Quanto dura lo spam update di settembre 2026?

Google lo ha avviato il 24 settembre 2026 e ha indicato che il rollout può richiedere fino a due settimane. È molto più lungo degli spam update precedenti del 2026, che si erano chiusi tra 19 ore e meno di tre giorni. Secondo il Search Status Dashboard, come riportato da Search Engine Roundtable, il rollout si è concluso l'8 ottobre 2026.

Google mi avvisa se il mio sito è stato colpito da uno spam update?

No. I declassamenti automatici degli spam update non generano notifiche in Search Console. Vengono segnalate solo le azioni manuali, decise da un revisore umano, nel rapporto Azioni manuali. Per capire se sei stato colpito devi analizzare i dati di rendimento.

Qual è la differenza tra spam update e core update?

Un core update cambia il modo in cui Google valuta qualità e utilità dei contenuti, quindi un calo può voler dire che altri rispondono meglio. Uno spam update migliora i sistemi che riconoscono le violazioni delle norme antispam: se ti colpisce, per Google una parte del sito viola una regola precisa, salvo i casi in cui perdi solo il valore di link di spam.

Se uso l'IA per scrivere i testi del sito rischio una penalizzazione?

Non per l'uso dell'IA in sé. Google colpisce la produzione di molte pagine senza valore aggiunto per gli utenti, qualunque sia lo strumento usato. Il rischio riguarda pagine fotocopia, testi generici non verificati e contenuti che potrebbero stare sul sito di chiunque.

Quanto tempo serve per recuperare dopo uno spam update?

Di solito mesi. Google spiega che eliminare le violazioni può aiutare quando i sistemi automatici imparano, nell'arco di alcuni mesi, che il sito rispetta le norme antispam. Per lo spam di link il recupero può non arrivare affatto, perché il vantaggio dato da quei link è semplicemente perso.

Il mio sito è stato violato: può essere declassato da Google?

Sì. I contenuti inseriti da terzi senza permesso rientrano nelle norme antispam come contenuti compromessi, anche se il proprietario è la vittima. Va ripulito subito e vanno cambiate tutte le credenziali; se il rapporto Problemi di sicurezza di Search Console segnala un problema, dopo la pulizia si chiede una revisione.

Spam update settembre 2026: sei stato colpito?

Il 24 settembre 2026 Google ha avviato lo spam update di settembre 2026, e già nel primo fine settimana gli strumenti di monitoraggio hanno registrato forti oscillazioni nei posizionamenti. Se il tuo sito sta perdendo traffico, la tentazione è di mettere mano a tutto subito. È la mossa sbagliata: prima serve capire se il calo dipende davvero dall'aggiornamento, e per farlo basta Search Console, a rollout concluso.

La risposta breve

Per capire se lo spam update ti ha colpito, aspetta la fine del rollout (concluso l'8 ottobre) e un'altra settimana. Poi confronta in Search Console una settimana successiva con quella dal 17 al 23 settembre. Se clic e impression calano su tutto il sito o su pagine simili, senza errori tecnici né azioni manuali, è il segnale più probabile.

Aggiornamento 8 ottobre 2026

Secondo il Search Status Dashboard, come riporta Search Engine Roundtable, il rollout si è concluso l'8 ottobre alle 10:37 ora italiana, dopo due settimane, con tre ondate di volatilità: 25-27 settembre, 30 settembre e 4-6 ottobre. Da venerdì 23 ottobre circa puoi confrontare la settimana 15-21 ottobre con quella 17-23 settembre. Cosa fare dopo la diagnosi lo spieghiamo nella guida al recupero da spam update Google.

01Cosa sappiamo davvero dello spam update di settembre 2026

Google ha annunciato l'aggiornamento sul suo Search Status Dashboard con due righe: vale per tutti i paesi e tutte le lingue, e il rollout può durare fino a due settimane. Non ha detto quali pratiche colpisce, né quanti siti o quante ricerche coinvolge.

