Strona oznaczona jako niebezpieczna w Google: jak usunąć ostrzeżenie

Google oznacza stronę jako niebezpieczną, gdy mechanizm Bezpieczne przeglądanie (Safe Browsing) wykryje na niej złośliwe oprogramowanie, phishing, treści wprowadzające w błąd albo ślady włamania. Żeby zdjąć ostrzeżenie, sprawdź raport „Problemy dotyczące bezpieczeństwa” w Search Console, usuń przyczynę z całej witryny i kliknij „Poproś o sprawdzenie”.

Jak wygląda ostrzeżenie i gdzie się pojawia?

Ostrzeżenie ma kilka postaci, zależnie od miejsca, w którym użytkownik trafia na Twoją stronę:

W sieci krążą też inne brzmienia, np. „Witryna, którą chcesz otworzyć, zawiera złośliwe oprogramowanie” albo „Strona wprowadzająca w błąd”. Treść zależy od przeglądarki, jej wersji i rodzaju problemu, ale źródło jest to samo: lista Google Safe Browsing. Z tej listy korzystają też inne przeglądarki, więc problem nie dotyczy wyłącznie użytkowników Chrome.

Szybki test bez logowania daje narzędzie stanu witryny w Raporcie przejrzystości Google (Safe Browsing site status). Szczegóły zobaczysz jednak tylko w Search Console.

Dlaczego Google oznaczył moją stronę jako niebezpieczną?

Raport w Search Console dzieli problemy na trzy grupy: treści zmodyfikowane przez hakerów, złośliwe i niechciane oprogramowanie oraz inżynierię społeczną. W praktyce zobaczysz konkretny typ problemu. Oto najczęstsze z nich z typowymi przyczynami:

Nie każde ostrzeżenie oznacza włamanie. Źródłem bywa sieć reklamowa, skrypt firmy trzeciej, zapomniana instalacja testowa na subdomenie albo plik wgrany przez użytkownika. Ostrzeżenie o włamaniu na WordPressa jest jednak na tyle częste, że warto od razu przejść przez objawy opisane w poradniku zainfekowany WordPress: objawy i pierwsza godzina.

Jak sprawdzić szczegóły w Google Search Console?

1. Zweryfikuj własność witryny, jeśli jeszcze tego nie zrobiłeś. Usługa na poziomie domeny obejmuje wszystkie subdomeny i protokoły, więc lepiej widać w niej problemy spoza strony głównej.
2. Otwórz raport. W menu po lewej, w sekcji „Bezpieczeństwo i ręczne działania”, wybierz „Problemy dotyczące bezpieczeństwa”.
3. Rozwiń każdy problem. Zobaczysz jego typ i przykładowe adresy URL. To próbka, a nie pełna lista, więc nie ograniczaj sprzątania do wskazanych stron.
4. Sprawdź sąsiedni raport „Ręczne działania”. Spam po włamaniu może wywołać osobną karę za manipulowanie wynikami.
5. Obejrzyj stronę oczami Google. Narzędzie sprawdzania adresu URL pozwala przetestować opublikowaną wersję i zobaczyć kod, który pobrał Googlebot. Część infekcji pokazuje spam wyłącznie robotom.

Z terminala możesz dodatkowo porównać, co widzi zwykły użytkownik, a co ruch z wyszukiwarki. Te polecenia tylko pobierają stronę:

# Skrypty z zewnętrznych domen ładowane na stronie głównej
curl -sL -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" https://twojadomena.pl/ \
  | grep -oiE 'src="https?://[^"]+"' | sort -u

# Czy wejście z Google kończy się przekierowaniem
curl -sI -e "https://www.google.com/" https://twojadomena.pl/ | grep -iE "^(HTTP|location)"

# Czy robot Google dostaje inną treść (liczba trafień podejrzanych słów)
curl -sL -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://twojadomena.pl/ \
  | grep -ciE "casino|kasyno|viagra|replica"

Pamiętaj, że część złośliwych skryptów rozpoznaje prawdziwego Googlebota po adresie IP, więc podmiana nagłówka User-Agent nie zawsze pokaże spam.

Jak usunąć przyczynę ostrzeżenia Google?

Google wymaga, żeby problem został usunięty z całej witryny, a nie tylko z przykładowych adresów. Jeśli przyczyną jest włamanie, samo skasowanie złośliwego kodu nie wystarczy, bo atakujący wróci tą samą drogą.

• Zrób kopię plików i bazy w obecnym stanie, zanim zaczniesz cokolwiek usuwać.
• Znajdź wszystkie miejsca infekcji: pliki motywu i wtyczek, bazę danych, .htaccess, katalog uploads, subdomeny i stare instalacje w podkatalogach.
• Usuń przyczynę włamania: zaktualizuj podatne komponenty, usuń nieznane konta, zmień wszystkie hasła i klucze.
• Przejrzyj skrypty firm trzecich: reklamy, czaty, widżety, piksele. Usuń te, których nie potrzebujesz.
• Usuń lub zastąp pliki do pobrania wskazane w raporcie.
• Wyczyść cache wtyczek, serwera i CDN, żeby Google nie pobrał starej wersji.

