Почему антивирус или Google помечает мой собственный сайт как «опасный»?

Если Chrome, Firefox или Safari показывают на вашем собственном сайте красную страницу с предупреждением (в Chrome — «Опасный сайт»), значит Google Safe Browsing нашёл на нём вредоносный код, фишинг или следы взлома. Чаще всего сайт действительно взломан, даже если у вас он выглядит нормально. Откройте в Google Search Console отчёт о проблемах безопасности, посмотрите, что найдено, устраните причину и закройте лазейку, а затем нажмите «Запросить проверку». Если сайт блокирует только Microsoft Edge, Яндекс или один антивирус, это другой список со своей процедурой.

Предупреждение — не вечный приговор, и снять его почти всегда можно. Главное — порядок: сначала понять, кто и за что вас пометил, затем устранить настоящую причину и только потом просить о проверке. Если запросить проверку раньше, вы лишь затянете процесс.

Какое именно предупреждение вы видите

Разные предупреждения выдают разные системы, и у каждой свой способ решения. Сначала найдите своё:

Важнее всего список Google, потому что он общий: его сверяют Chrome, Firefox и Safari (в русскоязычной справке Google этот сервис называется «Безопасный просмотр»). Edge опирается на SmartScreen от Microsoft, у Яндекса своя система, а антивирусы ведут собственные базы. Если в адресной строке написано только «Не защищено», вы не в чёрном списке: это вопрос сертификата, подробнее в статье почему рядом с сайтом написано «Не защищено».

Что именно нашёл Google

Отчёт о проблемах безопасности делит проблемы на несколько групп. Зная свою, вы понимаете, где искать:

• Взломанный контент: вредоносное ПО, внедрённый код (вредоносные редиректы, скрипты для майнинга), внедрённый спам-текст и ссылки или целые страницы, которые злоумышленник создал на вашем домене.
• Страницы, вводящие в заблуждение (социальная инженерия): страницы, которые маскируются под банк, браузер или форму входа, чтобы выманить данные.
• Встроенные ресурсы, вводящие в заблуждение: проблема не в вашем коде, а в том, что вы подгружаете, например в рекламе, виджете или сторонней картинке.
• Скачивание вредоносного ПО: файл на сайте или ссылка на него признаны вредоносными или нежелательными.
• Скачивание неизвестного контента: менее серьёзное предупреждение для новых файлов, о которых у Google пока мало данных.

Заодно загляните в отчёт о мерах, принятых вручную. Эти меры связаны со спамом, а не с безопасностью, и снимаются отдельным запросом.

Почему помечен именно ваш сайт

В большинстве случаев сайт действительно взломан. Вредоносный код часто прячется: он срабатывает только для посетителей с телефона, для тех, кто пришёл из поиска, или для посетителей из определённых стран, и никогда для вас, когда вы залогинены на компьютере. Частые причины:

• Взлом: внедрённые редиректы, фарма- или казино-спам, скрытые фишинговые страницы. Это самая частая причина.
• Необновлённые CMS, тема или плагины. Старый WordPress остаётся классической мишенью.
• Пиратские («nulled») темы и плагины из неофициальных источников, в которые часто уже встроен бэкдор.
• Аккаунт администратора, хостинга или FTP со слабым либо украденным паролем.
• Заражённый или обманный сторонний ресурс: рекламная сеть, виджет, плагин, заброшенный разработчиком. Объявления меняются, поэтому «плохое» может появляться не при каждой загрузке.
• Файл для скачивания (установщик, архив, документ с макросами), признанный вредоносным.
• Домен, очень похожий на известный бренд: он может вызывать предупреждения Chrome о похожих адресах.
• Настоящее ложное срабатывание. Оно вероятнее на новых доменах, на страницах с формой входа или на общем хостинге с плохой репутацией. Microsoft, например, прямо называет недавнюю регистрацию домена и хостинг-провайдера среди факторов репутации в SmartScreen.

