In questo Case Study analizzeremo uno dei casi più diffusi nel web di penalizzazione da parte di Google, il cloaking.
Le conseguenze per chi adotta o è stato colpito da questo genere di attacco variano a seconda della diffusione del malware e possono manipolare in SERP le pagine posizionate (cambio dei title e delle meta description) sino alla scomparsa completa dall’indice di ricerca.
In questo case study vedrai come diagnosticare una penalizzazione da cloaking e come ripristinare il traffico precedentemente acquisito.
Pronto? Inziamo.
Cos’è il cloaking?
Il cloaking è una tecnica SEO che consiste nel presentare contenuti o informazioni differenti agli utenti rispetto a quelli mostrati ai motori di ricerca.
L’obiettivo di questa tecnica è ingannare i motori di ricerca per ottenere un posizionamento migliore nelle pagine dei risultati di ricerca. Ad esempio, una pagina potrebbe mostrare un contenuto ricco di parole chiave e ottimizzato per i motori di ricerca quando è visitata da un crawler di Google, ma mostrare un contenuto completamente diverso, come annunci o pagine con scarsa qualità di contenuto, quando è visitata da un utente normale.
Google e altri motori di ricerca puniscono severamente il cloaking perché va contro le loro linee guida, mirando a garantire che gli utenti ricevano contenuti pertinenti e di qualità in risposta alle loro ricerche. L’uso del cloaking può portare a penalizzazioni per il sito web coinvolto, che possono andare dalla diminuzione della visibilità nelle SERP fino alla rimozione completa dell’indice del motore di ricerca.
Bene, dirai, mi sembra la scelta corretta nel caso in cui scelga deliberatamente di accollarmi il rischio di un’azione del genere. Ma quando non sei tu a decidere?
Quando il tuo sito viene preso di mira dagli hacker per trasferire il tanto sudato trust che ti sei guadagnato allora la scelta dei motori di ricerca non ti sembra più tanto legittima vero?
Diagnosi del problema
Il cliente lavora nel settore del fitness ed in seguito ad un’analisi approfondita del traffico aveva notato un calo drastico, sino ad azzerare del tutte le visite organiche.
La media di visite giornaliere analizzate su GA4 mostrava un numero medio di accessi di circa 600 utenti giornalieri. In seguito alla problematica riscontrata il numero medio di accessi al sito era sceso drasticamente a 4/5 utenti giornalieri.
Le analisi eseguite
I controlli eseguiti sul sito web includono l’utilizzo congiunto di diversi tool:
- Screaming Frog: attraverso l’analisi del dominio principale ho voluto verificare l’esistenza di problemi che avrebbero potuto compromettere la visibilità organica. Attraverso questo strumento è, infatti, possibile verificare la presenza di eventuali errori a livello On Site e On Page. Da una prima analisi non sono riuscito ad identificare problematiche di grande impatto che avrebbero potuto giustificare il calo organico delle visite;
- Log File Analysis di Screaming Frog: attraverso l’utilizzo di questo strumento è possibile verificare il comportamento di Googlebot all’interno delle pagine del sito web e comprendere meglio i codici di risposta delle pagine oltre che il numero di accessi alle stesse. In questa fase di analisi ciò che ho rilevato è stato semplicemente un calo drastico di accessi di googlebot al sito. I codici di risposta interni rimanevano corretti. Questo primo elemento mi ha fatto supporre che il sito fosse stato colpito da una penalizzazione;
- Google Search Console: lo strumento per eccellenza di comunicazione tra i siti web e Google. Ti consente di diagnosticare eventuali problematiche e suggerisce come andare a risolvere il problema. Il primo check effettuato è stato quello della scheda Azioni Manuali:
Il controllo dei Rendimento dei risultati di ricerca ha confermato il mio sospetto iniziale. Una penalizzazione automatica. Rimaneva solo da escludere un eventuale de-ranking determinato da un Core Update di Google.
- Seozoom: tool utilizzato per analizzare il calo di ranking delle keywords. Anche in questo caso il calo di ranking era abbastanza evidente.
