Cloaking là gì? Định nghĩa của Google, ví dụ và cách tự kiểm tra

Cloaking là gì? Theo chính sách về spam của Google, cloaking là hành vi hiển thị nội dung khác nhau cho người dùng và cho công cụ tìm kiếm nhằm thao túng thứ hạng và đánh lừa người dùng. Đây là một kỹ thuật điển hình của SEO mũ đen, bị Google xếp vào nhóm vi phạm có thể dẫn tới hạ thứ hạng hoặc loại khỏi kết quả tìm kiếm.

Điều nhiều chủ website không biết: đôi khi website của họ đang bị cloaking mà không hề hay biết, vì kẻ tấn công cài vào sau khi hack. Bài này giải thích các dạng cloaking, những trường hợp hiển thị nội dung khác nhau nhưng không bị coi là cloaking, hậu quả và cách tự kiểm tra.

Cloaking là gì theo định nghĩa của Google

Trong trang chính sách về spam trên Google Search Central, cloaking được định nghĩa là việc trình bày nội dung khác nhau cho người dùng và công cụ tìm kiếm với mục đích thao túng thứ hạng và đánh lừa người dùng. Hai ví dụ Google đưa ra:

• Cho công cụ tìm kiếm thấy một trang về điểm đến du lịch, trong khi người dùng thấy trang bán thuốc giảm giá.
• Chỉ chèn thêm chữ hoặc từ khóa vào trang khi yêu cầu đến từ công cụ tìm kiếm, không chèn khi người thật truy cập.

Chữ quan trọng trong định nghĩa là mục đích. Hiển thị khác nhau không tự động là cloaking. Cloaking là khi sự khác biệt nhằm khiến Google đánh giá trang theo một nội dung mà người dùng thực tế không nhận được.

Các dạng cloaking thường gặp

Google lưu ý trong chính sách rằng kẻ tấn công thường dùng cloaking để giấu việc website bị xâm nhập khỏi chính chủ website. Vì vậy, “tôi mở website thấy bình thường” không có nghĩa là website sạch.

Cloaking có họ hàng gần là chuyển hướng lén lút (sneaky redirects): gửi người dùng đến URL khác với URL mà công cụ tìm kiếm thấy. Trong Search Console, hai vi phạm này thường được gộp chung một thông báo thao tác thủ công.

Những trường hợp không bị coi là cloaking

Nhiều website hợp pháp vẫn hiển thị nội dung khác nhau theo người dùng. Theo tài liệu của Google, các trường hợp sau không bị xem là cloaking nếu làm đúng cách:

• Nội dung có tường phí (paywall): Google không coi là cloaking nếu Google thấy được toàn bộ nội dung phía sau tường phí giống như người có quyền truy cập, và website làm theo hướng dẫn Flexible Sampling. Google cũng có dữ liệu có cấu trúc dành cho nội dung trả phí để đánh dấu phần bị khóa.
• Phân phát động theo thiết bị: cùng URL trả mã HTML khác nhau cho điện thoại và máy tính, kèm header Vary: User-Agent. Điều kiện là nội dung chính tương đương giữa các phiên bản.
• Nội dung theo vị trí hoặc ngôn ngữ: Google cho biết Googlebot mặc định thu thập từ địa chỉ IP ở Mỹ, và khuyên đối xử với Googlebot giống như người dùng đến từ cùng quốc gia đó. Nếu người dùng Mỹ thấy phiên bản A thì Googlebot từ Mỹ cũng thấy phiên bản A.
• Kết xuất động (dynamic rendering): Google cho biết thường không coi đây là cloaking nếu nội dung trả cho bot tương tự nội dung người dùng thấy. Tuy nhiên Google cũng nói rõ đây là giải pháp tạm, không được khuyến nghị; nên ưu tiên kết xuất phía máy chủ hoặc kết xuất tĩnh.
• Thử nghiệm A/B: hợp lệ nếu không phân biệt Googlebot với người dùng, dùng rel=”canonical” về URL gốc, dùng chuyển hướng 302 cho biến thể và kết thúc thử nghiệm khi đã có kết quả.
• Cá nhân hóa cho người dùng đã đăng nhập: giỏ hàng, lịch sử xem, gợi ý riêng không phải cloaking, miễn phần nội dung công khai mà Google lập chỉ mục cũng là thứ người dùng mới nhìn thấy.

Câu hỏi kiểm tra đơn giản: nếu một người dùng bình thường, ở cùng vị trí và cùng thiết bị với Googlebot, mở trang này, họ có thấy về cơ bản cùng nội dung mà Google đang dùng để xếp hạng không? Nếu có, bạn an toàn.

