Website beveiligen tegen Google spam update: checklist 2026

Zie je sinds eind september minder bezoek uit Google? Dan is de kans groot dat je de spam update van september 2026 verdenkt. Veel mensen zoeken nu op een "november spam update", maar die is er niet: Google rondde de september-update in oktober af, en wat daarna bewoog zijn onbevestigde schommelingen^[2].

Je website beveiligen tegen de Google spam update begint bij een vraag die bijna niemand stelt: staat er spam op je site die jij er niet op hebt gezet? Een gehackte WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.-site met geïnjecteerde casinopagina's valt voor Google onder hetzelfde spambeleid als een site die bewust trucs uithaalt. Deze checklist loopt van de beveiligingskant naar de inhoudelijke regels, zodat je weet of je geraakt bent, waardoor, en wat herstel wel en niet versnelt.

Wat er gebeurde: de spam update van 24 september tot 8 oktober 2026

Google startte de September 2026 spam update op 24 september en meldde op 8 oktober dat de uitrol klaar was. De update gold wereldwijd en voor alle talen, dus ook voor Nederlandstalige sites^[1].

Het was de vierde spam update van 2026^[3], en veruit de langste. De eerdere drie van dit jaar duurden 19,5 uur (maart), 2 dagen en 1 uur (juni) en 2 dagen en 16 uur (augustus). Deze keer stond de teller op 13 dagen en 16 uur^[1]. Daardoor liepen dalingen bij veel sites in golven, in plaats van in één klap.

Wat een spam update doet

Bij een spam update scherpt Google zijn geautomatiseerde spamsystemen aan, waaronder SpamBrain. Die beoordelen sites tegen de spambeleidsregels; dat zijn er 16, voor het laatst bijgewerkt op 28 augustus 2026^[4]. Een core update herweegt de kwaliteit van alle content. Een spam update zoekt gericht naar overtredingen, zoals gehackte pagina's, gekochte links en massaal gegenereerde pagina's zonder waarde.

En in november?

Per 2 november stond er niets nieuws op Google's statuspagina. De bewegingen die SEOKeurigOnline zegtSEOSEO (search engine optimization) is het beter vindbaar maken van je website in de onbetaalde zoekresultaten.-trackers sindsdien meten zijn onbevestigd, terwijl de sector wacht op de volgende core update^[2]. Zie je pas na half oktober een daling, dan is de spam update dus minder waarschijnlijk als oorzaak. Gebruik in dat geval de algemene aanpak uit ons artikel over je website voorbereiden op een Google algoritme-update.

Ben je geraakt? Leg je data naast de drie golven

Trackers zagen de meeste beweging op 25 tot 27 september, rond 30 september en op 4 tot 6 oktober^[5][6]. Dat zijn je ijkpunten.

Hoe groot was de impact?

Diib mat bij 32.569 sites dat het mediane aandeel bezoek uit organisch Google zakte van 34% naar 31%. Het aandeel sites dat de helft of meer van dat verkeer verloor, steeg van 5% naar 10%^[1]. Diib noemt dit zelf "an early read, not a verdict". Het gaat om een wereldwijde steekproef; Nederlandse cijfers zijn er niet.

Handmatige actie of algoritme? Dit bepaalt je herstelroute

Een spam update stuurt geen melding. Alleen een handmatige actie, opgelegd door een medewerker van Google, verschijnt in Search ConsoleKeurigOnline zegtSearch ConsoleSearch Console is een gratis dienst van Google die laat zien hoe je website presteert in de zoekresultaten van Google. onder Beveiliging en handmatige acties > Handmatige acties. Alleen dan kun je een heroverwegingsverzoek indienen^[7]. Kijk daar dus als eerste: het verschil bepaalt wat je daarna doet.

Google beoordeelt een heroverwegingsverzoek in "several days or weeks", en verzoeken over links duren langer. Los je maar een deel van de problemen op, dan levert dat geen gedeeltelijk herstel op^[7].

Verifieer je site nu in Search Console

Op 26 oktober 2026 breidde Google zijn richtlijnen over spam door gebruikers uit. Ze gaan nu ook over tools en platforms waarmee gebruikers zelf pagina's publiceren. Google raadt aan je site te verifiëren in Search Console, zodat je meldingen ontvangt^[8]. Volgens Search Engine Journal wijst dit op een bredere aanpak, met mogelijk meer handmatige acties^[9]. Zonder geverifieerde property mis je zo'n melding volledig.

Checklist stap 1: staat er spam op je site die jij niet hebt geplaatst?

