Сайт в чёрном списке Google или взломан: что делать

Если браузер показывает красный экран «Сайт может быть опасен», значит, адрес попал в список Google Safe Browsing. Почти всегда причина одна: сайт взломали, и на нём лежит чужой код, фишинговая страница или скрытые ссылки. Чтобы снять предупреждение, нужно найти и удалить заражение, сменить все пароли, обновить CMS и запросить проверку в Google Search Console. Фишинг Google перепроверяет примерно за день, вредоносный код за несколько дней, спам до нескольких недель.

Утро понедельника. Владелица небольшого магазина посуды открывает сайт с телефона и видит не каталог, а красную страницу с восклицательным знаком. Заказов с выходных ноль. Хостинг говорит, что сервер работает. Сама она ничего не меняла. Что случилось и с чего начать, разбираем по шагам: сначала для того, кто увидел красный экран, потом для того, чей это сайт.

Что значит красный экран «Сайт может быть опасен»?

Красный экран значит, что адрес сайта есть в базе Google Safe Browsing (бесплатная служба Google, которая с 2005 года собирает адреса опасных страниц). Браузер сверяет каждый сайт с этой базой до того, как его открыть, и при совпадении ставит заслон.

Работает это не только в Chrome. По данным самой Google, Safe Browsing защищает больше 5 миллиардов устройств каждый день. Firefox сверяется с теми же списками и обновляет их примерно раз в 30 минут (так описано в справке Mozilla). Safari, по справке Apple, перед открытием страницы может отправить в Google Safe Browsing данные, вычисленные из адреса. Поэтому если сайт попал в список, его видят опасным почти все посетители, а не только те, кто сидит в Chrome.

Google делит угрозы на три вида:

• вредоносные программы (код, который пытается заразить устройство посетителя);
• нежелательные загрузки (файлы, которые меняют настройки браузера без спроса);
• социальная инженерия (обман, чаще всего фишинг: поддельная страница входа, которая крадёт логины и пароли).

Отдельно Google может подписать сайт прямо в поисковой выдаче: «Возможно, этот сайт взломан». Эта метка появилась в 2017 году и стоит под ссылкой ещё до того, как человек на неё нажал.

Я просто зашёл на сайт и увидел предупреждение. Что делать?

Закрыть вкладку и не вводить на этом сайте ничего: ни пароль, ни номер карты, ни телефон. Предупреждение почти всегда значит, что сайт прямо сейчас может что-то сделать с вашим устройством или данными, даже если выглядит как обычный магазин.

• Не нажимайте «Всё равно перейти», если сайт не ваш и вам не нужно срочно туда попасть.
• Если вы уже ввели пароль на такой странице, смените его сразу, а заодно и на всех сайтах, где он повторялся.
• Если вводили данные карты, позвоните в банк и попросите перевыпустить карту.
• Если сайт знакомый и вы ему доверяете, напишите владельцу. Часто он узнаёт о взломе именно так, от покупателей.

Как отличить сайт мошенников от честного, но взломанного, мы разбирали в статье «Как проверить сайт на мошенничество: 6 признаков до оплаты». Дальше этот текст для тех, чей сайт попал под предупреждение.

Почему мой сайт попал в чёрный список?

Чаще всего потому, что его взломали, и владелец об этом не знает. Google в своей справке прямо пишет, что взлом происходит из-за уязвимостей в защите сайта, и называет четыре основных способа, которыми его используют:

• вставка кода: в страницы добавляют вредоносный JavaScript или скрытый iframe (окно внутри страницы, которое грузит чужой сайт);
• вставка страниц: на сайте появляются новые страницы со спамом или фишингом, при этом старые выглядят как раньше;
• вставка содержимого: в обычные страницы подмешивают скрытые ссылки и текст, которые видит поисковик, а владелец и покупатели нет;
• перенаправления: часть посетителей молча перебрасывает на спам.

Самое неприятное: взломанный сайт часто выглядит для владельца совершенно нормально. Google описывает приём, когда перенаправление срабатывает только у тех, кто пришёл из поиска, а при прямом заходе по адресу всё чисто. Владелец открывает сайт из закладок, видит свой каталог и уверен, что Google ошибся.

Откуда берётся дыра? Обычно из трёх мест: устаревшая CMS или плагин с известной уязвимостью, украденный или слабый пароль от админки или хостинга, и открытые служебные файлы. Как раз третий пункт многие пропускают.

Какие признаки говорят, что сайт взломан?

Достаточно одного из этих признаков, чтобы всерьёз проверить сайт:

• в коде страниц или в выдаче Google по запросу site:вашсайт всплывают слова про казино, ставки, займы, таблетки или страницы на незнакомом языке;
• Google Search Console прислал письмо о проблемах безопасности или в отчёте «Проблемы безопасности» что-то есть;
• антивирус посетителей ругается на сайт, а покупатели пишут, что их «куда-то перекидывает»;
• по прямому адресу открываются файлы .env, .git или копия базы (в них лежат пароли от базы данных и ключи, и роботы-сканеры находят их за часы);
• на страницах подключены чужие скрипты, которых вы не ставили, без защиты от подмены;
• письма с вашего домена перестали доходить до клиентов.

Последний признак ведёт к отдельной проблеме, о которой знают меньше, чем о красном экране.

Почему письма с домена перестали доходить?

