一句話結論：Google 搜尋你的公司，卻出現一堆日文、商品或折扣網址，通常代表網站曾被駭客植入「SEO 垃圾頁」，借你的網域替他們的商品排名。處理要分兩階段：先清除產生垃圾頁的源頭，再讓已被收錄的垃圾網址回應 410（已永久移除），並透過 Search Console 加速移除。第二階段最常被忽略，我們實測 3 個網站，清完源頭後 Google 仍持續大量抓取舊垃圾網址，拖慢整個網站。
這種攻擊在台灣中小企業的網站很常見，業界常稱為「日文關鍵字駭客」或「垃圾內容植入」。它的特色是很少破壞你的網站畫面，你自己打開官網看起來一切正常，只有在 Google 搜尋結果、或用搜尋引擎的身分去看時，才會看到那些頁面。所以很多網站被植入好幾個月，直到客戶反映「搜尋你們公司怎麼都是日文」才發現。
怎麼確認網站被植入垃圾頁？
花 5 分鐘做下面三個檢查，就能知道網站有沒有中招：
用 site: 指令搜尋自己的網站
在 Google 搜尋框輸入 site:你的網域（例如 site:example.com.tw），往後翻幾頁。如果出現日文標題、商品名稱、折扣、賭博或藥品等你沒有寫過的頁面，就是被植入了。也可以搜尋 site:你的網域 日本 或 site:你的網域 激安 快速確認。
查看 Google Search Console
到「網頁」報表看已建立索引的網址有沒有暴增，到「成效」報表看查詢字詞裡有沒有和你的業務無關的外文關鍵字，再到「安全性與手動處置」確認是否有警告。
注意網址的規律
垃圾網址通常有固定格式，例如 /items/、/goods/數字、/cate-數字/，或在網址後面加上 ? 參數。找出規律，後面清除時會用到。
如果你自己打開那些垃圾網址，看到的卻是正常的首頁或「找不到網頁」，不代表沒事。很多垃圾頁會辨識訪客身分，只給搜尋引擎看垃圾內容（稱為「偽裝」，cloaking），或是源頭已清除、但 Google 還留著舊的收錄紀錄。
垃圾頁是怎麼來的？
駭客的目的不是破壞你的網站，而是借用你經營多年的網域信任度，讓他們的商品頁更容易排上 Google。常見的手法有三種：
植入產生頁面的程式
透過過期的外掛或弱密碼，在主機上放一支程式，依網址即時產生成千上萬個假頁面。網站後台完全看不到這些頁面。
直接寫進資料庫
在資料庫裡塞入大量文章或設定，或在既有文章中插入看不見的連結。後台文章列表可能突然多出很多草稿或隱藏內容。
只給 Google 看的偽裝
修改 .htaccess 或網站程式，判斷訪客是搜尋引擎時才顯示垃圾內容，一般人看起來網站完全正常。
清除步驟：6 個步驟照著做
完整備份目前的狀態
包含檔案與資料庫，另存並標註「清除前」。萬一清除過程誤刪，或需要追查原因，都靠這份備份。
找出並清除產生垃圾頁的源頭
檢查最近被修改的檔案、uploads 資料夾裡的 .php 檔、.htaccess 是否有可疑的轉址規則、資料庫裡是否有大量陌生文章，以及有沒有不認識的管理員帳號。比對 WordPress 核心檔是否與官方一致，並從官方來源重裝外掛與佈景主題。
讓垃圾網址回應 410
確認源頭清除後，讓符合垃圾網址規律的請求直接回應「410 已永久移除」。最好在主機層（.htaccess 或伺服器設定）處理，不要讓這些請求進入 WordPress，詳見下一節。
在 Search Console 加速移除
用「移除」工具暫時隱藏最明顯的垃圾網址（約 6 個月內有效，期間 Google 會依 410 逐步刪除收錄）；若有安全性問題或手動處置通知，確認乾淨後提出審查要求；最後重新提交正確的 Sitemap。
持續監控 1 到 3 個月
每週用 site: 指令與 Search Console 檢查垃圾網址數量是否下降、有沒有新的垃圾網址出現。數量持續增加，代表源頭還沒清乾淨。
垃圾網址該回 404 還是 410？
Google 官方說明 404（找不到）與 410（已永久移除）都會讓網址逐漸從索引中移除，410 表達的是「這個網址是刻意移除、不會再回來」，訊號更明確。真正的差別在於「在哪一層回應」：
| 做法 | 效果 | 建議 |
|---|---|---|
| 交給 WordPress 顯示 404 頁 | 每個請求都要執行完整的網站程式，量大時拖慢整站 | 垃圾網址數量少時可接受 |
| 在主機層直接回 410 | 不執行網站程式，回應極快，訊號明確 | 垃圾網址有固定規律時的首選 |
| 全部 301 轉到首頁 | Google 會視為「軟 404」，垃圾網址反而留得更久 | 不建議 |
| 在 robots.txt 封鎖 | Google 不能抓取，就看不到 410，舊收錄可能一直留著 | 不建議 |