Как диагностировать проблему

Не гадайте. Эти инструменты показывают, что на самом деле обнаружено:

• Google Search Console, отчёт о проблемах безопасности (раздел безопасности и мер, принятых вручную). Там видно тип проблемы, примеры URL и дату, когда проблема была впервые обнаружена. Аккаунта нет — добавьте сайт сейчас: это бесплатно, а подтвердить права можно через DNS или HTML-файл.
• [Статус сайта в Google Safe Browsing](https://transparencyreport.google.com/safe-browsing/search?hl=ru) в «Отчёте о доступности сервисов и данных» Google. Вставьте домен и посмотрите текущий статус даже без доступа к Search Console.
• Инструмент «Проверка URL» в Search Console: «Проверить страницу на сайте», затем «Изучить проверенную страницу». Там видны HTML и скриншот такими, какими их получает инструмент Google, и так ловят код, который прячется от вас.
• Поиск с оператором site:. Введите в Google site:вашдомен.ru и ищите страницы, которых вы не создавали: лекарства, казино, тексты на японском или другом чужом языке.
• Яндекс Вебмастер → «Оптимизация сайта» → «Безопасность и нарушения». Если сайт добавлен в Вебмастер, там видно, что нашёл Яндекс.
• VirusTotal или онлайн-сканер вроде Sucuri SiteCheck — второе мнение о том, какие движки помечают URL и почему.

Затем проверьте сам сайт: недавно изменённые файлы, неизвестных администраторов, подозрительные задания cron, правила редиректа в .htaccess, лишние файлы в папке загрузок. Учтите, что часть вредоносного кода срабатывает только для посетителей с телефона или пришедших из поиска, поэтому, открывая сайт как обычно, вы можете его так и не увидеть. Google не советует открывать страницы с подозрением на вредоносное ПО прямо в своём обычном браузере: они могут заразить компьютер. Безопаснее посмотреть, что получают такие посетители, через «Проверку URL» или консольную утилиту вроде cURL, указав Google в качестве источника перехода (referer). Если проблема в рекламе, обновите страницу несколько раз: объявления меняются. У хостинг-провайдера есть логи сервера, и он часто сам сканирует сайты на вирусы, поэтому спросите и его.

Как очистить сайт, шаг за шагом

Действуйте в таком порядке:

• Если сайт прямо сейчас перенаправляет или заражает посетителей, переведите его в режим обслуживания или временно отключите. Google сам советует так поступать со взломанными сайтами.
• Сделайте резервную копию текущего состояния, даже заражённого: как доказательство и на случай, если что-то сломается.
• Смените ВСЕ пароли: админка CMS, хостинг/cPanel, FTP/SFTP, база данных, почта. Включите двухфакторную аутентификацию везде, где можно.
• Обновите CMS, темы и плагины. Удалите всё, чем не пользуетесь, а пиратские копии замените официальными версиями.
• Найдите и удалите внедрённый код: просканируйте сайт инструментом безопасности (на WordPress, например, Wordfence, Sucuri или MalCare) или сравните файлы с чистыми копиями.
• Удалите неизвестных администраторов, подозрительные задания cron и файлы, которым нет объяснения.
• Если виновата сторонняя реклама или виджет, уберите их или смените поставщика.
• Если есть чистая копия до заражения, восстановление из неё часто самый быстрый путь. Сразу после этого закройте уязвимость, иначе злоумышленник вернётся тем же путём.

Не прячьте только симптом (редирект): если не найти точку входа, заражение обычно возвращается. Если разбираться в коде и настройках сервера вам сложно, привлеките специалиста до запроса проверки: отклонённый запрос только отнимет время. Для сайта на WordPress подробнее в нашем руководстве о том, как понять, что WordPress заражён, и вылечить его. Перед запросом проверки ещё раз пройдитесь по примерам URL из Search Console, снова проверьте их в «Проверке URL» и повторите поиск site:.

Как запросить проверку в Google (и сколько ждать)

Только когда вы уверены, что чист весь сайт:

• В Search Console откройте отчёт о проблемах безопасности и нажмите Запросить проверку. Коротко опишите, что нашли, что удалили и как закрыли точку входа (обновили плагин, сменили пароли, убрали рекламный скрипт).
• Google пришлёт письмо о получении запроса и ещё одно, когда проверка закончится.