Скорее всего, домен попал в спам-лист, например Spamhaus или SURBL. Это базы плохих доменов, с которыми сверяются почтовые серверы. Если ваш домен в базе, письма клиентам уходят в спам или не доходят вовсе, и вы об этом даже не узнаёте.

Spamhaus прямо пишет, что вносит в свой список доменов DBL и честные сайты, которые захватили злоумышленники, например через устаревшую CMS или украденные пароли. По словам самой организации, её данные защищают миллиарды почтовых ящиков по всему миру. У SURBL для таких случаев есть отдельный список CR: взломанные честные сайты, которые переделали под перенаправление на спам.

То есть один и тот же взлом бьёт с двух сторон: браузеры пугают посетителей, а почтовые фильтры режут ваши письма.

Как проверить сайт на чёрные списки и взлом?

Начните с того, что видно снаружи, это занимает пару минут:

1. Проверка чёрных списков. В Awe Check можно бесплатно узнать, есть ли домен в Google Safe Browsing и спам-листах.
2. Признаки взлома. Отдельная проверка ищет спам-ссылки на казино и займы в коде, открытые .env и .git, копии базы и чужие скрипты. Как именно мы проверяем каждый из 104 пунктов, описано в открытой методике.
3. Google Search Console. Если сайт ещё не добавлен, добавьте и подтвердите права: без этого Google не примет запрос на проверку. Затем откройте «Безопасность и меры, принятые вручную» → «Проблемы безопасности». Там Google перечисляет конкретные адреса и тип угрозы.
4. Spamhaus. На check.spamhaus.org введите домен: сервис покажет, в каком списке он стоит и почему.

Честная оговорка. Любая внешняя проверка, включая нашу, видит только то, что сайт отдаёт наружу. Заражённые файлы на самом сервере, бэкдоры (скрытый вход, который взломщик оставляет себе на будущее) и чужие учётные записи в админке находит только проверка сервера изнутри: её делает хостинг или специалист по безопасности.

Как убрать сайт из чёрного списка Google?

Порядок важен: сначала чистка, потом запрос. Если попросить проверку, не убрав заражение до конца, Google предупреждает, что следующий ответ придёт дольше, а сайт могут отметить как повторного нарушителя.

1. Сделайте копию сайта и базы как есть, до чистки. Она понадобится, чтобы понять, как именно вас взломали.
2. Удалите вредоносный код на всех страницах из отчёта, а не на одной-двух. Если не уверены, что нашли всё, попросите хостинг проверить сервер антивирусом.
3. Смените все пароли и ключи: админка, хостинг, FTP, база данных, почта, ключи платёжных систем и API. Удалите незнакомых пользователей в админке и в Search Console.
4. Обновите CMS, тему и все плагины. Брошенные плагины, которые давно не обновляются, лучше удалить совсем.
5. Закройте служебные файлы: .env, .git, резервные копии и дампы базы не должны открываться по адресу.
6. Запросите проверку. В отчёте «Проблемы безопасности» нажмите «Запросить проверку» и коротко опишите, что было не так, что вы сделали и как проверили результат.

Сколько ждать, Google пишет в справке для разработчиков web.dev:

• фишинг: примерно день;
• вредоносный код: несколько дней;
• взлом со спамом: до нескольких недель.

Пока идёт проверка, второй запрос не отправляйте: Google просит дождаться ответа на первый.

Как убрать домен из спам-листа Spamhaus?

Через check.spamhaus.org: там видно причину, и там же подаётся заявка на удаление. Spamhaus советует подавать её только после чистки, смены паролей и обновления программ, иначе домен вернётся в список при первом же новом спаме.

Две детали из правил самой организации. Удаление бесплатное, и любое предложение «убрать из Spamhaus за деньги» организация прямо называет мошенничеством. После одобрения заявки некоторым почтовым системам нужно до 24 часов, чтобы обновить данные. У SURBL порядок похожий: перед заявкой на удаление из списков взломанных и фишинговых сайтов нужно убрать вредоносное содержимое и проверить все компьютеры, с которых загружали файлы на сайт.

Как не попасть в чёрный список снова?

Тот же сайт с той же дырой ломают повторно, иногда через несколько дней. Защита держится на нескольких привычках, а не на одной программе:

• обновляйте CMS и плагины сразу, как выходит обновление безопасности;
• включите двухфакторный вход в админку и на хостинге;
• не храните резервные копии и файлы с паролями в папке сайта;
• держите сайт в Google Search Console: о новой проблеме Google напишет на почту сам;
• раз в месяц прогоняйте внешнюю проверку, это несколько минут.

Большая часть взломов начинается с мелочей, которые копятся годами. О таких тихих утечках мы писали в разборе «Как проверить сайт на ошибки и штрафы: 7 тихих утечек».

Что сделать прямо сейчас

Откройте Google и введите site: и адрес своего сайта без пробела. Пролистайте две страницы результатов. Если среди них есть страницы, которых вы не создавали, или слова про казино и займы, у вас то же самое, что у владелицы магазина посуды в начале статьи. Только вы узнали об этом раньше покупателей.

Источники

• Google Safe Browsing: что это и где используется
• Справка Google Search Console: отчёт «Проблемы безопасности»
• web.dev (Google): запрос повторной проверки и сроки
• Google Search Central: какие бывают взломы
• Mozilla: как работает защита от фишинга в Firefox
• Apple: настройки безопасности Safari
• Spamhaus: список доменов DBL и порядок удаления
• SURBL: списки и правила удаления