以 Apache／LiteSpeed 主機為例，可以在 .htaccess 加入類似下面的規則（網址規律請換成你網站實際的樣子）：
# 駭客垃圾網址：直接回應 410，不進入 WordPress
RewriteEngine On
RewriteRule ^items/ - [G,L]
RewriteRule ^goods/[0-9] - [G,L]
RewriteRule ^cate-[0-9][0-9-]*/?$ - [G,L]動手前一定要確認規則不會擋到正常頁面。例如你的網站本來就有 /items/ 開頭的商品頁，就不能用這條規則。建議先列出所有正常網址比對，套用後再實際測試首頁、主要內頁與後台。
甫東實戰：清完源頭，問題才剛開始
我們最近同時處理了 3 個網站，情況幾乎一模一樣：早期被駭客植入過垃圾頁，源頭清除、系統檢查也確認沒有現行入侵，但網站一直很慢，老闆以為又被駭了。
95%
暫時開啟 15 分鐘請求紀錄後發現，約 95% 的請求來自 Googlebot，全部在抓以前的垃圾網址。
1.4–3 秒 → 0.2–0.3 秒
每個垃圾網址原本要讓 WordPress 跑完才回應找不到；改在主機層回 410 後，回應快了約十倍，也不再消耗 PHP 資源。
794MB → 164MB
同時清理與重建資料庫，其中一個網站的文章附加資料表縮小近八成，後台與前台查詢都變快。
三個網站處理後逐頁比對版面，前台與後台功能都正常。這個案例說明了一件事：垃圾頁的「源頭」清掉之後，Google 手上那份舊網址清單不會自己消失，它會一直回來抓，直到確認這些網址真的不存在。主動回應 410，才是把問題收尾。
很多網站的垃圾頁問題拖了很久，是因為只做了一半：清掉程式後就結束，或乾脆在 robots.txt 擋住 Google。前者讓網站一直被舊網址拖慢，後者讓垃圾收錄永遠留在搜尋結果。我們的做法是清源頭、補漏洞、主機層回 410、Search Console 收尾，最後再用一段時間的監控確認數量真的在下降。
清完之後多久會從 Google 消失？
這取決於垃圾網址的數量與網站被爬取的頻率。一般而言，Search Console 的移除工具可以在一天內先把指定網址從搜尋結果隱藏；回應 410 的網址會在 Google 下次抓取時逐步刪除，數量多的網站通常需要一到數個月才會完全消失。期間 Google 仍會回來抓，這是正常現象，只要回應是 410、而且數量逐週下降，就代表方向是對的。
清除成功的訊號：site: 搜尋的垃圾頁逐週變少、Search Console「已建立索引」的網址數回到正常範圍、成效報表不再出現外文垃圾關鍵字、網站速度恢復正常。
常見問題
網站打開看起來正常，為什麼 Google 會出現奇怪網址？
常見原因有兩個：一是垃圾頁使用「偽裝」手法，只顯示給搜尋引擎；二是源頭已經清除，但 Google 還保留著舊的收錄紀錄。兩種情況都需要處理，前者要找出並清除程式，後者要讓舊網址回應 410。
垃圾頁會影響我的 Google 排名嗎？
會。大量與業務無關的頁面會稀釋網站的主題相關性，若被 Google 判定為遭駭內容，還可能被手動處置或在搜尋結果加上警告。此外，搜尋引擎持續抓取垃圾網址，也會拖慢網站、浪費主機資源。
可以直接在 robots.txt 封鎖這些網址嗎？
不建議。robots.txt 封鎖後，Google 就無法抓取這些網址，也就看不到它們已經回應 410，已經被收錄的垃圾網址反而可能長期留在搜尋結果。正確做法是讓 Google 能抓取，並明確回應 410。
垃圾網址太多，可以一個一個用移除工具處理嗎？
移除工具適合處理少量、最明顯的網址，而且只是暫時隱藏。數量成百上千時，應該找出網址規律，在主機層統一回應 410，再搭配移除工具處理網址前綴。
清除之後還會再被植入嗎？
如果入侵的漏洞沒有補上，很快就會再被植入。清除後務必更新系統、外掛與 PHP，更改所有密碼並開啟雙重驗證，並在接下來 1 到 3 個月持續監控新增的網址。
搜尋你的公司，出現看不懂的網址？
甫東科技協助清除駭客垃圾頁：找出源頭、修補漏洞、主機層回應 410、Search Console 收尾，並提供清除後的監控報告。
預約免費資安健檢 →甫東科技有限公司｜高雄市大寮區鳳林一路 184 巷 20-11 號
電話 07-641-8686｜Email service@fulldot.com.tw
參考資料：Google 搜尋中心：HTTP 狀態碼如何影響 Google 搜尋、Search Console 說明：移除工具。
圖片來源：首圖電腦螢幕上的程式碼照片由 Chris Ried 攝影，取自 Unsplash，依 Unsplash License 免費使用；內文圖片為甫東科技授權圖庫。
