degli artifact di Claude, delle pagine di ChatGPT e dei post di Facebook. Sono ipotesi riportate da Search Engine Roundtable, non annunci.

02Da dove arrivano le pagine spam indicizzate su un sito aziendale

Per le norme di Google sullo spam, lo spam generato dagli utenti è il contenuto aggiunto da terzi attraverso i canali pensati per gli utenti, spesso senza che il proprietario se ne accorga. Il meccanismo tipico si chiama reflected web spam, spam "riflesso": lo spammer sfrutta una funzione del tuo sito che produce un URL pubblico con un testo scelto da lui, poi diffonde quell'URL con link da altri siti. Googlebot segue i link, trova una pagina valida sul tuo dominio e può indicizzarla. Lo spammer ottiene un indirizzo con la reputazione del tuo dominio; tu ti ritrovi pagine che parlano di casinò. Le porte più comuni:

Ricerca internaOgni ricerca crea un URL, come /?s=parola o /cerca?q=parola, e spesso la pagina ripete il testo cercato nel titolo. Basta linkare tuosito.it/?s=casino+online+bonus, senza alcun accesso al sito. WordPress dalla versione 5.7 aggiunge di serie il noindex ai risultati di ricerca proprio contro questo attacco, come dice il changeset 50370. Restano esposti i WordPress non aggiornati, i temi o plugin che sovrascrivono il meta robots, gli altri CMS e le ricerche prodotti con URL propri.
Registrazione apertaArea clienti, forum, plugin di iscrizione: se ogni utente ha un profilo pubblico con biografia e link, i bot si registrano a centinaia. Profili, forum e guestbook sono i casi che la guida alle azioni manuali cita per lo spam generato dagli utenti.
CommentiIl blog con commenti approvati in automatico. Di solito non crea pagine nuove, ma riempie di link quelle esistenti.
File caricatiAllegati dei moduli raggiungibili da URL pubblici. Dove finiscono dipende dal plugin: alcuni li cancellano dopo l'invio, altri li salvano in sottocartelle proprie. Con l'elenco della cartella visibile o nomi prevedibili, il rischio principale per una PMI è l'esposizione dei documenti dei clienti, prima ancora dello spam.
Pagine condivise via linkPreventivi online, configuratori, liste dei desideri: pagine pensate per una persona, aperte a chiunque abbia l'indirizzo. Google le scopre quando il link viene pubblicato su social, forum o chat pubbliche, o finisce in una sitemap generata da un plugin. La guida di Google parla di piattaforme; applicare lo stesso principio ai siti aziendali è una nostra estensione.

Va distinto il sito violato: migliaia di pagine in giapponese o cartelle che nessuna funzione del sito può aver creato indicano che qualcuno ha scritto sul server. È un problema di sicurezza prima che di SEO, di solito segnalato nel rapporto Problemi di sicurezza, e ne abbiamo parlato nell'articolo sullo spam update di settembre.

03Come trovare le pagine spam indicizzate in Search Console

Serve una proprietà verificata e, per alcuni passi, l'accesso al CMS o ai log del server. Accanto a ogni passo trovi chi lo fa di solito.

1 · TitolareApri Indicizzazione > Pagine e guarda il grafico delle pagine indicizzate negli ultimi 3 mesi. Un sito aziendale cresce a gradini, quando pubblichi. Una salita continua va spiegata: può dipendere da parametri, pagine tag o filtri dell'e-commerce, oppure da spam. Apri i dati sulle pagine indicizzate e scorri gli esempi di URL.
2 · TitolareApri Prestazioni > Risultati di ricerca, ultimi 3 mesi. Nella scheda Query cerca termini estranei alla tua attività o in altri alfabeti; nella scheda Paesi, nazioni dove non lavori.
3 · FornitoreFiltra per pagina con un'espressione regolare: Nuovo > Pagina > Espressione regolare personalizzata, per esempio [?&](s|q)=|/search/|/cerca per la ricerca interna, /author/|/members/|/profile/ per i profili, /uploads/.*\.pdf per i file. Se questi URL hanno impressioni sono indicizzati; l'assenza di impressioni invece non prova che non lo siano.
4 · TitolareCerca su Google site:tuosito.it casino o site:tuosito.it viagra, come suggerisce la stessa guida alle azioni manuali. Serve a trovare esempi: i numeri che dà site: sono approssimativi. Poi controlla i rapporti Azioni manuali e Problemi di sicurezza; per un'azione manuale la procedura è quella dell'articolo sull'azione manuale di Google.
5 · FornitoreRisali alla porta e provala: per ogni gruppo di URL individua la funzione che li produce e guarda nei log da quando arrivano le richieste. Poi apri in una finestra anonima tuosito.it/?s=prova-orobici e controlla sorgente e intestazioni HTTP. Se la pagina risponde 200, ripete il testo nel titolo e non ha noindex né X-Robots-Tag, la porta è aperta anche se oggi non vedi spam indicizzato.