Jak poprosić Google o ponowne sprawdzenie strony?

Gdy wszystkie problemy są usunięte, otwórz raport „Problemy dotyczące bezpieczeństwa” i kliknij „Poproś o sprawdzenie”. W formularzu opisz konkretnie, co zrobiłeś. Dokumentacja Google prosi o informacje, jak witryna została wyczyszczona i jak usunięto lukę, a przy spamie o opis dla każdego jego rodzaju. Przykładowy opis może wyglądać tak:

W plikach motywu i w tabeli wp_options znaleźliśmy wstrzyknięty JavaScript wyświetlający fałszywą weryfikację CAPTCHA. Usunęliśmy go, wgraliśmy ponownie rdzeń WordPressa i wszystkie wtyczki z oficjalnych źródeł, usunęliśmy nieznane konto administratora i zmieniliśmy wszystkie hasła. Przyczyną była nieaktualna wtyczka, którą zaktualizowaliśmy. Włączyliśmy uwierzytelnianie dwuskładnikowe i monitoring zmian plików.

Po wysłaniu nie wysyłaj kolejnej prośby, dopóki nie dostaniesz decyzji. Pomoc Search Console ostrzega wprost, że jeśli nie usuniesz problemu przed wysłaniem prośby, rozpatrzenie następnej może się wydłużyć, a Ty możesz nawet uzyskać status sprawcy wielokrotnych naruszeń. Zgodnie z zasadami Safe Browsing taki status obowiązuje przez 30 dni i w tym czasie nie da się wysyłać próśb o sprawdzenie.

Jeśli ostrzeżenie o phishingu dotyczy strony, której nie masz w Search Console, Google udostępnia też formularz zgłaszania błędów Safe Browsing.

Ile trwa zdjęcie ostrzeżenia Google?

Pomoc Search Console mówi ogólnie, że sprawdzanie większości próśb trwa od kilku dni do kilku tygodni. Dokładniejsze widełki podaje przewodnik Google o prośbach o sprawdzenie:

Po zatwierdzeniu prośby ostrzeżenia w przeglądarkach i wynikach wyszukiwania powinny zniknąć w ciągu 72 godzin. Jeśli weryfikacja wypadnie negatywnie, raport pokaże kolejne przykładowe adresy z problemem.

Ostrzeżenie Google to nie jedyna lista blokad. Microsoft Edge korzysta z własnego filtra SmartScreen, a programy antywirusowe prowadzą swoje bazy. Jeśli klienci nadal zgłaszają blokadę, sprawdź, który program ją pokazuje, i skorzystaj z formularza zgłoszeniowego jego producenta.

Czas oczekiwania wykorzystaj rozsądnie. Nie wprowadzaj dużych zmian na stronie i codziennie sprawdzaj, czy infekcja nie wróciła: przejrzyj listę zmienionych plików, nowe konta i logi dostępu. Jeśli w trakcie weryfikacji na stronie znów pojawi się złośliwy kod, prośba zostanie odrzucona, a cały proces zacznie się od nowa. Strona musi przez cały ten czas pozostać dostępna dla Googlebota, więc zdejmij przerwę techniczną, jeśli ustawiłeś ją na czas sprzątania.

Pomyśl też o klientach. Krótka informacja w mailu lub w mediach społecznościowych, że strona jest weryfikowana po incydencie i nie należy pobierać z niej plików, zmniejsza liczbę zapytań i buduje zaufanie. Jeśli prowadzisz kampanie reklamowe kierujące na oznaczoną stronę, sprawdź ich status w panelu reklamowym, bo linki do witryny z problemem bezpieczeństwa mogą zostać wstrzymane.

Jak nie dopuścić, żeby ostrzeżenie wróciło?

• Upewnij się, że powiadomienia z Search Console trafiają na skrzynkę, którą ktoś czyta. Dodaj drugiego właściciela usługi.
• Aktualizuj WordPressa, wtyczki i motywy na bieżąco, a nieużywane usuwaj.
• Włącz MFA dla administratorów i ogranicz dostęp do panelu.
• Usuń stare instalacje testowe i nieużywane subdomeny, o których nikt już nie pamięta.
• Ogranicz zewnętrzne skrypty i ustaw nagłówek Content-Security-Policy z listą dozwolonych źródeł. Utrudni to ładowanie wstrzykniętego kodu z obcych domen.
• Monitoruj integralność plików i dostępność strony, np. codziennym porównaniem sum kontrolnych i alertem o zmianach.

Pełną listę zabezpieczeń znajdziesz w checkliście zabezpieczenia WordPressa. Jeśli wolisz oddać czyszczenie strony i kontakt z Google w ręce specjalistów, zajmujemy się tym w ramach usług bezpieczeństwa.