La durata è il dato più interessante. Gli spam update del 2026 si erano chiusi in poche ore o pochi giorni: quello di marzo in 19 ore e mezza, quello di giugno in 2 giorni, quello di agosto in 2 giorni e 16 ore. Due settimane sono la durata che Google annuncia di solito per i core update, non per un aggiornamento antispam. John Mueller di Google lo ha confermato: questa volta probabilmente ci vorrà più tempo di alcuni dei precedenti.

ConfermatoAvvio il 24 settembre 2026, portata globale, rollout fino a due settimane. Chi perde posizioni deve verificare di rispettare le norme antispam di Google.
OsservatoForte volatilità tra il 25 e il 27 settembre, rilevata da quasi tutti gli strumenti di monitoraggio (Semrush, SISTRIX, Mozcast e altri). Secondo le prime osservazioni di consulenti come Glenn Gabe, riportate da Search Engine Roundtable, i cali più marcati riguardano siti costruiti con contenuti generati in serie. Negli stessi giorni, però, diversi rank tracker hanno registrato anche cali inesistenti: prima di preoccuparti, fai una verifica del posizionamento su Google in Search Console.
Non notoQuali delle norme antispam siano state rafforzate. Chi oggi ti dice con certezza "colpisce X" sta facendo un'ipotesi.

02Spam update o core update: perché la differenza cambia cosa devi fare

Un core update ricalibra il modo in cui Google valuta la qualità e l'utilità dei contenuti: se perdi posizioni, spesso qualcun altro ha semplicemente risposto meglio di te. Uno spam update fa un'altra cosa: migliora i sistemi automatici antispam, tra cui SpamBrain, il sistema basato su IA con cui Google riconosce le pratiche vietate dalle sue norme. Se ti colpisce, di solito il messaggio è che per Google una parte del sito viola una regola.

C'è un'eccezione che pochi spiegano: se i sistemi annullano il valore dei link di spam che puntano al tuo sito, anche link che non hai comprato tu, perdi le posizioni che quei link ti davano senza aver violato nulla. In quel caso non c'è niente da "riparare": quel vantaggio è semplicemente perso.

Due conseguenze pratiche. La prima: non arriva nessuna notifica. Il declassamento automatico non compare in Search Console; solo le azioni manuali, decise da un revisore umano, vengono segnalate nel rapporto dedicato. La seconda: riscrivere i testi per renderli "più belli" non serve. Serve eliminare la pratica che viola le regole, e poi aspettare. Google lo scrive chiaramente nella pagina dedicata agli spam update: i miglioramenti possono essere riconosciuti quando i sistemi automatici imparano, "nell'arco di alcuni mesi", che il sito rispetta le norme.

Dopo un core update la domanda è "chi ha risposto meglio di me?". Dopo uno spam update è "quale regola sto violando?".

03Come capire in Search Console se lo spam update ti ha colpito

Questa è la procedura che usiamo per separare l'effetto dell'aggiornamento dal rumore di fondo. Per leggere i dati basta qualsiasi accesso a Search Console; per chiedere una revisione dei problemi di sicurezza serve essere proprietario o utente con accesso completo.

