クローキングとは？仕組み・種類・ペナルティと対策を徹底解説
「クローキングって何がダメなの？」「自分のサイトが知らないうちにクローキングになっていたらどうしよう」——クローキング（Cloaking）とは、検索エンジンのクローラーとユーザーに異なるコンテンツを表示する手法のことで、Googleのスパムポリシーに明確に違反するブラックハットSEOの代表格です。
発覚すれば検索順位の大幅な下落やインデックスからの完全な削除といった重大なペナルティが科される危険な手法ですが、実はハッキング被害や技術的なミスによって意図せずクローキング状態になってしまうケースも存在します。この記事では、クローキングの仕組みから種類、ペナルティの実態、そして自分のサイトを守るための具体的な確認方法と対策まで徹底的に解説します。
クローキングとは？——Googleが最も嫌うスパム手法
クローキングとは、検索エンジンのクローラー（Googlebotなど）に対して表示するコンテンツと、実際にユーザーがブラウザで見るコンテンツを意図的に異なるものにする行為です。
Googleのスパムポリシーでは、クローキングを次のように定義しています。「検索ランキングを操作し、ユーザーを欺く意図で、ユーザーと検索エンジンに異なるコンテンツを提示する行為」です。
わかりやすく例えると、レストランの看板には「本格フランス料理」と書いてあるのに、実際に入店するとファストフード店だった——というようなものです。検索エンジンには「高品質なコンテンツ」を見せて上位表示を勝ち取りながら、実際のユーザーには全く別の（多くの場合スパム的な）コンテンツを表示するのがクローキングの本質です。
Googleが公式に挙げるクローキングの例
Googleのスパムポリシーでは、具体的なクローキングの例として以下を挙げています。
Googleが明示するクローキングの例
- 検索エンジンには旅行先に関するページを表示し、ユーザーには割引薬品のページを表示する
- リクエストを行っているユーザーエージェントが検索エンジンの場合にのみ、ページにテキストやキーワードを挿入する
なお、Googleは「ペイウォールやコンテンツゲートの仕組み」については、構造化データで適切にマークアップし、Googleが有料コンテンツの全体を確認できる場合、クローキングとはみなさないと明言しています。
クローキングの5つの種類——技術的な仕組み
クローキングにはいくつかの技術的な手法が存在します。それぞれの仕組みを理解することで、自サイトが意図せず該当してしまうリスクを正確に把握できます。
1. ユーザーエージェント・クローキング
最も一般的な手法です。Webサーバーは訪問者のブラウザや種類を識別するユーザーエージェント文字列をリクエストから受け取ります。この文字列に「Googlebot」が含まれていれば検索エンジン用のコンテンツを、通常のブラウザ名であればユーザー用の別のコンテンツを返す仕組みです。
2. IPアドレス・クローキング
Googlebotのクローラーは特定のIPアドレス範囲からアクセスします。このIPアドレスを識別し、クローラーのIPからのアクセスと一般ユーザーのIPからのアクセスで異なるコンテンツを出し分ける手法です。ユーザーエージェントの偽装よりも検出が難しいとされますが、GoogleはIPベースのクローキングも検出する技術を持っています。
3. JavaScriptクローキング
検索エンジンのクローラーがJavaScriptを完全に実行できない（または実行しない設定の）場合を利用し、JavaScriptで生成されるコンテンツとHTMLソースコードのコンテンツを異なるものにする手法です。ただし、Googlebotは現在JavaScriptを実行できるため、この手法の有効性は大幅に低下しています。
4. HTTPリファラー・クローキング
訪問者がどのページから来たかを示すHTTPリファラーヘッダーを判別し、検索エンジンからの流入とそれ以外の流入で異なるコンテンツを表示する手法です。
5. 画像クローキング
Googleに対して表示する画像と、実際のユーザーに表示する画像を異なるものにする手法です。Googleの手動対策レポートでも、画像クローキングは明確にスパムポリシー違反として言及されています。検索結果の画像と実際のページの画像が異なることで、ユーザー体験が著しく損なわれます。
なぜクローキングは行われるのか——動機と実態
クローキングが今なお行われ続ける背景には、いくつかの動機があります。
意図的なクローキングの動機
- 禁止コンテンツの上位表示：ギャンブル、アダルト、違法薬物など、通常ではペナルティを受けるコンテンツを検索エンジンから隠しながら上位表示を狙う
- 競合サイトへの優位性確保：検索エンジンに対して実際以上に権威あるコンテンツに見せかけ、競合よりも有利なランキングを得ようとする
- コンバージョン最適化の悪用：検索エンジンにはSEOに最適化したページを見せ、ユーザーには広告だらけのページやアフィリエイト誘導ページを表示する
ハッキングによるクローキング——最も注意すべきケース
