Il cloaking consiste nel mostrare al crawler di un motore di ricerca contenuti diversi da quelli che vede chi apre la stessa pagina con un browser.
Google lo considera spam e lo sanziona con un’azione manuale dedicata, quella che in Search Console compare come cloaking e reindirizzamenti ingannevoli: finché resta attiva, le pagine coinvolte vengono retrocesse o tolte dai risultati, e per rimuoverla serve una richiesta di riesame. C’è però un secondo lato della questione che in italiano quasi nessuno racconta. Esistono almeno quattro situazioni in cui servire contenuti diversi a Googlebot e agli utenti non è cloaking, e Google le ha messe per iscritto nella propria documentazione.
Come funziona, tecnicamente
Il meccanismo è sempre lo stesso: il server guarda qualcosa della richiesta in arrivo, decide se chi bussa è una persona o un bot e restituisce una delle due versioni della pagina. Quello che cambia da una variante all’altra è il parametro osservato.
- User agent. Il server legge la stringa che identifica il client e serve la versione mascherata quando riconosce Googlebot o Bingbot.
- Indirizzo IP. La scelta avviene sull’IP di provenienza, confrontato con liste di indirizzi noti dei crawler.
- Header HTTP_REFERER. La pagina cambia a seconda che il visitatore arrivi da una ricerca o digiti l’URL. È la variante che rende il problema invisibile al proprietario del sito, che di solito entra dai preferiti o dalla barra degli indirizzi.
- Header Accept-Language. Si serve una versione diversa quando l’intestazione manca o corrisponde a quella attesa da un crawler. Googlebot, per inciso, invia le richieste HTTP senza impostare Accept-Language.
- JavaScript. Il contenuto viene sostituito dopo il caricamento, contando sul fatto che il crawler non esegua lo script. Funzionava molto meglio quindici anni fa.
La voce di Wikipedia in italiano elenca fra le tipologie anche le implementazioni costruite su Adobe Flash, tecnologia dismessa il 31 dicembre 2020. È un buon indicatore di quanto sia datata parte della letteratura che si trova in giro su questo argomento, e di quanto il cloaking sia legato all’epoca in cui i crawler leggevano poco più dell’HTML grezzo. Resta comunque una delle tecniche black hat più citate, insieme al keyword stuffing e al testo nascosto, con cui viene spesso combinato.
Quello che Google non considera cloaking
Qui sta la differenza fra un sito penalizzato e un sito che sta semplicemente facendo il suo lavoro. Rispondere in modo diverso a richieste diverse è il funzionamento ordinario del web: diventa cloaking quando lo scopo è ingannare. La tabella raccoglie i casi che Google ha documentato esplicitamente, in un senso o nell’altro.
| Pratica | Cosa riceve Googlebot | Cosa riceve la persona | È cloaking? | Riferimento Google |
|---|---|---|---|---|
| Rendering dinamico con contenuti equivalenti | HTML pre-renderizzato dal server | Versione con rendering lato client | No | Il rendering dinamico come soluzione alternativa |
| Rendering dinamico con contenuti diversi (l’esempio di Google: una pagina sui cani ai crawler, una sui gatti agli utenti) | Pagina A | Pagina B | Sì | Il rendering dinamico come soluzione alternativa |
Paywall dichiarato con i dati strutturati isAccessibleForFree e hasPart | Articolo completo | Anteprima e richiesta di abbonamento | No | Modello di accesso flessibile |
| Paywall senza dati strutturati | Articolo completo | Solo il paywall | Sì | Modello di accesso flessibile |
| Contenuti adattati al paese, con Googlebot trattato come un visitatore dell’area da cui arriva | Quello che vedrebbe un utente di quella località | Contenuto locale | No | Pagine adattabili alle impostazioni internazionali |
| Immagine a grandezza originale disattivata rispondendo 200 o 204 senza contenuto quando il referrer è un dominio Google | Miniatura generata durante la scansione | Immagine intera | No | Report Azioni manuali |
| Testo o parole chiave inseriti nella pagina solo quando la richiesta arriva da un motore di ricerca | Testo aggiuntivo | Niente | Sì | Norme relative allo spam |
La riga sul rendering dinamico è quella che dà la regola generale. La documentazione di Google dice che se il rendering dinamico genera contenuti simili non viene trattato come cloaking, e che nemmeno le pagine di errore prodotte da una configurazione sbagliata lo sono. Diventa cloaking quando le due versioni non hanno più niente in comune, ed è da lì che nasce l’esempio dei cani e dei gatti. Lo stesso documento avverte che il rendering dinamico è una soluzione di ripiego, non una scelta consigliata.
Le due righe sul paywall meritano una nota in più, perché riguardano chiunque pubblichi contenuti riservati agli abbonati o dietro registrazione. Google chiede di marcare le sezioni protette con i dati strutturati di schema.org: isAccessibleForFree impostato su false e la porzione interessata indicata con hasPart.cssSelector. Il markup serve proprio a distinguere un paywall dichiarato da un tentativo di cloaking. Le stesse indicazioni sul modello di accesso flessibile suggeriscono agli editori giornalistici di tenersi fra 6 e 10 articoli gratuiti al mese per utente, e segnalano che la soddisfazione di chi arriva dalla ricerca inizia a calare in modo netto quando il paywall compare in più del 10% delle visualizzazioni.
Il caso della geolocalizzazione è quello che genera più dubbi nelle riunioni tecniche. Google scrive che quando Googlebot sembra provenire da un determinato paese va trattato come qualsiasi altro utente della stessa località: se blocchi i visitatori statunitensi e lasci passare quelli australiani, il tuo server deve bloccare Googlebot quando arriva da un IP statunitense e lasciarlo passare quando arriva da uno australiano. La coerenza è il criterio, non l’uniformità.
