WordPress Japonca SEO Spam Hack'i: Belirtiler ve Temizleme

Google'da sitenizi aradığınızda sonuçlarda Japonca başlıklar, marka ürünü satan sayfalar ve sizin hiç oluşturmadığınız adresler görüyorsanız, siteniz büyük olasılıkla Japonca SEO spam saldırısına uğramıştır. Bu saldırının en sinsi yanı, sitenizin size ve çoğu ziyaretçiye tamamen normal görünmesidir.

Japonca SEO spam, İngilizce kaynaklarda "Japanese keyword hack" olarak bilinir. Saldırgan sitenizin itibarını kullanarak kendi sayfalarını Google'da sıralatır; siz ise sıralama kaybı, marka zararı ve Google'ın güvenlik uyarıları ile baş başa kalırsınız. Bu rehberde belirtileri, gizlenme kontrolünü, temizliği ve Google dizinini toparlamayı adım adım anlatıyoruz.

Japonca SEO spam saldırısı nasıl çalışır?

Saldırgan önce siteye erişim kazanır; çoğunlukla güncel olmayan bir eklentideki açık ya da çalınmış bir şifre üzerinden. Ardından sunucuya, istek geldiğinde anında Japonca sayfa üreten bir betik yerleştirir. Bu sayfalar genellikle rastgele klasör ve parametrelerle binlerce farklı adreste yayınlanır.

• Gizlenme (cloaking): Sahte sayfalar çoğu zaman yalnız Googlebot'a gösterilir. Siz ya da müşteriniz aynı adrese girdiğinizde ana sayfa veya 404 görürsünüz.
• Kendi site haritası: Saldırgan, sahte sayfaların hızla dizine girmesi için site haritası üretir.
• Search Console sahipliği: Bazı saldırılarda saldırgan sitenize doğrulama dosyası yükleyip kendini Search Console'a sahip olarak ekler ve site haritalarını oradan gönderir.

Benzer yöntemle çalışan ve anlamsız kelimeler ya da gizli anahtar kelime sayfaları üreten türler de vardır; temizlik adımları hepsinde aynıdır.

Bu saldırılar çoğunlukla hedef seçmez. Otomatik tarayıcılar bilinen eklenti açıklarını ve zayıf şifreleri binlerce sitede aynı anda dener; açığı olan her site, büyüklüğünden bağımsız olarak listeye girer. Küçük bir kurumsal sitenin ya da uzun süredir güncellenmemiş bir blogun hedef olması bu yüzden şaşırtıcı değildir.

Belirtiler: siteniz etkilendi mi?

• Google'da site:alanadiniz.com araması Japonca başlıklar ve açıklamalar gösteriyor.
• Search Console'daki Performans raporunda sitenizle ilgisiz Japonca sorgular var.
• Sayfalar (dizin oluşturma) raporunda tanımadığınız binlerce adres ve dizindeki sayfa sayısında ani artış görünüyor.
• Site haritaları ekranında sizin göndermediğiniz site haritaları var.
• Ayarlar → Kullanıcılar ve izinler ekranında tanımadığınız bir sahip ya da kullanıcı var.
• Güvenlik sorunları raporunda saldırıya uğramış içerik bildirimi, arama sonuçlarında "Bu site saldırıya uğramış olabilir" notu görünüyor.
• Sunucu kaynak kullanımı ve disk alanı nedensiz biçimde arttı.

Gizlenmeyi kontrol edin: Google ne görüyor?

Spam sayfaları kendi tarayıcınızda göremiyorsanız bu, sitenin temiz olduğu anlamına gelmez. Google'ın gördüğünü görmek için şu yöntemleri kullanın:

• URL denetimi: Search Console'da şüpheli bir adresi denetleyin, Canlı URL'yi test et deyin ve "Test edilen sayfayı görüntüle" ile Googlebot'a dönen HTML'i inceleyin.
• Kullanıcı aracısı testi: Komut satırında curl -A "Googlebot" https://alanadiniz.com/supheli-adres ile isteği Googlebot gibi gönderin. Bazı saldırılar IP adresine de baktığı için bu test tek başına yeterli değildir.
• .htaccess dosyası: HTTP_USER_AGENT ya da HTTP_REFERER koşuluna bağlı yeniden yazma kuralları gizlenmenin tipik işaretidir.

