先明确问题，再谈是否遭到攻击
负面SEO通常指试图损害其他网站搜索可见度的行为。但是，外链数量激增本身不能证明这种企图、确定实施者，也不能解释排名下降的原因。先把问题收窄为：我们能够实际检查的哪一项观察发生了变化？记录警报来源、涉及页面和观察日期。正常发布、全站重复链接以及数据覆盖范围变化，都可能形成不同解释。在没有足够证据区分之前，不要把其中一种推测写成已经发生的攻击，也不要根据一个图表给真实网站或个人贴标签。
比较同一口径的证据
两份导出文件应采用同一提供方、资源范围、筛选条件和计数方法。分别统计链接行数与引荐域名数量，因为大量记录可能集中在少数网站。提供方的首次发现日期通常是它观察到链接的时间，并不一定是链接的创建或发布时间。Search Console链接报告也是样本，而不是完整的实时清单。不同服务的分组和去重规则可能导致总量不同，因此数字不一致本身不能证明其中一个服务错误。保留字段定义和原始文件，避免比较时悄悄改变统计口径。
阅读七天变化案例
在这个虚构练习中，第0天有来自40个域名的120行链接，第7天在相同范围内有来自42个域名的840行。比较保存的文件后，新增的720行归属于两个新观察到的域名。手动查看的样本包含重复目录页面，但尚未访问所有记录。与此同时，网站在这段时间发布过新版本。表格把这些事实分开保存：行数增加、域名数量变化、样本观察和网站发布各自有不同证据。数量或时间重合都不能确定攻击者，也不能单独解释搜索可见度下降。
- 第0天基线: 观察示例: 虚构文件中有40个域名的120行链接; 需要记录的证据: 提供方、范围、过滤条件和文件日期; 不一致时的行动: 保留原始文件，统一比较口径，不把不同范围混用
- 第7天增长: 观察示例: 42个域名的840行；两个域名新增720行; 需要记录的证据: 匹配后的导出文件与已检查URL组合; 不一致时的行动: 查看代表性页面，不把所有新增行直接标成攻击
- 发现日期: 观察示例: 提供方在该时间段首次观察到链接; 需要记录的证据: 字段定义及独立的发布时间证据; 不一致时的行动: 把发现时间和发布时间分开，缺少后者就保持未知
- 网站发布: 观察示例: 同一时期修改过页面模板; 需要记录的证据: 版本日志、真实HTML输出及受影响URL; 不一致时的行动: 检查意外noindex，但不据此直接推断排名原因
- 人工处置状态: 观察示例: 调查者没有资源访问权限; 需要记录的证据: 已验证所有者提供的带日期报告; 不一致时的行动: 记录未知；缺少访问权限不等于没有处置
根据确认的发现选择行动
对于确认存在的页面缺陷，应与控制该网站的负责人一起调查。例如检查新模板是否意外加入noindex，以及哪些URL受到影响，但不要预先认定这次发布造成了排名变化。另请经过验证的资源所有者查看Search Console人工处置报告。没有访问权限时，状态应记为未知，不能写成没有处置。Google把拒绝链接描述为需要谨慎使用的高级步骤，适用于大量问题链接并伴随实际或可能的人工处置情形。单个风险分数或突然增加的数量不足以自动决定使用它。
保留可以复查的调查记录
保存两份原始导出文件，并记录提供方、资源范围、过滤条件与观察日期。对实际检查过的来源和目标URL组合，记录页面显示内容，同时明确哪些行仍未检查。发布日志、已验证的技术缺陷和所有者提供的报告，应作为时间线上不同的事件，不能合并成一条已经证明的原因。每项后续动作都应有负责人和复查日期。如果证据确实支持修复，再使用专门的链接移除或拒绝指南，并保留先前决策。这个工作表不会联系发布者，也不会上传拒绝文件。
- 保留两份原始导出文件，并记录准确的资源范围。
- 同时比较引荐域名和链接行数，不只看一个总量。
- 把检查过的样本与尚未访问的记录分开保存。
- 升级处理前，核实网站变更和所有者掌握的报告。
- 用证据关闭已经解决的发现，让不明原因继续显示为开放事项。
理解这些证据无法证明什么
同期的流量变化在其他解释被调查前仍只是相关性。技术故障、需求变化和搜索系统变化，可能需要不同的验证路径。人工处置报告为空，也不能证明每条外链都有益，或网站不存在其他搜索问题。尚未确定的原因应该明确保留为未解决，而不是用指责代替证据。这个练习不是实时审计、攻击归因服务或排名恢复承诺。真正的结果判断需要网站所有者的实际页面与搜索数据；填完表格只代表记录更完整，不代表已经找到原因或完成恢复。
这是虚构的手动调查。数字和事件不是你的网站测量结果。尚未确认攻击者、处罚或因果关系；不会获取报告或提交任何操作。