04Come togliere le pagine spam: noindex, 404 o robots.txt, e in che ordine

L'errore più comune è partire dal robots.txt. La guida di Google al noindex spiega che, se una pagina è bloccata da robots.txt, il crawler «will never see the noindex rule» e la pagina può restare nei risultati, per esempio se altre pagine la linkano. Le pagine di spam esistono proprio perché qualcuno le linka. L'ordine giusto:

1 · Chiudi la portaRicerca interna: noindex di serie, nessun link interno verso i risultati e, se possibile, testo cercato non ripetuto nel <title>. Registrazione disattivata se non serve (su WordPress, "Chiunque può registrarsi" in Impostazioni > Generali), commenti con approvazione manuale, allegati fuori dalle cartelle pubbliche, noindex predefinito sulle pagine condivise.
2 · Togli quelle già indicizzateRisultati di ricerca e pagine che restano utili: noindex, con la pagina scansionabile. Contenuti di spam veri e propri, come profili falsi o file caricati: eliminali, così l'URL risponde 404 o 410. Metodi e tempi sono quelli spiegati nell'articolo su come rimuovere una pagina da Google.
3 · Solo dopo, il robots.txtQuando gli URL sono esclusi, un Disallow mirato sulla ricerca interna evita che Googlebot sprechi richieste su URL infiniti. Mirato vuol dire sul percorso della ricerca, non su tutti gli URL con parametri: una regola come Disallow: /*? blocca anche pagine utili.

Nell'episodio di luglio di Search Off the Record, riportato da PPC Land, John Mueller ha spiegato che bloccare i risultati della ricerca interna non è più scritto nelle norme di Google, ma «purely for technical reasons makes sense», e per semplicità ha indicato il robots.txt. Secondo Mueller le pagine di ricerca indicizzate non vogliono dire che Google consideri il sito spam («you're being very inefficient»). Quando però mostrano testi di spam, possono portare Search Console a segnalare il sito come violato.

Il consiglio di Mueller funziona su un sito pulito. Se le pagine spam sono già indicizzate, il blocco immediato le congela: Google non le visita più e non vede il noindex. Per questo noi mettiamo il Disallow solo quando il Controllo URL, su un campione di quegli indirizzi, riporta "Esclusa tramite tag 'noindex'" o "Non trovata (404)", e quando in Indicizzazione > Pagine quel motivo cresce mentre le indicizzate calano. È una scelta di metodo nostra, coerente con la documentazione. Mettila in conto: gli URL di spam continueranno a comparire tra le pagine escluse finché qualcuno li linka, ed è normale.

05A chi interessa davvero: tre scenari tipici

Studio di TreviglioUno studio di commercialisti con un sito su un CMS non aggiornato da anni e la casella di ricerca nell'intestazione. Nel rapporto Prestazioni compaiono query in cirillico e URL di ricerca con qualche centinaio di impressioni. Intervento: noindex sui risultati, verifica con il Controllo URL, poi Disallow sul percorso della ricerca. E un aggiornamento del CMS, rimandato da anni.
PMI di DalmineUn'azienda meccanica con i moduli "invia il tuo disegno" e "lavora con noi". Il plugin salva gli allegati in una cartella pubblica con l'elenco dei file visibile: dentro ci sono PDF di spam e curriculum veri. Qui la privacy pesa più della SEO: allegati spostati in un'area protetta, file di spam eliminati, verifica con il consulente privacy sull'eventuale violazione di dati.
Negozio di Città AltaUn e-commerce di prodotti tipici che manda via link i preventivi per le confezioni regalo aziendali. Alcuni sono finiti nell'indice con nomi e indirizzi. Non è spam ma una fuga di dati, e il noindex da solo non basta perché la pagina resta apribile: prima link con scadenza o accesso protetto, poi rimozione temporanea in Search Console, poi noindex predefinito sul modello di pagina.