Il de-ranking risultava essere avvenuto in corrispondenza del Core Update di Novembre 23. In questo mese oltre al Core Update è stato rilasciato anche un Update relativo alle Review. Analizzando il sentiment della rete e la natura dell’update ho escluso che il problema potesse essere causato da un aggiornamento algoritmico. - Analisi delle SERP: a questo punto ciò che ho voluto analizzare erano proprio i risultati di ricerca per il dominio in questione. Per farlo è sufficiente usare l’operatore site:nomedominio.it e ecco il risultato ottenuto:
L’ipotesi di un malware non era più un ipotesi. Tutti i risultati di ricerca mostravano un title ricorrente Daily Update. Nessuna dei title e meta description impostate nel sito erano correttamente lette da googlebot. - Analisi della cache di Google: attraverso l’utilizzo dell’operatore cache:nomedominio.it è possibile verificare il contenuto della pagina messa in cache da Google e diagnosticare eventuali problematiche che ne possono impedire l’indicizzazione e conseguentemente il posizionamento. Ed ecco il risultato:
Risoluzione della problematica
Prima di procedere con l’analisi tecnica del sito web e l’eventuale falla che aveva compromesso la sua sicurezza, ho voluto accertarmi che quanto conservato in cache da Google rispecchiasse la situazione attuale. Il test che voglio illustrarvi consente di diagnosticare immediatamente se un sito ha subito un attacco da un malware che ha installato uno script in grado di far visualizzare un contenuto differente a seconda se la pagina venga interrogata da un utente o dal bot di Google.
Per farlo è sufficiente seguire questi step:
- Dirigersi all’interno del sito da analizzare con Google Chrome;
- cliccare col tasto destro del mouse e dirigersi alla voce Ispeziona;
- cliccare sui tre puntini in alto a destra prima del pulsante di chiusura
- cliccare su More Tools > Network Conditions;
- dalla sezione User agent eliminare il flag da “Use default” e selezionare Googlebot;
- ricaricare la pagina
Con questo semplice test è possibile verificare se le vostre pagine sono affette da Cloaking.
diagnosticato il problema è necessario eseguire un’analisi delle risorse caricate in pagina per comprendere se esistono asset caricati esternamente e non riconosciuti. Nel mio caso erano presenti numerosi Java script provenienti per lo più da domini SPAM.
Ho installato e configurato una scansione avanzata con il plugin Wordfence che ha rilevato numerosi file infetti.
Identificati i file sono stati cancellati via FTP e voilà, il sito interrogato da user agent Googlebot stavolta mostrava correttamente la versione reale del sito web.
I risultati raggiunti
A distanza di poco meno di un mese dall’intervento il sito ha ripreso a rankare per le keyword su cui prima otteneva posizionamenti.
Anche la Search Console mostra segnali di ripresa incoraggianti
Per concludere
Diagnosticare un attacco hacker sul proprio sito web non è sempre semplice.
Occorre prevenire eventuali problematiche innanzitutto aggiornando sempre plugins o addons nel caso in cui utilizziate CMS per la creazione del vostro sito web, primo fra tutti WordPress.
Altro elemento importante è aggiornare tempestivamente il Core dei CMS. Non di rado gli sviluppatori nel corso di rilascio di nuove versioni lasciano vulnerabilità facilmente attaccabili. Per far fronte a questo problema vengono rilasciate patch o minor update che tendono a ripristinare la situazione.
Il consiglio più importante che mi sento di darti è proprio questo, aggiorna sempre alle ultime versioni plugin e Core, mantieni una versione di backup del sito web affinché, nel caso in cui un aggiornamento dovesse compromettere design o funzionalità, possa sempre tornare indietro agilmente.
Per migliorare la sicurezza del tuo sito web comincia a pensare a soluzioni hosting meno economiche ma con alti standard di sicurezza e con Firewall aggiornati. Personalmente per i miei siti web e quelli dei miei clienti scelgo sempre Cloudways.
Valuta di utilizzare un servizio di Proxy esterno per evitare di esporre il tuo IP al pubblico. La mia soluzione in questo caso è Cloudflare, che ti consente di fruire gratuitamente di un ottimo Firewall e gestire agevolmente i DNS (oltre ad altre centinaia di feature che non spiegheremo in questa sede).
In ultima istanza ti suggerisco di installare dei plugin di sicurezza come Wordfence o iThemes Security. Non sono la soluzione definitiva ma possono aiutarti a diagnosticare velocemente un eventuale infezione ed eliminare o ripristinare i file compromessi.
That’s all guys!