Sahte adreslerin listesini çıkarın

Temizlikten sonra hangi adreslerin 404 ya da 410 döndürmesi gerektiğini bilmek, dizini toparlamanın ilk şartıdır. Listeyi şu kaynaklardan çıkarın:

• Search Console'daki Sayfalar ve Performans raporlarını dışa aktarın; Japonca başlıklı ya da tanımadığınız adresleri ayıklayın.
• Sunucu erişim kayıtlarında Googlebot'un istediği adresleri inceleyin; sahte sayfalar genellikle ortak bir klasör, dosya adı ya da parametre deseni taşır.
• Bulduğunuz deseni not edin: hem Kaldırmalar aracında önek olarak hem de temizlik sonrası kontrolde işinize yarar.

Adım adım temizlik

1. Yedek alın, erişimleri kapatın

Sitenin mevcut hâlinin tam yedeğini (dosyalar ve veritabanı) alıp sunucu dışına indirin. Ardından hosting paneli, FTP/SFTP, veritabanı ve WordPress yönetici şifrelerini değiştirin, wp-config.php'deki güvenlik anahtarlarını yenileyin ve yönetici hesaplarında iki adımlı doğrulamayı açın.

2. Search Console'daki yabancı sahipleri ve izlerini kaldırın

Ayarlar → Kullanıcılar ve izinler ekranından tanımadığınız sahipleri kaldırın. Yalnızca kullanıcıyı silmek yetmez: saldırganın doğrulama belirtecini de kaldırın. Belirteç genellikle site kök dizinindeki google ile başlayan bir HTML dosyası, tema başlığına eklenmiş bir meta etiketi ya da DNS'teki bir TXT kaydıdır. Belirteç yerinde kalırsa saldırgan kendini yeniden doğrulayabilir. Ardından Site haritaları ekranından sizin göndermediğiniz site haritalarını silin.

3. Spam üreten dosyaları ve kuralları bulun

• Kök dizindeki .htaccess dosyasında sahte adresleri bir PHP dosyasına yönlendiren kurallar.
• index.php ve wp-blog-header.php gibi çekirdek dosyalara eklenmiş satırlar.
• Kök dizinde, uploads klasöründe ya da wp-includes içinde rastgele adlı PHP dosyaları.
• Önbellek görünümlü gizli klasörlerde saklanan binlerce hazır HTML sayfası.
• Temanın functions.php dosyası ve wp-content/mu-plugins klasörü.
• Silinen dosyaları yeniden oluşturan zamanlanmış görevler: hem hosting panelindeki cron işleri hem de WordPress'in kendi zamanlanmış görevleri.

Çekirdek dosyaları elle düzeltmek yerine wp core verify-checksums ile değişenleri tespit edip WordPress'i resmi kopyayla yeniden yükleyin; eklentileri de resmi kaynaklarından silip yeniden kurun.

4. Veritabanını kontrol edin

Bazı türler sahte sayfaları dosya yerine veritabanına yazar. wp_posts tablosunda Japonca içerikli ya da sizin oluşturmadığınız yazı ve sayfaları, wp_options tablosunda tanımadığınız ayarları ve wp_users tablosunda yabancı hesapları arayın.

5. Açığı kapatın

Temizlik, giriş kapısı kapanmadıkça kalıcı olmaz. Eklentileri ve temayı güncelleyin, kullanmadıklarınızı silin, lisanssız (nulled) yazılımları resmi sürümleriyle değiştirin ve dosya izinlerini düzeltin. Saldırının nasıl başladığını anlamak için sunucu erişim kayıtlarını inceleyin; ayrıntılı kontrol listesi site hacklendi ne yapmalı rehberimizde.

Google dizinini toparlama

Site temizlendikten sonra Google'ın sahte adresleri dizinden çıkarması gerekir. Bu süreç, adresleri yeniden taradıkça ilerler; doğru sinyalleri vermek hızlandırır.

