Como remover o aviso de “site perigoso” do Google

Qual aviso aparece para você?

• Um aviso vermelho de tela inteira (“Site perigoso”, “Site enganoso à frente”, “O site à frente contém malware”): o Google Safe Browsing marcou o site por malware, phishing ou software indesejado. Chrome, Firefox e Safari usam essa lista, então a maioria dos visitantes é bloqueada.
• “Este site pode ter sido invadido” abaixo do seu resultado na Busca do Google: o Google encontrou conteúdo adicionado por um invasor, geralmente páginas de spam, links ocultos ou redirecionamentos para outros sites.
• Uma ação manual no Search Console: uma pessoa do Google revisou o site por violar as políticas de spam. Isso é tratado no relatório Manual Actions, não em Security Issues.

Passo 1: Confirme o que o Google encontrou

Pesquise seu domínio na página de status de sites do Safe Browsing (parte do Relatório de Transparência do Google). Depois abra o Google Search Console, escolha sua propriedade e vá em Security & Manual Actions → Security issues. Ele informa o tipo de problema e lista URLs de exemplo. Se o site ainda não está no Search Console, adicione-o como propriedade de domínio e verifique-o com um registro DNS TXT.

Passo 2: Encontre as páginas infectadas

Abra as URLs de exemplo numa janela anônima, mas saiba que invasões costumam se esconder de donos logados e só aparecer para buscadores ou visitantes vindos do Google. Baixe a página como o Googlebot faz e procure scripts, iframes ou redirecionamentos que você não adicionou:

curl -s -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" https://yourdomain.com/ \
  | grep -iE '<script|<iframe|http-equiv="refresh"' | head -n 20

No servidor, liste os arquivos PHP alterados recentemente. Invasores costumam deixar arquivos com nomes parecidos com os do WordPress:

find /path/to/site -type f -name '*.php' -mtime -14 -printf '%TY-%Tm-%Td %p\n' | sort

No WordPress, o WP-CLI compara os arquivos do núcleo e dos plugins com as cópias oficiais e mostra todas as contas de administrador:

wp core verify-checksums
wp plugin verify-checksums --all
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Scripts injetados costumam ficar no banco de dados (posts, widgets, opções), onde uma varredura de arquivos não os vê:

wp db search '<script' --all-tables
wp db search 'eval(' --all-tables

Confira também os arquivos .htaccess em busca de regras que redirecionam só buscadores ou visitantes vindos do Google:

grep -rnE --include=.htaccess 'HTTP_REFERER|HTTP_USER_AGENT|base64' /path/to/site

Passo 3: Limpe o site e feche a brecha

Apagar o spam visível não basta: se a porta de entrada continuar aberta, a infecção volta em dias. Siga esta lista:

• Primeiro faça um backup completo de arquivos e banco de dados, mesmo do site infectado, para comparar.
• Substitua o núcleo do WordPress, plugins e temas por cópias novas das fontes oficiais; não tente limpá-los linha por linha.
• Exclua plugins e temas que você não usa e atualize todo o resto. Veja como encontrar plugins desatualizados com vulnerabilidades conhecidas.
• Remova contas de administrador desconhecidas e troque todas as senhas: usuários do WordPress, painel da hospedagem, SFTP/SSH, banco de dados e e-mail.
• Substitua as chaves secretas do wp-config.php (wp config shuffle-salts) para encerrar todas as sessões roubadas.
• Remova as páginas de spam que o Google listou. Retorne 404 ou 410 para elas, não um redirecionamento para a página inicial.

A limpeza passo a passo está em Como saber se seu site WordPress foi invadido (e limpá-lo). Se não tiver certeza de que o site está limpo, restaure um backup de antes da infecção e atualize tudo.

Passo 4: Solicite uma revisão

Só quando o site inteiro estiver limpo, volte ao relatório Security issues, marque I have fixed these issues e escolha Request review. Descreva o que você fez, problema por problema, por exemplo: “Removido JavaScript injetado de 14 posts, substituído um plugin de slider desatualizado pela versão atual, excluída uma conta de administrador desconhecida e trocadas todas as senhas.” Segundo o Google, revisões de phishing levam cerca de um dia, de malware alguns dias, e de spam de invasão podem levar várias semanas. Depois que a revisão é aprovada, os avisos costumam sair dos navegadores e dos resultados de busca em cerca de 72 horas. Não envie de novo enquanto houver uma revisão pendente e não tire o site do ar: o Google precisa acessá-lo para conferir.

Passo 5: Evite que aconteça de novo

• Mantenha as notificações por e-mail do Search Console ativas; normalmente é por lá que você fica sabendo de um problema novo.
• Ative as atualizações automáticas dos plugins em que você confia e remova os que não precisa.
• Use login em duas etapas para todo administrador. Veja como proteger o login do WordPress.
• Mantenha backups fora do servidor com vários pontos de restauração e teste uma restauração.

O que o HackGrade verifica

O HackGrade não consulta a lista do Safe Browsing do Google; para isso use o Relatório de Transparência e o Search Console. A análise gratuita aponta as portas de entrada mais comuns, como núcleo, plugins e temas do WordPress desatualizados com vulnerabilidades conhecidas, nomes de usuário expostos e XML-RPC. A análise aprofundada, só para donos verificados, também procura código injetado, como páginas CAPTCHA falsas. Veja também Meu site foi invadido?