1 · Aspetta la fine Aspetta che il rollout risulti completato sul Search Status Dashboard, e poi almeno un'altra settimana piena, come consiglia Google per i core update. Durante le due settimane i dati oscillano: analizzarli adesso porta a conclusioni sbagliate e a interventi inutili.
2 · Confronta le settimane giuste In Rendimento → Risultati di ricerca apri il filtro della data, scegli Confronta e imposta un intervallo personalizzato: una settimana intera dopo la fine del rollout contro la settimana dal 17 al 23 settembre. Fai partire i due periodi dallo stesso giorno della settimana (il 17 settembre è un giovedì), perché il traffico cambia molto tra giorni feriali e weekend. È lo stesso metodo che Google consiglia per i core update: confronta periodi puliti, lontani dall'aggiornamento in corso.
3 · Guarda dove cala Passa alla scheda Pagine e ordina per differenza di clic. Un calo spalmato su quasi tutto il sito ha un significato diverso da un calo concentrato su un gruppo di pagine simili, come decine di "pagine città" quasi identiche.
4 · Separa clic e impression Se le impression reggono e calano solo i clic, il problema quasi sempre non è lo spam update: è la pagina dei risultati che risponde prima del clic. Ne abbiamo parlato nell'articolo sul perché il traffico cala anche se il posizionamento no.
5 · Escludi le altre cause Apri Sicurezza e azioni manuali: sia Azioni manuali sia Problemi di sicurezza devono risultare vuoti. Poi Indicizzazione → Pagine: un aumento improvviso di pagine indicizzate che non hai mai creato è il segno di un sito violato. Infine confronta lo stesso periodo con l'anno scorso, per escludere la stagionalità.

Errore comune

Guardare la posizione media e basta. È una media: se Google smette di mostrarti per centinaia di query secondarie, la posizione media può perfino migliorare mentre il traffico crolla. Clic e impression, pagina per pagina, sono i numeri che contano.

04Che calo è? Il criterio per decidere cosa fare

Con i dati raccolti al punto precedente puoi ricondurre quasi ogni calo a uno di questi cinque casi. Ognuno richiede un intervento diverso, e confonderli è il modo più rapido per perdere mesi.

Spam updateClic e impression scendono insieme da una data compresa nel rollout, su tutto il sito o su un gruppo di pagine simili (pagine città, schede generate in serie). Nessun errore tecnico, nessuna azione manuale. Prima controlla sul Search Status Dashboard che nello stesso periodo non sia in corso anche un core update. Cosa fare: rileggere le norme antispam e cercare la pratica che le viola.
Risposte IAImpression stabili, clic in calo, soprattutto su query informative ("cos'è", "come si fa"). Cosa fare: lavorare sulla visibilità dentro le risposte, non sul ranking.
Problema tecnicoCalo su sezioni precise, errori in Indicizzazione → Pagine, pagine uscite dall'indice. Cosa fare: correggere e richiedere l'indicizzazione con Controllo URL.
Sito violatoPagine strane nell'indice, segnalazioni in Problemi di sicurezza, sitemap o utenti di Search Console che non riconosci. Cosa fare: pulizia immediata (vedi sotto).
StagionalitàLo stesso calo si vede anche nel confronto anno su anno. Cosa fare: niente, è la domanda che è cambiata.

Se hai un hotel, un ristorante o un'attività di servizi, considera anche un'altra possibilità: da settembre, in Europa, Google sta cambiando la pagina dei risultati per adeguarsi al Digital Markets Act, con blocchi dedicati a portali e fornitori diretti. Come distinguere questo effetto da un calo di ranking lo spieghiamo in cosa cambia con Google e il DMA per le imprese locali.

05Il rischio che le PMI sottovalutano: il sito violato

Tra le norme antispam di Google c'è una voce di cui si parla poco: i contenuti compromessi, cioè pagine, link o redirect inseriti da qualcuno che è entrato nel tuo sito senza permesso. Per Google non conta che tu sia la vittima: il sito ospita spam, e viene trattato di conseguenza.

Prendiamo uno scenario tipico: uno studio professionale di Bergamo con un sito vetrina fatto anni fa, un CMS e dei plugin mai aggiornati, una password semplice. Sono le porte d'ingresso più comuni. A volte basta anche meno, come un file di configurazione con la password FTP caricato per sbaglio sul server, che dei bot trovano in automatico. Chi entra spesso non tocca la home: aggiunge centinaia di pagine in una cartella nascosta, spesso in giapponese o piene di parole legate a farmaci e scommesse, visibili solo a Googlebot. Il titolare non vede nulla, Google sì.