По срокам справка Google говорит так: проверка по вредоносному ПО обычно занимает несколько дней, а по взломанному контенту — до нескольких недель. После одобрения нужно ещё несколько дней, чтобы предупреждение исчезло везде: изменения расходятся между базой Safe Browsing, Chrome и Search Console.

Два правила сэкономят вам время. Не отправляйте новый запрос, пока не пришёл ответ на предыдущий. И не запрашивайте проверку, пока сайт не очищен: Google предупреждает, что тогда следующий запрос может рассматриваться дольше, а сайту могут присвоить статус «Неоднократные нарушения». Если запрос отклонили, прочитайте причину, найдите пропущенное (часто это оставшийся бэкдор или спам-страницы), исправьте и отправьте снова.

Яндекс: Вебмастер и Яндекс Браузер

Для русскоязычной аудитории важен и Яндекс: его алгоритмы сами проверяют сайты и могут показывать в результатах поиска предупреждение об опасности сайта. Если ваш сайт блокирует Яндекс Браузер, тоже начните с Вебмастера: там видно, какие нарушения нашёл Яндекс. Снимается ограничение отдельно от Google:

• Добавьте сайт в Яндекс Вебмастер и откройте «Оптимизация сайта» → «Безопасность и нарушения».
• Устраните проблему, в блоке нарушения опишите, что сделали (при необходимости приложите файлы), отметьте «Нарушение исправлено» и нажмите «Отправить на проверку».

В справке Яндекса срок проверки указан как «в течение 30 дней». Если ограничение не сняли, повторно сообщить об исправлении можно только через 30 дней после отправки сайта на проверку, поэтому отправляйте заявку, только когда сайт действительно чист.

Если блокирует Microsoft Edge или антивирус

• Microsoft Edge (SmartScreen): на странице блокировки, в разделе с дополнительной информацией, выберите пункт о том, что сайт не содержит угроз. Придёт письмо-подтверждение от группы SmartScreen в Microsoft; если дело срочное, ответьте на это письмо.
• Антивирус (Kaspersky, Dr.Web, ESET и другие): сначала убедитесь, что сайт действительно чист; VirusTotal покажет, какие движки его помечают. Затем воспользуйтесь процедурой для ложных срабатываний у производителя (обычно это форма или обращение в поддержку), отправьте URL и коротко объясните ситуацию.
• Предупреждение Chrome о похожем адресе («Это правильный сайт?», «Осторожно, поддельный сайт!»): это не пометка о вирусе. Chrome сравнивает ваш домен с популярными сайтами, а справка Chrome объясняет эти предупреждения и даёт ссылку на инструкции для владельцев сайтов.

Как не допустить повторения

Когда сайт чист, поддерживайте это состояние:

• CMS, темы и плагины всегда обновлены, или платформа, которая не зависит от десятков плагинов.
• Меньше плагинов и сторонних скриптов — меньше дверей для входа.
• Автоматические резервные копии вне сервера и время от времени пробное восстановление.
• Сильные пароли, двухфакторная аутентификация и отдельный аккаунт для каждого, кому нужен доступ.
• Действующий SSL-сертификат и HTTPS везде, без смешанного контента.
• Подключённые Search Console и Яндекс Вебмастер с уведомлениями на почту, которую кто-то действительно читает. Чаще всего именно оттуда вы первыми узнаете о проблеме.

Многие сайты малого бизнеса оказываются в такой ситуации, потому что работают на WordPress с десятками плагинов, которые годами никто не трогал. В MPO Web Studio, небольшой веб-студии из Клуж-Напоки, мы делаем быстрые сайты с малой поверхностью атаки и включённым обслуживанием, а сначала бесплатно делаем демо, чтобы вы увидели результат до оплаты. Если вы прямо сейчас застряли с красным экраном на собственном сайте, напишите нам в WhatsApp, и мы поможем его очистить и запросить проверку.