Il criterio di urgenza: dati personali o testi che danneggiano il marchio si trattano oggi; risultati di ricerca con poche impressioni rientrano nella manutenzione ordinaria. Se c'è un'azione manuale la pulizia deve essere completa, perché secondo la guida di Google correggere solo alcune pagine non porta a un ritorno parziale nei risultati.

06Pagine spam, AI Overview e ChatGPT: cosa cambia con la ricerca generativa

Per comparire in AI Overview e AI Mode una pagina deve essere indicizzata e idonea allo snippet, come spiega la pagina sulle funzionalità di IA della Ricerca: ne segue che togliere le pagine spam dall'indice le toglie anche da lì. ChatGPT Search usa un crawler proprio, OAI-SearchBot, che secondo la documentazione di OpenAI rispetta il robots.txt e si adegua alle modifiche in circa 24 ore; ne abbiamo parlato nell'articolo su come indicizzare il sito su ChatGPT.

Il punto più concreto riguarda le aziende come utenti degli strumenti di IA. Se usi un chatbot o un generatore di app per creare una pagina da mandare a un cliente, come un preventivo, un listino o una piccola applicazione, quella pagina vive sul dominio dello strumento e la sua indicizzazione dipende dalle impostazioni dello strumento, non da te. PPC Land riporta che secondo DuckDuckGo conversazioni condivise di ChatGPT e Claude sono comparse nei risultati di ricerca. La regola prudente: niente dati riservati in pagine condivise via link, e ogni tanto una ricerca con il nome della tua azienda limitata con site: al dominio dello strumento.

07Cosa ne pensiamo

L'aggiornamento è scritto per le piattaforme, ma il principio vale per qualsiasi sito: ogni funzione che crea un URL pubblico deve avere una risposta già decisa alla domanda "questa pagina deve stare su Google?". Nei controlli di SEO tecnico la verifichiamo funzione per funzione, perché i temi grafici e i plugin aggiungono ricerche, profili e pagine condivise senza che nessuno lo decida.

Tenere le pagine di ricerca nell'indice è un rischio senza vantaggi, e la verifica richiede poco tempo; la pulizia dipende da quanti URL ci sono. Nel capitolato di un nuovo sito chiediamo che sia scritto come si comportano ricerca interna, allegati dei moduli e registrazione. Dopo, basta guardare una volta al mese il grafico delle pagine indicizzate.

→In sintesi

Le pagine spam indicizzate entrano di solito da una funzione aperta del sito: trovale con Indicizzazione delle pagine e Prestazioni filtrati per URL, toglile con noindex o 404/410 e aggiungi il robots.txt solo quando Google le ha escluse.

FAQDomande frequenti sulle pagine spam indicizzate

→Perché su Google compaiono pagine del mio sito che non ho creato?

Spesso qualcuno sfrutta una funzione del sito che genera URL pubblici con un testo scelto da lui, come la ricerca interna, i profili utente o il caricamento di file, e poi linka quegli URL da altri siti: Google li trova e li indicizza. Se invece trovi cartelle o pagine che nessuna funzione può aver creato, il sito potrebbe essere stato violato.
→Le pagine di ricerca interna indicizzate penalizzano il sito?

Non in automatico: secondo John Mueller non significano di per sé che Google consideri il sito spam, ma sprecano scansione e possono mostrare testi di spam sul tuo dominio. Mueller ritiene sensato bloccarle per motivi tecnici. Se sono già indicizzate, conviene prima il noindex e poi il blocco nel robots.txt.
→Basta bloccare le pagine spam nel robots.txt?

No, se sono già indicizzate. Con il blocco Googlebot non visita più le pagine e non vede il noindex né l'eliminazione, quindi possono restare nei risultati. Prima vanno tolte con noindex o con un codice 404 o 410, poi si può aggiungere un blocco mirato per evitare nuove scansioni.
→Come vedo in Search Console se ho pagine spam indicizzate?

Controlla il grafico in Indicizzazione > Pagine per crescite che non sai spiegare, poi in Prestazioni cerca query estranee alla tua attività e filtra le pagine con un'espressione regolare sugli URL della ricerca interna o dei profili. Completa con una ricerca site: e con i rapporti Azioni manuali e Problemi di sicurezza.
→WordPress mette il noindex sulla ricerca interna?

Sì, dalla versione 5.7 il core aggiunge di serie il noindex ai risultati della ricerca interna, proprio per proteggersi dallo spam riflesso. Va comunque verificato nel sorgente della pagina, perché temi, plugin o installazioni non aggiornate possono non applicarlo.

Pagine spam indicizzate sul tuo sito: le hai aperte tu, senza saperlo