Cinque controlli: i primi tre puoi farli tu oggi, gli altri due chiedili a chi gestisce il sito.

Ricerca site:Cerca su Google site:tuodominio.it e scorri i risultati. URL che non riconosci, testi in altre lingue o titoli su farmaci e casinò sono un campanello d'allarme.
UtentiIn Search Console, Impostazioni → Utenti e autorizzazioni: se c'è un proprietario che non conosci, qualcuno ha preso il controllo e va rimosso subito.
SitemapNel rapporto Sitemap non devono esserci file inviati da altri.
File sul serverPer il tuo fornitore: su un sito in HTML statico non dovrebbero esserci file .php che non conosci. Su WordPress, plugin e temi non aggiornati sono la porta d'ingresso più comune.
CredenzialiSempre per il fornitore: se c'è anche solo un dubbio, cambia le password di hosting, FTP e pannello, e usa dove possibile l'accesso con chiave invece della password.

Se trovi qualcosa: elimina le pagine spam (devono rispondere con errore 404 o 410, non essere solo nascoste), cambia tutte le credenziali e, se il rapporto Problemi di sicurezza segnalava un problema, chiedi una revisione dopo la pulizia. È il tipo di intervento che rientra nella SEO tecnica, e va fatto prima di qualsiasi lavoro sui contenuti: ottimizzare un sito violato non porta risultati.

06Spam update e intelligenza artificiale: contenuti scritti con l'IA e citazioni nelle risposte

La norma che fa più discutere è quella sull'abuso di contenuti su larga scala (scaled content abuse). Nelle norme antispam Google la definisce come la produzione di molte pagine con lo scopo principale di manipolare il ranking, e cita esplicitamente l'uso di strumenti di IA generativa per creare pagine "senza aggiungere valore per gli utenti". Il criterio quindi non è lo strumento: è il rapporto tra quantità e valore.

Nelle piccole aziende il rischio non riguarda quasi mai migliaia di articoli. Riguarda cose più banali: trenta pagine "servizio + città" identiche tranne il nome del comune, che Google tratta come pagine doorway (create solo per intercettare varianti di ricerca), oppure decine di articoli generati e mai riletti. Una regola semplice per capire da che parte stai: se togli il nome della tua azienda, la pagina potrebbe stare sul sito di chiunque? Una pagina generica non è di per sé spam, ma se ne produci decine con lo stesso schema entri nel territorio delle norme.

Vale lo stesso per la competenza. Una pagina che dimostra esperienza diretta, dati verificabili e un punto di vista, cioè i segnali descritti nella nostra guida all'E-E-A-T, difficilmente viene considerata "contenuto in serie", anche se per scriverla hai usato un assistente. Da ottobre 2026 Google chiede anche di verificare a mano ogni testo prima di pubblicarlo: come fare la revisione lo spieghiamo nell'articolo su contenuti generati con IA e Google.

Il secondo lato riguarda AI Overview, AI Mode e chatbot. Google è esplicito: per comparire come fonte in AI Overview o in AI Mode una pagina deve essere indicizzata e idonea a comparire nella Ricerca con uno snippet, nel rispetto delle norme della Ricerca. Non esistono requisiti aggiuntivi. Vale anche il contrario: non esiste un canale separato. Se un sistema antispam esclude le tue pagine dai risultati, le perdi anche come fonti delle risposte generate da Google, e se le declassa è logico aspettarsi che vengano citate meno.

Per ChatGPT, Perplexity e gli altri assistenti il discorso è diverso, perché usano indici e criteri propri. Un declassamento su Google non si trasferisce in automatico. È però ragionevole aspettarsi che le stesse caratteristiche che fanno scattare i filtri antispam, come pagine fotocopia e testi senza fonti né autore, rendano un sito meno credibile anche come fonte da citare. Lavorare sulla visibilità nei motori generativi e sulla risposta diretta alle domande parte dalla stessa base: pagine che vale la pena leggere.