• Sahte adresler 404 ya da 410 döndürmeli. 410 (Gone) yanıtı sayfanın kalıcı olarak kaldırıldığını açıkça söyler; 404 de zamanla aynı sonucu verir. Sahte adresleri ana sayfaya yönlendirmeyin: Google bunu "yumuşak 404" sayar ve süreç uzar.
• robots.txt ile engellemeyin. Engellenen adresi Google tarayamaz, 404 ya da 410 yanıtını da göremez; adres dizinde daha uzun kalabilir.
• Site haritanızı yenileyin. Yalnızca gerçek sayfalarınızı içeren site haritasını Search Console'a yeniden gönderin.
• Acil durumda Kaldırmalar aracını kullanın. Search Console'daki Kaldırmalar aracı, belirli bir önekle başlayan adresleri arama sonuçlarından yaklaşık altı ay süreyle gizler. Bu kalıcı çözüm değildir; asıl kaldırma 404 ya da 410 ile olur.
• Güvenlik sorunu ya da manuel işlem varsa inceleme isteyin. Spam kaynaklı "saldırıya uğramış" işaretlerinde inceleme birkaç hafta sürebilir.

Binlerce sahte adresin dizinden tamamen çıkması haftalar, büyük sitelerde birkaç ay sürebilir. Bu süreçte Sayfalar raporunda "Bulunamadı (404)" sayısının artması beklenen bir durumdur ve sorun değildir.

Temizliği doğrulayın

• Listeden seçtiğiniz birkaç sahte adresi curl -I ile isteyin; yanıtın 404 ya da 410 olduğunu görün.
• URL denetiminin canlı testini aynı adreslerde tekrarlayın; Googlebot'a artık sahte içerik değil, hata yanıtı dönmelidir.
• Performans raporundaki Japonca sorguların ve dizindeki sayfa sayısının haftalar içinde azaldığını izleyin.

Tekrar etmemesi için

• WordPress çekirdeğini, eklentileri ve temayı güncel tutun.
• Search Console e-posta bildirimlerini açık tutun ve ayda bir site: aramasıyla dizini kontrol edin.
• Dosya değişikliği izleme ve web uygulaması güvenlik duvarı (WAF) kullanın.
• Yönetici hesaplarında iki adımlı doğrulamayı zorunlu yapın.
• Kullanmadığınız eklenti ve temaları silin; etkin olmasalar da sunucuda durdukları sürece saldırı yüzeyidir.
• Search Console'daki kullanıcı listesini ve site haritalarını ayda bir gözden geçirin.

WordPress virüs temizleme hizmetimizde Japonca ve Çince sahte dizin kayıtları ile bağlantılar silinir, sahte adresler 410 yanıtıyla Google'a bildirilir. Sitenizin dışarıdan görünen durumunu ücretsiz site analiziyle kontrol edebilir, Google kırmızı ekran uyarısı da aldıysanız yanıltıcı site uyarısı rehberimize göz atabilirsiniz.

Sıkça Sorulan Sorular

Japonca spam sayfalarını neden ben göremiyorum?

Saldırı çoğunlukla gizlenme (cloaking) kullanır: sahte içerik yalnız Googlebot'a ya da aramadan gelen ziyaretçiye gösterilir. Search Console'daki URL denetimi aracının canlı testi, Google'ın gördüğü içeriği gösterir.

Sahte adresleri ana sayfaya yönlendirmeli miyim?

Hayır. Sahte adresler 404 ya da 410 döndürmelidir. Ana sayfaya yönlendirme Google tarafından yumuşak 404 sayılır ve dizinden çıkmayı yavaşlatır.

Temizlikten sonra Japonca sonuçlar ne zaman kaybolur?

Google adresleri yeniden taradıkça kaybolur; bu genellikle haftalar sürer. Kaldırmalar aracı acil durumda sonuçları geçici olarak gizleyebilir.

robots.txt ile sahte adresleri engellemek işe yarar mı?

Hayır. Engellenen adresi Google tarayamaz ve kaldırıldığını göremez; sonuç dizinde daha uzun kalabilir.

Search Console'da tanımadığım bir sahip var, silmem yeterli mi?

Yeterli değil. Kullanıcıyı kaldırdıktan sonra doğrulama belirtecini de silin; kök dizindeki doğrulama dosyası, meta etiketi ya da DNS kaydı kalırsa saldırgan kendini yeniden ekleyebilir.