Pe scurt: Pentru a elimina avertismentul Google despre site hackuit trebuie mai întâi să închideți cauza și să eliminați tot conținutul dăunător. Abia apoi solicitați reexaminarea în Google Search Console. Cine solicită prea devreme sau șterge doar urmele vizibile riscă o respingere, deoarece ușile din spate și paginile de spam ascunse rămân, de regulă, în continuare.
Ce avertismente afișează Google și de ce
Google avertizează în două feluri asupra site-urilor compromise. În rezultatele căutării, sub intrarea dumneavoastră poate apărea o indicație că site-ul a fost posibil hackuit. La constatări mai grave, de exemplu software malițios sau phishing, browserele afișează, prin Google Safe Browsing, o pagină roșie de avertizare, înainte ca site-ul să fie măcar încărcat.
Cauza sunt aproape întotdeauna conținuturile introduse de atacatori: numeroase pagini de spam pentru medicamente, jocuri de noroc sau contrafaceri de mărci, redirecționări către site-uri străine, cod malițios pentru vizitatori sau pagini de autentificare false. Pentru compania dumneavoastră, aceasta înseamnă mai puțini vizitatori, clienți nesiguri și, la magazin, pierderi directe de vânzări.
Ce probleme a găsit Google se află în Google Search Console, la Securitate și acțiuni manuale, în raportul Probleme de securitate. Acolo sunt adesea menționate URL-uri exemplu, care oferă un prim indiciu.
Mai întâi curățați, apoi solicitați reexaminarea
Ordinea este decisivă. Avertismentul Google este un simptom; atâta timp cât vulnerabilitatea este deschisă și există o ușă din spate, conținutul revine, adesea chiar la scurt timp după ștergere.
O actualizare CMS singură nu închide orice vulnerabilitate. La PHP2Shell, slăbiciunea se află în PHP însuși, iar un patch nu elimină software-ul malițios deja introdus. Verificați versiunea PHP, starea patchului și fișierele înainte să-i cereți Google reexaminarea.
Pentru curățare este sensibil să puneți site-ul temporar în modul de întreținere sau să-l scoateți din rețea. Astfel protejați vizitatorii cât lucrați și împiedicați atacatorul să adauge alte conținuturi. Un mod de întreținere ar trebui să livreze codul de stare 503, pentru ca motoarele de căutare să recunoască întreruperea ca temporară.
Eliminarea avertismentului Google pentru site hackuit: pas cu pas
- Salvați dovezile: Salvați logurile, o copie a fișierelor și a bazei de date, înainte să ștergeți ceva.
- Verificați Search Console: Citiți raportul despre problemele de securitate, notați URL-urile exemplu și căutați, la Setări, Utilizatori și permisiuni, proprietari necunoscuți.
- Închideți vulnerabilitatea: Actualizați PHP, CMS, temele și extensiile, eliminați extensiile nefolosite, reporniți workerii PHP după actualizare.
- Eliminați codul malițios: Înlocuiți fișierele de bază ale CMS dintr-o sursă curată, căutați fișiere PHP în directoarele de încărcări și de cache, verificați
.htaccessși configurarea serverului pentru redirecționări străine. - Curățați baza de date: Eliminați articolele de spam, scripturile introduse în conținut și în opțiuni, precum și conturile de admin necunoscute.
- Reînnoiți accesurile: Schimbați parolele pentru CMS, hosting, baza de date, FTP și SSH, regenerați cheile de securitate ale CMS.
- Controlați rezultatul: Testați URL-urile exemplu cu inspecția URL și accesați propriul site așa cum îl vede Google.
- Solicitați reexaminarea: Cereți reexaminarea în raportul despre problemele de securitate și descrieți pe scurt ce a fost găsit și remediat.
Urme ascunse: pagini de spam, cloaking și proprietari străini
Multe hackuri sunt construite astfel încât operatorii să nu le observe. Conținutul de spam apare doar pentru Googlebot sau pentru vizitatorii veniți din căutare. Adminii autentificați văd site-ul normal. Inspecția URL din Search Console arată, în schimb, accesarea din perspectiva Google.
