Google советует отдавать ошибку 503 при обновлении PHP: иначе страницы вылетят из индекса

Среда выдалась горячей: PHP выпустил экстренные исправления двух уязвимостей, которые позволяют злоумышленнику выполнить произвольный код на сервере без входа в систему. Google Search Central в тот же день опубликовал напоминание в LinkedIn, а Джон Мюллер, известный представитель Google по вопросам поиска, продублировал совет в Bluesky и добавил практическую деталь: код 503 можно и нужно отдавать не из самого PHP, а снаружи.

Логика простая: если вы выключаете PHP для установки патча, сам PHP уже не может ответить браузеру или роботу. Значит, ошибку 503 (HTTP-код «Сервис временно недоступен») должен отдавать другой слой: CDN (сеть доставки контента, промежуточный сервер между посетителем и вашим хостингом), веб-сервер без PHP или временный сервер, на который переключён DNS (система доменных имён, «адресная книга» интернета).

Что советует Google и чего делать нельзя?

• Отдавайте 503, а не 404 или 200. Google Search Central прямо написал: «Код 503 гарантирует, что уже проиндексированные URL сохранятся в поиске, пока вы работаете. Когда сервер снова начнёт отдавать 200, всё вернётся в норму».
• Не показывайте страницу-заглушку с кодом 200. Мюллер ещё в 2013 году объяснял: если сервер отдаёт страницу ошибки, но с кодом 200 OK, Google проиндексирует текст этой заглушки как реальный контент страницы.
• Не блокируйте robots.txt. Файл robots.txt должен продолжать отвечать нормально. Если он тоже вернёт 503, Google заблокирует сканирование всего сайта целиком.
• Добавьте заголовок Retry-After. К ответу 503 можно приложить HTTP-заголовок Retry-After, который сообщает роботу Google, через сколько секунд (или в какой момент по UTC) можно зайти снова.
• Рейтинг ответов от лучшего к худшему: пользователь Bluesky предложил порядок 503, 500, 403, 404, 200, и Мюллер назвал это «хорошей моделью».

Сколько можно держать 503?

Документация Google по частоте сканирования предупреждает: код 503 не стоит отдавать дольше одного-двух дней. Если один и тот же URL возвращает 503 несколько дней подряд, он может быть исключён из индекса.

Гари Иллес из Google в 2024 году уточнил, по данным оригинальной статьи: 503 на 10-15 минут время от времени не считается «длительным» и проблем не создаёт.

Руководство Google по приостановке сайта называет полное отключение «крайней мерой», которая должна длиться максимум несколько дней. Если обновление затягивается, Google рекомендует вернуть хотя бы главную страницу с кодом 200 как временную заглушку с информацией.

Как отдать 503 без PHP?

Это ключевой момент для владельцев сайтов на типичных российских хостингах. PHP выключен, значит отдавать 503 нужно другим способом.

1. Через веб-сервер напрямую. Если у вас Nginx (а это большинство хостингов в Рунете), добавьте в конфигурацию правило, которое возвращает 503 и HTML-файл с пояснением для посетителей. Apache позволяет сделать то же через .htaccess, если сам Apache работает без PHP.
2. Через CDN. Cloudflare, а также российские CDN-сервисы позволяют настроить «страницу обслуживания» с кодом 503 в панели управления, без изменений на самом сервере.
3. Через переключение DNS. Мюллер упомянул этот способ отдельно: временно направить домен на другой сервер, который отдаёт только 503 и корректный robots.txt.
4. Проверьте robots.txt отдельно. Убедитесь, что файл robots.txt продолжает отдавать код 200 с обычным содержимым. Если он тоже попадёт под 503, Google остановит сканирование полностью.

PHP 8.1 и старше: отдельная проблема

Версии PHP 8.1 и ниже больше не получают регулярных официальных обновлений. PHP опубликовал ограниченные исходные патчи для версий от 7.4 до 8.1, но только для тех, кто собирает PHP самостоятельно. Хостинг-провайдеры могут выпустить собственные исправления.

Для сайтов в РФ это особенно актуально: многие проекты на старых CMS работают на PHP 7.4 или 8.0. Если ваш хостер не обновил PHP, узнайте у него напрямую, закрыты ли уязвимости. Переход на PHP 8.2 или 8.3 решает вопрос радикально, но требует проверки совместимости.

Что сравнить в российских реалиях?

Прямого аналога у рекомендации Google нет, это касается любого сайта в поиске. Но есть нюансы для Яндекса.

Яндекс.Вебмастер тоже учитывает HTTP-коды. Код 503 в Яндексе работает похоже: робот снижает частоту обхода и возвращается позже. Однако документация Яндекса не уточняет конкретных сроков так же подробно, как Google. Если ваш сайт важен и для Яндекса, и для Google, код 503 с заголовком Retry-After покрывает оба поисковика.

Что делать прямо сейчас, по ролям

SEO-специалисту и вебмастеру. Проверьте версию PHP на всех проектах. Если хостер уже накатил патч, убедитесь, что сайт отвечает 200. Если обновление впереди, подготовьте правило 503 на уровне Nginx или CDN заранее.

Автору на Дзене и владельцу блога. Если ваш сайт на WordPress с собственным хостингом, это касается вас напрямую. Свяжитесь с хостером и спросите, обновлён ли PHP и как будет обработан простой.

Предпринимателю с интернет-магазином. Каждый час с неправильным кодом ответа может стоить позиций. Ошибка 503, выставленная корректно, сохраняет позиции. Код 404 или пустая страница с 200 могут обрушить видимость в поиске за считаные дни.

Частые вопросы

Что будет, если не отдать 503, а просто выключить сервер?

Если сервер не отвечает вообще, Google получит таймаут. По документации Google, массовые таймауты снижают частоту сканирования, но повторяющиеся ошибки без корректного кода могут привести к удалению URL из индекса. Ошибка 503 явно говорит роботу: «приходи позже», а таймаут не говорит ничего.

Код 503 повлияет на рекламу в Google Ads?

Да. Документация Google предупреждает, что при замедлении сканирования рекламные кампании Google Ads могут быть приостановлены или отменены. Поэтому обновляйте PHP в часы минимального трафика и держите 503 как можно короче.

Нужно ли что-то делать после возврата к 200?

Специально ничего. Google Search Central написал: «Когда вы снова начнёте отдавать 200, всё естественным образом вернётся в норму.» Частота сканирования восстановится автоматически, но постепенно, а не мгновенно.