2025年現在、実は最も深刻なクローキング問題はハッキング被害によるものです。攻撃者がサイトに不正なコードを埋め込み、サイト所有者が気づかないうちにクローキングを実行するケースが急増しています。
2026年1月にセキュリティ企業Sucuriが報告した事例では、攻撃者が正規のPHPファイルの中にマルウェアを仕込み、Googlebotなどの検索エンジンクローラーがアクセスした時だけギャンブル関連のスパムコンテンツを返す手法が確認されています。サイト所有者がブラウザで確認しても正常に見えるため発見が遅れ、気づいた時にはGoogleからのペナルティを受けているというケースが典型的です。
ハッキングによるクローキングの特徴
- サイト所有者がブラウザで見ても異常は見えない
- Google検索結果に覚えのないギャンブルや薬品関連の説明文が表示される
- Google Search Consoleのセキュリティ問題レポートに警告が出る
- サイトの検索トラフィックが突然大幅に減少する
Googleのスパムポリシーでも「ハッキングされたサイトでは、ハッカーがクローキングを使って不正を検出しにくくすることが珍しくない」と明記されています。
クローキングのペナルティ——何が起きるのか
クローキングが検出された場合、Googleから科されるペナルティは非常に重いものです。
手動対策（Manual Action）
Googleの品質評価チームがクローキングを発見した場合、手動対策が適用されます。Google Search Consoleの「手動による対策」レポートに通知が表示され、以下のようなペナルティが科される可能性があります。
- 検索順位の大幅な下落：対象ページまたはサイト全体の順位が急落
- 検索結果からの完全な除外（インデックス削除）：最も重い場合、サイトが検索結果に一切表示されなくなる
- 特定ページの除外：サイト全体ではなく、問題のある特定ページのみが影響を受けるケース
アルゴリズムによる自動検出
手動対策に加えて、Googleのアルゴリズムもクローキングを自動的に検出します。2023年10月のスパム検出システムのアップデートや、2024年3月のコアアップデートでは、クローキングを含む各種スパム手法への対策がさらに強化されました。
Googleの元ウェブスパム対策責任者マット・カッツ氏は、「ホワイトハット・クローキングなどというものは存在しない」と明言しており、いかなる理由であれクローキングはペナルティの対象になり得ることを強調しています。
「クローキングではない」と認められるケース
ここで重要なのは、すべての「コンテンツの出し分け」がクローキングに該当するわけではないという点です。Googleが許容しているケースを正確に理解しておきましょう。
クローキングに該当しないケース
- ペイウォール・有料コンテンツ：構造化データで適切にマークアップされ、Googleがコンテンツ全体を確認でき、Flexible Samplingのガイドラインに従っている場合
- レスポンシブデザイン：デバイスに応じてレイアウトや表示方法を変えること（コンテンツ自体は同じ）
- 画像検索のインラインリンクオプトアウト：Google画像検索でフルサイズ画像の表示を防ぐ目的で、HTTPリファラーに基づいて画像リクエストに空レスポンスを返すこと
- JavaScriptのサーバーサイドレンダリング（SSR）：検索エンジンのアクセシビリティ向上を目的として、同じコンテンツのプリレンダリング版を提供すること（コンテンツが同一であることが条件）
- 多言語対応：hreflangタグを適切に使用して、言語や地域に応じたコンテンツを表示すること
Search Engine LandのDetlef Johnson氏が指摘するように、JavaScriptの扱いについてはGoogleのガイドラインが曖昧な部分もあります。SSRでGooglebotに対してプリレンダリング版を提供し、通常のユーザーにはクライアントサイドレンダリング版を表示する手法は、技術的にはクローキングに近い構造ですが、意図がユーザーを欺くものではなく、表示されるコンテンツが同一であれば問題ないとされています。
結局のところ、クローキングかどうかの判断基準は「意図」と「コンテンツの同一性」にあります。検索エンジンとユーザーに見せるコンテンツの中身が同じであれば、表示方法が異なっていてもクローキングにはなりません。
自分のサイトがクローキングされていないか確認する方法
ハッキング被害や技術的なミスによって、自分のサイトが意図せずクローキング状態になっている可能性を排除するために、定期的なチェックが重要です。
確認方法1：Google Search Consoleの活用
- 「セキュリティの問題」レポートを確認する。ハッキングによるクローキングが検出された場合、ここに警告が表示される
- 「手動による対策」レポートでペナルティの有無を確認する
- URL検査ツールで、Googleがページをどのようにレンダリングしているかを確認する。表示されるスクリーンショットが、実際にブラウザで見る内容と一致しているかチェックする
確認方法2：Google検索結果との照合
