איך מסירים את אזהרת „האתר מסוכן” של גוגל

איזו אזהרה יש לכם?

• אזהרה אדומה על כל המסך („אתר מסוכן”, „Deceptive site ahead”, „האתר מכיל נוזקה”): Google Safe Browsing סימנה את האתר בגלל נוזקה, פישינג או תוכנה לא רצויה. כרום, פיירפוקס וספארי משתמשים ברשימה הזו, כך שרוב המבקרים נחסמים.
• „ייתכן שהאתר נפרץ” מתחת לתוצאה שלכם בחיפוש של גוגל: גוגל מצאה תוכן שפורץ הוסיף, בדרך כלל דפי ספאם, קישורים מוסתרים או הפניות לאתרים אחרים.
• פעולה ידנית ב־Search Console: אדם בגוגל בדק את האתר בגלל הפרת מדיניות ספאם. זה מטופל בדוח Manual Actions, לא בדוח Security Issues.

שלב 1: בררו מה גוגל מצאה

חפשו את הדומיין שלכם בדף סטטוס האתרים של Safe Browsing (חלק מ־Transparency Report של גוגל). אחר כך פתחו את Google Search Console, בחרו את הנכס ועברו אל Security & Manual Actions ← Security issues. הדוח מציין את סוג הבעיה ומפרט כתובות לדוגמה. אם האתר עוד לא ב־Search Console, הוסיפו אותו כנכס דומיין ואמתו אותו עם רשומת TXT ב־DNS.

שלב 2: מצאו את הדפים הנגועים

פתחו את כתובות הדוגמה בחלון פרטי, אבל קחו בחשבון שפריצות מסתתרות לעיתים קרובות מבעלי אתר מחוברים ומופיעות רק למנועי חיפוש או למבקרים שמגיעים מגוגל. משכו את הדף כמו ש־Googlebot עושה וחפשו סקריפטים, iframes או הפניות שלא אתם הוספתם:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://yourdomain.com/ \
  | grep -iE '<script|<iframe|http-equiv="refresh"' | head -n 20

בשרת, הציגו קובצי PHP ששונו לאחרונה. פורצים משאירים לעיתים קרובות קבצים עם שמות שנראים כמו קובצי וורדפרס:

find /path/to/site -type f -name '*.php' -mtime -14 -printf '%TY-%Tm-%Td %p\n' | sort

בוורדפרס, WP-CLI משווה את קובצי הליבה והתוספים לעותקים הרשמיים ומציג כל חשבון מנהל:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

סקריפטים מוזרקים יושבים פעמים רבות במסד הנתונים (פוסטים, ווידג'טים, הגדרות), ושם סריקת קבצים לא תראה אותם:

wp db search '<script' --all-tables
wp db search 'eval(' --all-tables

בדקו גם את קובצי ה־.htaccess לכללים שמפנים רק מנועי חיפוש או מבקרים שמגיעים מגוגל:

grep -rnE --include=.htaccess 'HTTP_REFERER|HTTP_USER_AGENT|base64' /path/to/site

שלב 3: נקו את האתר וסגרו את הפרצה

מחיקת הספאם הגלוי לא מספיקה: אם הדרך פנימה עדיין פתוחה, ההדבקה חוזרת בתוך ימים. עברו על הרשימה הזו:

• קודם כול גבו את כל הקבצים ואת מסד הנתונים, גם של האתר הנגוע, לצורך השוואה.
• החליפו את ליבת וורדפרס, התוספים והתבניות בעותקים טריים מהמקורות הרשמיים; אל תנסו לנקות אותם שורה אחר שורה.
• מחקו תוספים ותבניות שאתם לא משתמשים בהם ועדכנו את כל השאר. ראו איך מוצאים תוספים לא מעודכנים עם פגיעויות מוכרות.
• הסירו חשבונות מנהל לא מוכרים, ואז החליפו את כל הסיסמאות: משתמשי וורדפרס, פאנל האחסון, SFTP/SSH, מסד הנתונים והדוא״ל.
• החליפו את המפתחות הסודיים ב־wp-config.php (wp config shuffle-salts) כדי שכל חיבור גנוב יתנתק.
• הסירו את דפי הספאם שגוגל פירטה. החזירו עבורם 404 או 410, לא הפניה לדף הבית.

הניקוי צעד אחר צעד מופיע במדריך איך יודעים שאתר הוורדפרס נפרץ (ואיך מנקים אותו). אם אתם לא בטוחים שהאתר נקי, שחזרו גיבוי מלפני ההדבקה ואז עדכנו הכול.

שלב 4: בקשו בדיקה חוזרת

רק כשכל האתר נקי, חזרו לדוח Security issues, סמנו I have fixed these issues ובחרו Request review. תארו מה עשיתם, בעיה אחר בעיה, למשל: „הסרנו JavaScript מוזרק מ־14 פוסטים, החלפנו תוסף סליידר לא מעודכן בגרסה העדכנית, מחקנו חשבון מנהל לא מוכר והחלפנו את כל הסיסמאות.” לפי גוגל, בדיקת פישינג נמשכת כיום, בדיקת נוזקה כמה ימים, ובדיקת ספאם של פורצים עשויה להימשך כמה שבועות. אחרי שהבקשה מאושרת, האזהרות יורדות בדרך כלל מהדפדפנים ומתוצאות החיפוש בתוך כ־72 שעות. אל תגישו שוב כשבדיקה עדיין בטיפול, ואל תורידו את האתר מהאוויר: גוגל צריכה לגשת אליו כדי לבדוק.

שלב 5: מנעו את הפעם הבאה

• השאירו את התראות הדוא״ל של Search Console פעילות; בדרך כלל שם שומעים ראשונים על בעיה חדשה.
• הפעילו עדכונים אוטומטיים לתוספים שאתם סומכים עליהם, והסירו את אלה שאתם לא צריכים.
• השתמשו בהתחברות דו־שלבית לכל מנהל. ראו איך מאבטחים את ההתחברות לוורדפרס.
• שמרו גיבויים מחוץ לשרת עם כמה נקודות שחזור, ובדקו שחזור.

מה HackGrade בודקת

HackGrade לא בודקת את רשימת Safe Browsing של גוגל; בשביל זה השתמשו ב־Transparency Report וב־Search Console. הסריקה החינמית מסמנת את דרכי הכניסה הנפוצות ביותר, כמו ליבת וורדפרס, תוספים ותבניות לא מעודכנים עם פגיעויות מוכרות, שמות משתמש שנחשפים ו־XML-RPC. הסריקה המעמיקה, רק לבעלים מאומתים, מחפשת גם קוד מוזרק כמו דפי CAPTCHA מזויפים. ראו גם האם האתר שלי נפרץ?