Cosa succede quando Google se ne accorge
Il report Azioni manuali di Search Console ha una voce dedicata, che scatta quando il sito presenta agli utenti pagine diverse da quelle presentate a Google o li reindirizza altrove rispetto a quanto il motore ha rilevato. Ne esiste una seconda, meno nota, riservata alle immagini: si attiva quando le immagini mostrate nei risultati non corrispondono a quelle sulla pagina, per esempio perché a Google viene servita un’immagine coperta da un blocco di testo. In quel caso l’unica eccezione ammessa è la disattivazione del collegamento incorporato descritta nella tabella qui sopra.
Le azioni manuali non scadono da sole. Vanno risolte alla fonte, poi si chiede il riesame dal report e si aspetta il messaggio di Google in Search Console. Accanto a questo c’è il versante algoritmico, che non produce nessuna notifica: nessuna email, nessun avviso, solo posizioni che scendono. Quando un sito perde visibilità senza una causa evidente vale la pena escludere il cloaking prima di rimettere mano ai fattori di ranking ordinari.
Il caso più frequente non è volontario
Nelle norme relative allo spam Google scrive una cosa che vale la pena riportare per intero: quando un sito viene compromesso, chi ha fatto l’attacco usa spesso proprio il cloaking per rendere più difficile al proprietario accorgersi dell’intrusione. Lo schema è sempre quello. Il visitatore abituale vede il sito intatto, il crawler vede pagine di spam iniettate, e il reindirizzamento verso il sito di destinazione scatta solo per chi arriva da un risultato di ricerca. Google classifica questi redirect condizionali, che cambiano in base al referrer, allo user agent o al dispositivo, fra le tecniche di spam da contenuti compromessi.
Su WordPress la porta d’ingresso è quasi sempre un plugin non aggiornato o una password debole, e il danno si misura in mesi di traffico persi prima che qualcuno se ne accorga. Se il dubbio riguarda un sito che porta fatturato, una verifica tecnica esterna costa molto meno di una penalizzazione da recuperare: è parte di quello che facciamo nei servizi SEO.
Come verificare il tuo sito in mezz’ora
- Controllo URL su Search Console. Esegui il test dell’URL pubblicato e apri l’HTML sottoposto a rendering. Se contiene link, testi o interi blocchi che sulla pagina non ci sono, hai trovato il problema senza cercare altro.
- Confronta le risposte del server. Richiedi lo stesso URL con lo user agent di un browser e con quello di Googlebot, poi ripeti con e senza referrer di Google. Tre risposte diverse per la stessa pagina sono un segnale che va spiegato.
- Verifica chi è davvero Googlebot. Le ricerche DNS inverse sono il metodo documentato per distinguere il crawler vero da chi ne copia la stringa user agent. Serve anche a evitare l’errore opposto: bloccare per sbaglio il crawler autentico credendolo un impostore.
- Apri il report Problemi di sicurezza. È il punto in cui Google segnala che il sito potrebbe essere stato compromesso, ed è separato dal report Azioni manuali. Le istruzioni operative per il ripristino stanno nella guida di web.dev sui siti compromessi.
- Rendi coerenti robots.txt e meta robots fra lingue e versioni della stessa pagina. Google lo chiede in modo esplicito e rimanda al protocollo di esclusione robot, standardizzato nella RFC 9309. Regole diverse per lingue diverse producono disallineamenti che somigliano molto a cloaking.
Il bersaglio si è spostato
Le norme di Google sullo spam, aggiornate il 2 settembre 2026, non parlano più soltanto di posizioni nella SERP: nella definizione di spam rientrano ora anche i tentativi di manipolare le risposte AI generative della Ricerca. Il meccanismo del cloaking non cambia di una virgola, cambia il destinatario. Chi serve una versione ai crawler che alimentano le risposte generative e un’altra alle persone sta facendo esattamente quello che si faceva vent’anni fa con Googlebot, e il test per capire da che parte della linea si trova è rimasto lo stesso: se la versione destinata al bot esiste per fargli credere qualcosa che il visitatore non troverà, è cloaking, comunque la si chiami nel brief.
Domande frequenti sul cloaking
Sì, quando lo scopo è mostrare a utenti e motori di ricerca contenuti diversi per manipolare il posizionamento. Non rientrano nella definizione il rendering dinamico che produce contenuti simili, i contenuti protetti da paywall marcati con i dati strutturati isAccessibleForFree e hasPart, e le pagine adattate al paese, a patto che Googlebot venga trattato come un qualsiasi visitatore della località da cui arriva.
In Search Console compare un’azione manuale per cloaking e reindirizzamenti ingannevoli: le pagine coinvolte vengono retrocesse o rimosse dai risultati finché il problema non viene corretto e una richiesta di riesame non va a buon fine. Esiste anche un’azione manuale specifica per le immagini sottoposte a cloaking. Sul versante algoritmico non arriva nessuna notifica: si vede solo il calo di posizioni.
Accorciare o mascherare un link di affiliazione con un redirect non mostra al crawler una pagina diversa da quella che riceve la persona, quindi non rientra nella definizione di cloaking. Quello che conta per Google è qualificare i link in uscita con rel=”sponsored” o rel=”nofollow” quando c’è di mezzo un accordo commerciale.
Esegui il test dell’URL pubblicato con lo strumento Controllo URL e leggi l’HTML sottoposto a rendering: link o testi che sulla pagina non esistono sono il segnale più diretto. Poi confronta la risposta del server cambiando user agent e referrer, e controlla il report Problemi di sicurezza. Il cloaking involontario nasce quasi sempre da un’intrusione, non da una scelta.