Hậu quả khi website bị phát hiện cloaking

• Thao tác thủ công: nhân viên của Google có thể áp dụng biện pháp xử lý với từng trang hoặc cả website. Bạn sẽ thấy thông báo trong báo cáo Thao tác thủ công của Search Console, nêu vi phạm về cloaking hoặc chuyển hướng lén lút.
• Hạ thứ hạng hoặc bị loại khỏi kết quả: các hệ thống tự động của Google cũng phát hiện spam, có thể làm trang hoặc website mất thứ hạng mà không có thông báo nào.
• Mất niềm tin người dùng: người dùng bấm vào kết quả mà bị đưa đến nội dung khác sẽ rời đi ngay và nhớ tên miền như một website đáng ngờ.
• Cảnh báo bảo mật: với website bị hack, trình duyệt có thể hiện cảnh báo, khiến lượng truy cập giảm mạnh trên mọi kênh.

Cloaking là một trong những kỹ thuật tiêu biểu của SEO mũ đen: có thể mang lại kết quả ngắn hạn nhưng rủi ro mất toàn bộ công sức. Ngược lại, SEO mũ trắng chấp nhận đi chậm hơn nhưng không phải lo bị phạt.

Cách tự kiểm tra website có bị cloaking không

1. Dùng công cụ Kiểm tra URL trong Search Console: nhập URL, bấm kiểm tra URL đang hoạt động, rồi xem trang đã kiểm tra: mã HTML và ảnh chụp màn hình Google thấy. So với trang bạn mở trên trình duyệt.
2. Tìm với toán tử site: gõ site: kèm tên miền trên Google. Nếu thấy tiêu đề hoặc đoạn mô tả không phải do bạn viết, như tên thuốc, cá cược, ký tự lạ, rất có thể website đã bị cài nội dung.
3. Mở từ kết quả Google trên điện thoại: một số mã độc chỉ chuyển hướng người dùng đến từ Google, trên điện thoại. Mở trực tiếp bằng địa chỉ sẽ không thấy gì.
4. Xem báo cáo Vấn đề bảo mật và Thao tác thủ công trong Search Console.
5. Kiểm tra máy chủ: các tệp cấu hình như .htaccess, mã trong theme và plugin, tài khoản quản trị lạ, tệp mới được sửa gần đây.

Lưu ý: giả chuỗi nhận dạng Googlebot bằng tiện ích trình duyệt chỉ phát hiện được cloaking theo user agent. Cloaking theo IP chỉ lộ ra khi xem bằng chính công cụ của Google. Nếu website không có trên Google hoặc bị rớt nhiều trang, xem thêm cách kiểm tra Google index.

Xử lý khi phát hiện cloaking

1. Xác định nguồn: do mình cố ý cài, do đơn vị làm SEO cũ cài, hay do bị hack.
2. Gỡ toàn bộ mã phân biệt bot và người dùng, xóa nội dung spam, đóng lỗ hổng, đổi mật khẩu quản trị, máy chủ và cơ sở dữ liệu.
3. Kiểm tra lại bằng công cụ Kiểm tra URL cho các trang bị ảnh hưởng.
4. Nếu có thao tác thủ công, gửi yêu cầu xem xét lại trong Search Console, mô tả cụ thể đã sửa những gì.
5. Theo dõi báo cáo lập chỉ mục và hiệu suất trong những tuần tiếp theo.

Câu hỏi thường gặp

Hiển thị nội dung khác nhau cho điện thoại và máy tính có phải cloaking không?

Không, nếu nội dung chính tương đương và Googlebot cho điện thoại thấy cùng bản mà người dùng điện thoại thấy. Cloaking là khi sự khác biệt nhằm đánh lừa công cụ tìm kiếm.

Paywall có bị Google coi là cloaking không?

Không, nếu Google thấy được toàn bộ nội dung phía sau paywall như người có quyền truy cập và website làm theo hướng dẫn Flexible Sampling của Google.

Làm sao biết website bị hack kiểu cloaking?

Dấu hiệu thường gặp là kết quả tìm kiếm của website hiện tiêu đề lạ, trong khi mở trực tiếp thấy bình thường. Kiểm tra bằng công cụ Kiểm tra URL, toán tử site: và báo cáo Vấn đề bảo mật trong Search Console.

Bị phạt vì cloaking có khôi phục được không?

Có thể. Sau khi gỡ hết vi phạm, bạn gửi yêu cầu xem xét lại nếu có thao tác thủ công. Thời gian phục hồi thứ hạng không cố định và phụ thuộc mức độ vi phạm.

Dùng cloaking để lên top nhanh có đáng không?

Không đáng. Cloaking vi phạm chính sách spam của Google, và Google phát hiện spam bằng cả hệ thống tự động lẫn đánh giá thủ công. Khi bị phát hiện, website có thể mất thứ hạng hoặc bị loại khỏi kết quả, kéo theo toàn bộ công sức trước đó.