クローキングとは

クローキングの仕組み

クローキング（Cloaking）は「覆い隠す」という意味の言葉です。サイトにアクセスしてきた相手が、検索エンジンのロボット（クローラー）なのか人間なのかを見分けて、表示する内容を切り替えます。

たとえるなら、検査官が来たときだけ店先の看板を掛け替える店のようなものです。普段の客と検査官とで見ている店が違うため、外から一度見ただけでは問題に気づけません。

相手の見分けには、ブラウザやクローラーが名乗る名前（ユーザーエージェント）、アクセス元のIPアドレス、どのページから来たかといった情報が使われます。Googleはクローキングを検索のスパムポリシーに違反する行為としており、ハッキングされたサイトで、持ち主に気づかれないようにするために使われることも珍しくないと説明しています。

WordPressサイトでの例

WordPressサイトが改ざんされると、次のような形でクローキングが仕込まれることがあります。

• 検索エンジンにだけスパムを見せる：Googleのクローラーには、薬や偽ブランド品などのSEOスパムを含むページを返し、人間には普段どおりのページを見せる
• 検索から来た人だけを転送する：Googleの検索結果から訪れた人だけを詐欺サイトへ送り、URLを直接入力した人やブックマークから開いた人には何もしない。Googleは不正リダイレクトとして別に扱いますが、相手で見せる内容を変える点は同じです
• 管理者には見せない：WordPressにログイン中の人や、特定のIPアドレスからのアクセスには、正常なページを表示する

サイトの持ち主が自分で開くと何も問題がないように見えるため、気づいたときには検索結果に見覚えのないページが並んでいた、ということが起こります。

見つけ方・確認方法

• Googleで site:自分のドメイン と検索し、検索結果のタイトルや説明文に見覚えのない言葉が出ていないか確認する
• Google Search Console の「URL検査」で、Googleから見たページの内容を確認する
• ログアウトした状態で、スマートフォンなど普段と違う端末から、検索結果のリンクを経由してサイトを開いてみる
• Search Console の「セキュリティの問題」に警告が出ていないか確認する

自分のブラウザで見たときと、Googleから見たときとで内容が違えば、クローキングが疑われます。

対策

クローキングは侵入された結果として仕込まれるものなので、見つかった場合は、不正なコードの削除と侵入経路の特定が必要です。.htaccess やテーマの functions.php など、表示の切り替えに使われやすいファイルもあわせて確認します。

• WordPress本体・テーマ・プラグインを最新の状態に保つ
• ファイルの改ざん検知の仕組みを入れ、不審な書き換えにすぐ気づけるようにする
• 定期的に site: 検索や Search Console で、Googleから見た自分のサイトを確認する

自分で原因を特定できない場合は、専門業者に相談することも検討してください。