Un alt indiciu este o căutare cu site:ihredomain.de în combinație cu termeni tipici de spam. Dacă apar acolo pagini pe care nu le-ați creat niciodată, este un semn clar. Verificați și sitemapurile trimise: atacatorii creează uneori sitemapuri proprii, pentru a-și face paginile de spam indexate mai repede.
Pe server ajută verificări simple, doar de citire, în căutarea fișierelor modificate:
# Fișiere PHP și HTML modificate în ultimele 14 zile
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# Fișiere PHP în directoarele de încărcări (în mod normal nu ar trebui să existe)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Reguli de redirecționare în fișierele .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Regulile care redirecționează diferit în funcție de Referer sau User-Agent sunt o trăsătură tipică a cloaking-ului. La WordPress, procedați suplimentar țintit după indicațiile din ghidul Cum găsiți ușile din spate în WordPress.
Ce se întâmplă după cerere
Google verifică din nou site-ul și comunică rezultatul în Search Console. Dacă cererea este acceptată, avertismentele dispar. Dacă este respinsă, Google indică de obicei alte URL-uri exemplu. Atunci căutați țintit conținutul rămas și solicitați din nou abia după curățare.
URL-urile de spam pe care Google le cunoaște deja ar trebui să livreze după curățare starea 404 sau 410, pentru a ieși din index. Nu le redirecționați general către pagina de start. Continuați să urmăriți Search Console în săptămânile următoare, deoarece o reapariție a spamului indică o ușă din spate ratată. O postcontrol completă descrie Lista de verificare după un hack.
Pentru ca avertismentul să nu se repete, câteva lucruri ar trebui reglementate durabil după curățare:
- Actualizările pentru PHP, CMS, teme și extensii sunt aplicate prompt, iar cineva este responsabil de aceasta.
- Extensiile nefolosite, instalările de test vechi și subdirectoarele uitate sunt eliminate.
- Accesurile de admin sunt personale și protejate cu al doilea factor.
- O monitorizare a fișierelor raportează fișierele PHP noi din directoarele de încărcări și de cache.
- Notificările prin e-mail din Search Console ajung la o adresă citită periodic.
Informați, la întreruperi mai lungi sau la date ale clienților afectate, și clienții dumneavoastră, factual, despre stadiu. O comunicare deschisă și calmă protejează de obicei mai bine încrederea decât tăcerea.
Cum ajută PHP SOS concret?
- Salvăm mai întâi urmele și clarificăm prin ce vulnerabilitate a intrat atacatorul.
- Curățăm fișierele, baza de date și configurarea serverului, în cadrul eliminării malware-ului, și închidem cauza.
- Verificăm site-ul din perspectiva Google, eliminăm proprietarii străini din Search Console și pregătim împreună cu dumneavoastră cererea de reexaminare.
- La o infestare acută, asistența noastră de urgență pentru site-uri hackuite preia circumscrierea, până când incidentul este închis și documentat.
Întrebări frecvente
Cât durează până când Google elimină avertismentul?
Nu se poate prevedea cu certitudine. Reexaminarea începe abia când o solicitați în Search Console și depinde de tipul și amploarea problemei. Starea o vedeți în raportul despre problemele de securitate.
Ce se întâmplă dacă solicit reexaminarea prea devreme?
Dacă Google găsește în continuare conținut dăunător la verificare, cererea este respinsă, iar avertismentul rămâne. Respingerile repetate pot întârzia următoarea verificare. Solicitați de aceea reexaminarea abia după o curățare completă.
De ce nu văd eu singur paginile de spam?
Multe hackuri arată spamul doar motoarelor de căutare sau vizitatorilor veniți prin Google, iar adminilor autentificați le arată pagina normală. Această tehnică se numește cloaking. Cu inspecția URL din Search Console vedeți ce preia efectiv Google.
Trebuie să-mi reconstruiesc clasamentele după curățare?
După eliminarea avertismentului, vizibilitatea își revine adesea, dar nu neapărat la nivelul vechi. Decisiv este ca URL-urile de spam să dispară din index, iar conținutul propriu-zis să fie accesibil nemodificat.