07Cosa ne pensiamo

La durata di questo rollout fa pensare che Google abbia toccato più componenti del solito: è un'ipotesi, perché Google non l'ha spiegato. Le prime osservazioni indicano un impatto più ampio degli spam update di inizio anno. Per una PMI, però, il rischio più grande in queste due settimane non è l'aggiornamento: è la reazione sbagliata. Riscrivere tutto il sito, cancellare pagine in blocco o rinnegare centinaia di link mentre i dati ancora oscillano significa sommare problemi nuovi a quello che c'era.

Il nostro consiglio: aspetta la fine del rollout, fai la diagnosi con la procedura sopra e intervieni solo sulla causa che trovi. Diffida di chi promette di "togliere la penalizzazione" in pochi giorni: per i declassamenti automatici Google stessa parla di mesi, e nessun servizio può accorciare quei tempi. Chi non è stato toccato ha comunque un buon motivo per agire adesso: controllare sicurezza del sito e pagine fatte in serie costa poco, e toglie di mezzo i due rischi più comuni prima del prossimo aggiornamento.

→In sintesi

Lo spam update di settembre 2026 è iniziato il 24 settembre e si è concluso l'8 ottobre. Non manda notifiche, non dice cosa colpisce e non si "ripara" in fretta. Una cosa però è certa: colpisce pratiche vietate dalle norme antispam, non la qualità generica dei testi. Aspetta la fine, confronta le settimane giuste in Search Console, escludi problemi tecnici, stagionalità e sicurezza, e solo dopo decidi.

FAQLe domande più frequenti sullo spam update

→Quanto dura lo spam update di settembre 2026?

Google lo ha avviato il 24 settembre 2026 e ha indicato che il rollout può richiedere fino a due settimane. È molto più lungo degli spam update precedenti del 2026, che si erano chiusi tra 19 ore e meno di tre giorni. Secondo il Search Status Dashboard, come riportato da Search Engine Roundtable, il rollout si è concluso l'8 ottobre 2026.
→Google mi avvisa se il mio sito è stato colpito da uno spam update?

No. I declassamenti automatici degli spam update non generano notifiche in Search Console. Vengono segnalate solo le azioni manuali, decise da un revisore umano, nel rapporto Azioni manuali. Per capire se sei stato colpito devi analizzare i dati di rendimento.
→Qual è la differenza tra spam update e core update?

Un core update cambia il modo in cui Google valuta qualità e utilità dei contenuti, quindi un calo può voler dire che altri rispondono meglio. Uno spam update migliora i sistemi che riconoscono le violazioni delle norme antispam: se ti colpisce, per Google una parte del sito viola una regola precisa, salvo i casi in cui perdi solo il valore di link di spam.
→Se uso l'IA per scrivere i testi del sito rischio una penalizzazione?

Non per l'uso dell'IA in sé. Google colpisce la produzione di molte pagine senza valore aggiunto per gli utenti, qualunque sia lo strumento usato. Il rischio riguarda pagine fotocopia, testi generici non verificati e contenuti che potrebbero stare sul sito di chiunque.
→Quanto tempo serve per recuperare dopo uno spam update?

Di solito mesi. Google spiega che eliminare le violazioni può aiutare quando i sistemi automatici imparano, nell'arco di alcuni mesi, che il sito rispetta le norme antispam. Per lo spam di link il recupero può non arrivare affatto, perché il vantaggio dato da quei link è semplicemente perso.
→Il mio sito è stato violato: può essere declassato da Google?

Sì. I contenuti inseriti da terzi senza permesso rientrano nelle norme antispam come contenuti compromessi, anche se il proprietario è la vittima. Va ripulito subito e vanno cambiate tutte le credenziali; se il rapporto Problemi di sicurezza di Search Console segnala un problema, dopo la pulizia si chiede una revisione.

Spam update settembre 2026: come capire se ti ha colpito prima di toccare il sito