Dit is de meest onderschatte oorzaak van een "spamstraf". Google's spambeleid noemt gehackte content expliciet: code-injectie, pagina-injectie, content-injectie en redirects die een aanvaller heeft geplaatst^[10]. Dat je zelf slachtoffer bent, verandert niets aan de beoordeling. De spam staat op jouw domein, dus jouw site daalt.

Een hack valt vaak niet op, omdat de aanvaller zijn pagina's verbergt voor de eigenaar. Je homepage ziet er normaal uit, terwijl Google duizenden pagina's met pillen- of casinoteksten indexeert.

Vijf controles die je vandaag doet

1. Zoek met site:. Typ in Google site:jouwdomein.nl casino, en herhaal dat met termen als viagra, replica en loan. Let ook op Japanse of Chinese tekens in titels en op mappen die je niet kent.
2. Open Beveiligingsproblemen in Search Console, onder Beveiliging en handmatige acties. Google meldt daar gehackte content en malwareKeurigOnline zegtMalwareMalware is kwaadaardige software die een computer, server of website besmet om gegevens te stelen, te schaden of te misbruiken. die het heeft gevonden.
3. Bekijk Indexering > Pagina's. Een plotselinge piek in het aantal geïndexeerde pagina's, terwijl je niets publiceerde, is een klassiek teken van injectie.
4. Lees je zoekopdrachten onder Prestaties. Vertoningen op onderwerpen waar je nooit over schreef, wijzen op pagina's die niet van jou zijn.
5. Test redirects zoals een bezoeker. Sommige hacks sturen alleen mobiele bezoekers of bezoekers die via Google komen door. Zoek je site op je telefoon in een incognitovenster en klik op een zoekresultaat.

Controleer daarna in WordPress onder Gebruikers of er beheerders zijn die je niet kent, en kijk via SFTPKeurigOnline zegtSFTPSFTP (SSH File Transfer Protocol) is een protocol om bestanden over een versleutelde SSH-verbinding over te zetten. of je bestandsbeheer welke PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering.-bestanden recent zijn gewijzigd zonder dat jij iets hebt aangepast.

Waarom "ik update wel eens" niet genoeg is

Patchstack telde 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem in 2025, 42% meer dan het jaar ervoor. 91% daarvan zat in plugins, en 46% was nog niet gepatcht op het moment van publicatie. De gewogen mediane tijd tot massale exploitatie was 5 uur^[11]. Wie eens per maand updatet, loopt dus weken achter op aanvallers die binnen een werkdag scannen. Lees in je WordPress-updateproces beveiligen tegen RCE hoe je dat gat dichtzet.

Checklist stap 2: reacties, profielen en andere gebruikerscontent

Alles wat bezoekers op je site kunnen publiceren, telt voor Google als content van jouw site. De richtlijn van 26 oktober 2026 noemt daarbij nu ook tools en platforms waarmee gebruikers pagina's aanmaken. Google adviseert om alleen content te laten indexeren die voor Search bedoeld is, en om te letten op pieken in geïndexeerde pagina's of vreemde zoekopdrachten^[8].

Waar gebruikersspam zich verstopt

• Reacties onder blogberichten, vaak jaren oud en vol links naar gokpagina's.
• Gebruikersprofielen in WooCommerceKeurigOnline zegtWooCommerceWooCommerce is de gratis e-commerce plugin voor WordPress. Bouw een professionele webshop met producten, betalingen en verzending — zonder technische kennis., BuddyPress of een ledenplugin, met een spamlink in de bio.
• Forum- en ledenpagina's waar iedereen zonder controle een onderwerp kan starten.
• Interne zoekresultaatpagina's (/?s=...) die Google indexeert, waardoor spammers via jouw zoekfunctie pagina's met hun tekst laten ontstaan.

Zo ruim je het op

1. Zet een noindex op profielen, zoekresultaten en andere pagina's die niet voor Google bedoeld zijn.
2. Zet reacties op handmatige goedkeuring, of sluit ze op berichten ouder dan een paar maanden.
3. Verwijder spamprofielen en spamreacties in bulk. Controleer daarna met site:jouwdomein.nl/author/ of je profielpagina's nog in de index staan.

Formulierspam van bots is vooral hinderlijk voor je inbox en raakt je posities zelden, zolang die inzendingen niet als pagina op je site verschijnen. Een honeypot-veld of een CAPTCHAKeurigOnline zegtCaptchaCaptcha is een beveiligingstest die onderscheid maakt tussen mensen en geautomatiseerde programma's (bots). op je contactformulier houdt het merendeel tegen.