自サイトのURLやキーワードでGoogle検索を行い、検索結果に表示されるタイトルやメタディスクリプションが実際のページの内容と一致しているか確認します。覚えのないキーワード（ギャンブル、薬品、アダルト関連など）が表示されている場合は、ハッキングによるクローキングの可能性が高いです。
確認方法3：SEOツールによるクロール比較
Screaming FrogやSitebulbなどのSEOクロールツールを使い、ボットとしてクロールした場合のコンテンツと、実際にブラウザで表示されるコンテンツを比較します。両者に大きな差異がある場合、クローキングの疑いがあります。
確認方法4：サイトの異常な挙動をチェック
- Google Analyticsでオーガニックトラフィックに突然の急減や急増がないか確認する
- Search Consoleのインデックスカバレッジレポートで、覚えのないURLが大量にインデックスされていないか確認する
- サーバーのアクセスログで、不審なファイルの書き込みや改ざんの痕跡がないか確認する
よくある質問（FAQ）
Q1. クローキングは意図しなくても発生しますか？
はい、発生することがあります。最も多いのはハッキング被害によるケースです。攻撃者がサイトに不正コードを埋め込み、サイト所有者が気づかないうちに検索エンジンにスパムコンテンツを表示するケースが増えています。また、JavaScriptの実装ミスによって、検索エンジンとユーザーに異なるコンテンツが表示されてしまう技術的な問題も起こりえます。定期的なセキュリティチェックとSearch Consoleの監視が重要です。
Q2. クローキングのペナルティから回復するにはどうすればよいですか？
まず問題の原因を特定し、クローキングの要素を完全に除去します。ハッキングが原因の場合は不正なコードやファイルを削除し、セキュリティ脆弱性を修正します。修正後、Google Search Consoleの「手動による対策」レポートから再審査リクエストを送信します。問題が解消されたとGoogleが判断すれば、手動対策は解除されます。解除までの期間はケースにより異なりますが、通常数日から数週間程度です。
Q3. JavaScriptを使ったサイトはクローキングになりますか？
通常のJavaScriptの使用自体はクローキングにはなりません。ただし、検索エンジンのクローラーに対してのみ異なるコンテンツを表示する意図的な実装はクローキングに該当します。SSR（サーバーサイドレンダリング）やDynamic Renderingは、表示されるコンテンツが同一であればGoogleが許容しています。重要なのは「コンテンツの同一性」と「操作の意図がないこと」です。
Q4. ペイウォール（有料コンテンツ）はクローキングになりますか？
適切に実装されていればなりません。Googleは、構造化データでペイウォールをマークアップし、Googleがコンテンツ全体にアクセスでき、Flexible Samplingガイドラインに準拠している場合はクローキングとみなさないと公式に述べています。ただし、Googleに全文を見せつつユーザーには一切見せないという極端な実装は、クローキングと判断されるリスクがあります。
Q5. クローキングとABテストの違いは何ですか？
ABテストは、ユーザー体験の改善を目的として、人間のユーザーに対して異なるバージョンのページを表示する手法であり、検索エンジンを欺く意図はありません。Googleはウェブマスターガイドラインでテストや最適化を許容しています。一方、クローキングは検索エンジンに対して人間のユーザーとは異なるコンテンツを表示し、ランキングを操作する意図を持つ点が根本的に異なります。
まとめ
クローキングは、Googleのスパムポリシーに明確に違反する危険な手法であると同時に、ハッキング被害によって知らぬ間に巻き込まれるリスクもある問題です。この記事の要点を整理します。
この記事のポイント
- クローキングは検索エンジンとユーザーに異なるコンテンツを表示し、検索順位を操作する行為
- ユーザーエージェント・IPアドレス・JavaScript・リファラー・画像の5種類が主な手法
- ペナルティは手動対策による順位下落・インデックス削除など極めて重い
- ハッキング被害によって意図せずクローキング状態になるケースが急増中
- ペイウォール、レスポンシブデザイン、SSR（同一コンテンツ）はクローキングに該当しない
- クローキングかどうかの判断基準は「意図」と「コンテンツの同一性」
- Google Search Consoleの定期的な監視とセキュリティ対策が最善の予防策
クローキングは短期的な順位上昇と引き換えに、サイトの将来を破壊するリスクを伴います。そして、もっと怖いのは自分が加害者になるつもりがなくても、ハッキングによって被害者になりうるということです。定期的にGoogle Search Consoleのセキュリティレポートを確認し、サイトのセキュリティ対策を万全にすることが、クローキングから身を守る最も確実な方法です。まずは今日、自分のサイトが正常な状態であるか確認することから始めてみてください。
