Kort sagt: För att ta bort Googles varning om hackad webbplats måste ni först stänga orsaken och ta bort allt skadligt innehåll. Först därefter begär ni granskning i Google Search Console. Den som begär för tidigt eller bara raderar de synliga spåren riskerar ett avslag, eftersom bakdörrar och dolda skräpsidor oftast finns kvar.
Vilka varningar Google visar och varför
Google varnar på två sätt för komprometterade webbplatser. I sökresultaten kan under er post en anvisning visas om att webbplatsen möjligen har hackats. Vid allvarligare fynd, till exempel skadlig programvara eller nätfiske, visar webbläsare via Google Safe Browsing en röd varningssida innan webbplatsen över huvud taget laddas.
Orsaken är nästan alltid innehåll som angripare har fört in: talrika skräpsidor för läkemedel, spel om pengar eller varumärkesförfalskningar, omdirigeringar till främmande sidor, skadlig kod för besökare eller förfalskade inloggningssidor. För ert företag betyder det färre besökare, osäkra kunder och i butiken direkta intäktsbortfall.
Vilka problem Google har hittat står i Google Search Console under Säkerhet och manuella åtgärder, i rapporten Säkerhetsproblem. Där anges ofta exempel-URL:er som ger en första hållpunkt.
Rensa först, begär sedan granskning
Ordningen är avgörande. Googles varning är ett symptom; så länge sårbarheten är öppen och en bakdörr finns kommer innehållet tillbaka, ofta redan kort efter radering.
En CMS-uppdatering ensam stänger inte varje sårbarhet. Vid PHP2Shell finns svagheten i PHP självt, och en patch tar inte bort skadlig programvara som redan förts in. Kontrollera PHP-version, patchnivå och filer innan ni ber Google om granskning.
För saneringen är det meningsfullt att tillfälligt sätta webbplatsen i underhållsläge eller ta den offline. Då skyddar ni besökare medan ni arbetar och hindrar angriparen från att lägga dit mer innehåll. Ett underhållsläge bör då leverera statuskoden 503, så att sökmotorer uppfattar avbrottet som tillfälligt.
Ta bort Googles varning om hackad webbplats: steg för steg
- Säkra bevis: Säkra loggar, en kopia av filerna och databasen innan ni raderar något.
- Kontrollera Search Console: Läs rapporten om säkerhetsproblem, anteckna exempel-URL:er och sök under Inställningar, Användare och behörigheter efter okända ägare.
- Stäng sårbarheten: Uppdatera PHP, CMS, teman och tillägg, ta bort oanvända tillägg, starta om PHP-workers efter uppdateringen.
- Ta bort skadlig kod: Ersätt CMS:ets kärnfiler från en ren källa, sök igenom uppladdnings- och cachekataloger efter PHP-filer, granska
.htaccessoch serverkonfiguration efter främmande omdirigeringar. - Rensa databasen: Ta bort skräpinlägg, insmugglade skript i innehåll och alternativ samt okända adminkonton.
- Förnya åtkomster: Byt lösenord för CMS, hosting, databas, FTP och SSH, skapa CMS:ets säkerhetsnycklar på nytt.
- Kontrollera resultatet: Testa exempel-URL:erna med URL-kontrollen och öppna er egen webbplats så som Google ser den.
- Begär granskning: Begär granskning i rapporten om säkerhetsproblem och beskriv kort vad som hittats och åtgärdats.
Dolda spår: skräpsidor, cloaking och främmande ägare
Många hackningar är byggda så att driftansvariga inte märker dem. Skräpinnehållet syns bara för Googlebot eller för besökare som kommer via sökningen. Inloggade administratörer ser den normala webbplatsen. URL-kontrollen i Search Console visar däremot hämtningen ur Googles perspektiv.
En ytterligare hållpunkt är en sökning med site:ihredomain.de i kombination med typiska skräpord. Dyker det upp sidor där som ni aldrig har skapat är det ett tydligt tecken. Kontrollera också inskickade sitemaps: Angripare skapar ibland egna sitemaps för att få sina skräpsidor indexerade snabbare.
På servern hjälper enkla, enbart läsande kontroller vid sökningen efter ändrade filer:
# PHP- och HTML-filer som har ändrats de senaste 14 dagarna
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP-filer i uppladdningskataloger (ska normalt inte finnas)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Omdirigeringsregler i .htaccess-filer
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Regler som omdirigerar olika beroende på referer eller user-agent är ett typiskt kännetecken för cloaking. Gå vid WordPress dessutom riktat fram enligt anvisningarna i guiden Hitta bakdörrar i WordPress.
Vad som händer efter begäran
Google granskar webbplatsen på nytt och meddelar resultatet i Search Console. Godkänns begäran försvinner varningarna. Avslås den anger Google oftast fler exempel-URL:er. Då söker ni riktat efter det kvarvarande innehållet och begär först efter saneringen på nytt.
Skräp-URL:er som Google redan känner till bör efter saneringen leverera status 404 eller 410, så att de faller ur indexet. Omdirigera dem inte generellt till startsidan. Fortsätt att bevaka Search Console under veckorna efter, för om skräp dyker upp igen tyder det på en förbisedd bakdörr. En fullständig uppföljning beskriver vår checklista efter en hackning.
För att varningen inte ska upprepas bör några saker regleras varaktigt efter saneringen:
- Uppdateringar för PHP, CMS, teman och tillägg installeras skyndsamt, och någon är ansvarig för det.
- Oanvända tillägg, gamla testinstallationer och bortglömda underkataloger är borttagna.
- Adminåtkomster är personliga och skyddade med en andra faktor.
- En filövervakning rapporterar nya PHP-filer i uppladdnings- och cachekataloger.
- Search Consoles e-postaviseringar når en adress som läses regelbundet.
Informera vid längre avbrott eller berörda kunduppgifter även era kunder sakligt om läget. Öppen, lugn kommunikation skyddar förtroendet oftast bättre än tystnad.
Hur hjälper PHP SOS konkret?
- Vi säkrar först spåren och klarlägger genom vilken sårbarhet angriparen kom in.
- Vi rensar filer, databas och serverkonfiguration inom ramen för borttagningen av skadlig kod och stänger orsaken.
- Vi granskar webbplatsen ur Googles perspektiv, tar bort främmande ägare i Search Console och förbereder begäran om granskning tillsammans med er.
- Vid akut angrepp tar vår akuthjälp vid hackade webbplatser över begränsningen, tills incidenten är avslutad och dokumenterad.
Vanliga frågor
Hur lång tid tar det innan Google tar bort varningen?
Det går inte att förutsäga tillförlitligt. Granskningen börjar först när ni begär den i Search Console och beror på problemets art och omfattning. Läget ser ni i rapporten om säkerhetsproblem.
Vad händer om jag begär granskning för tidigt?
Hittar Google fortfarande skadligt innehåll vid kontrollen avslås begäran och varningen finns kvar. Upprepade avslag kan fördröja nästa kontroll. Begär därför granskningen först efter fullständig sanering.
Varför ser jag inte själv skräpsidorna?
Många hackningar visar skräp bara för sökmotorer eller besökare som kommer via Google, och inloggade administratörer ser den normala sidan. Tekniken kallas cloaking. Med URL-kontrollen i Search Console ser ni vad Google faktiskt hämtar.
Måste jag bygga upp mina rankningar på nytt efter saneringen?
När varningen tagits bort återhämtar sig synligheten ofta, men inte nödvändigtvis till den gamla nivån. Avgörande är att skräp-URL:er försvinner ur indexet och att det egentliga innehållet är oförändrat nåbart.