Checklist stap 3: massapagina's en AI-content

Scaled content abuse is het beleid tegen grote aantallen pagina's die vooral bestaan om in zoekresultaten te verschijnen en de lezer weinig bieden^[10]. Google beoordeelt de waarde van die pagina's. Of een mens, een sjabloon of een AI-model de tekst schreef, maakt voor het beleid geen verschil.

AI-content is dus niet automatisch spam. Google schrijft in zijn documentatie inmiddels wel dat je AI-content moet factchecken en reviewen, en waarschuwt tegen nep-auteurschap, zoals verzonnen auteurs met een verzonnen bio^[2].

Herken massapagina's op je eigen site

• Groepen pagina's die alleen een plaatsnaam wisselen: "Loodgieter Groningen", "Loodgieter Assen", "Loodgieter Emmen", met verder dezelfde tekst.
• Productpagina's met de letterlijk overgenomen tekst van de leverancier, die op honderden andere webshops ook staat.
• Dunne tag- en categoriepagina's met twee berichten en geen eigen inleiding.
• Blogberichten die met AI zijn gemaakt en nooit door iemand met kennis van zaken zijn gecontroleerd.

Kies per groep: samenvoegen, verbeteren of weghalen

Voeg pagina's die hetzelfde zeggen samen tot één sterke pagina en zet een 301-redirectKeurigOnline zegtRedirectEen redirect stuurt bezoekers automatisch door naar een andere webpagina. op de rest. Verbeter pagina's die bezoekers echt nodig hebben met eigen ervaring, prijzen, foto's of voorbeelden. Zet een noindex op pagina's die je voor bezoekers wilt houden maar die Google niets toevoegen, en verwijder wat niemand mist.

Checklist stap 4: links en site-reputatie

Linkspam omvat gekochte links die geen rel="sponsored" of rel="nofollow" dragen, grootschalige linkruil en links die je via betaalde gastblogs laat plaatsen^[10]. Loop je eigen uitgaande links na: verkoop je advertorials of partnerberichten, zet dan rel="sponsored" op de links daarin.

Stel je verwachting hierop bij. Google schrijft dat na een link-spamupdate het voordeel van die spamlinks niet terugkomt^[12]. Steunden je posities op gekochte links, dan is het lagere niveau waarschijnlijk de nieuwe normaal. Herstel komt dan alleen van nieuwe, verdiende links en betere content.

Content van derden op je domein

Site reputation abuse gaat over pagina's van derden die meeliften op de reputatie van jouw domein, zoals een "kortingscodes"-sectie die een externe partij voor je vult. Google paste dit beleid voor de EER aan^[10]. Volgens Dr. Web legt Google in de EER sinds 30 augustus onder dit beleid geen handmatige acties meer op, maar beoordelen de algoritmes het wel^[13]. Ga er dus niet van uit dat zulke secties in Nederland zonder gevolgen blijven.

Herstel: wat wel helpt en wat niet

Google belooft geen termijn. Aanpassingen helpen "if our automated systems learn over a period of months" dat je site zich aan het beleid houdt^[12]. Reken dus op maanden, en besteed die tijd aan de oorzaak.

Een back-up terugzetten na een hack

Een back-up terugzetten kan een hack in één keer ongedaan maken, maar alleen met een herstelpunt van vóór de besmetting. Controleer daarom eerst wanneer de eerste vreemde pagina's in je index of je bestanden opdoken. Het lek blijft na het terugzetten open: werk direct alles bij, anders staat dezelfde spam er binnen een paar dagen opnieuw. Het volledige stappenplan staat in malware van je website verwijderen.

Waar hosting helpt, en waar niet

Hosting voorkomt geen spamstraf. Wel bepaalt je server hoe snel een hack wordt opgemerkt en hoe makkelijk je terug kunt naar een schone versie.

• Imunify360KeurigOnline zegtImunify360Imunify360 is een uitgebreide beveiligingssuite voor Linux webservers met AI-aangedreven malware scanning. scant op onze pakketten doorlopend op malware, en de firewallKeurigOnline zegtFirewallEen firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. blokkeert verdachte verzoeken.
• Dagelijkse back-ups: bij onze webhosting heb je 7 herstelpunten en zet je een versie met één klik terug.

De site zelf blijft van jou: plugins, thema, reacties en content beheer je zelf. Wil je dat uit handen geven? Bij WordPress-onderhoud (vanaf €20 per maand per site, excl. btw) voeren wij de updates uit en scannen we dagelijks op malwareKeurigOnline zegtMalwareMalware is kwaadaardige software die een computer, server of website besmet om gegevens te stelen, te schaden of te misbruiken.. Wordt je site toch gehackt, dan verwijderen we de malware en herstellen we je site zonder extra kosten, binnen het contract.

Veelgestelde vragen