Що насправді означає це попередження
«Цей сайт може бути зламано» - позначка, яку Google додає до результату пошуку, коли його системи знаходять на сайті контент, який власник майже напевно туди не клав. Вона стоїть під заголовком, сірим шрифтом, і коштує вам більшої частини кліків.
Варто уточнити, чим вона не є. Це не червона повноекранна сторінка - то «Оманливий сайт», окреме й серйозніше попередження Safe Browsing. Це й не санкція в сенсі позицій: ваші сторінки позиції зберігають. Обвалюється саме клікабельність, бо на результат, позначений Google як зламаний, майже ніхто не клікає.
Чому вона з'явилася у вас
Позначка спрацьовує автоматично, коли краулер Google знаходить сторінки, схожі на впроваджені. Найчастіші причини в тому порядку, в якому ми їх зустрічаємо:
- Впроваджений SEO-спам. Тисячі згенерованих сторінок із підробками, ліками чи азартними іграми. Якщо впроваджені сторінки японською - це Japanese keyword hack.
- Клоакінг. Сторінка виглядає нормально у вашому браузері й спамно для Googlebot, бо малвар перевіряє user agent перед тим, як вирішити, що віддати.
- Впроваджені посилання. Приховані посилання у футері або в наявних статтях, що ведуть на сайти, які просуває зловмисник.
- Переписані заголовки й описи. Ваші сторінки цілі, але метадані, які читає Google, підмінені.
В усіх випадках базова подія одна: хтось отримав доступ на запис до вашого сайту, зазвичай через неоновлений плагін або слабкий пароль адміністратора.
Перевірте, перш ніж діяти
Дві перевірки, обидві безкоштовні та швидкі.
Search Console, «Проблеми безпеки». Це авторитетне джерело. Якщо Google позначив сайт, звіт назве категорію й покаже приклади адрес. Якщо у вас немає ресурсу в Search Console для домену - заведіть зараз, він усе одно знадобиться для відновлення.
Знайдіть site:вашдомен.ua. Прогорніть видачу. Впроваджені сторінки зазвичай очевидні: набори символів, якими ви не публікуєте, назви товарів, яких ви не продаєте, машинно-згенеровані адреси. Пам'ятайте, що спам може бути невидимим у вашому браузері - клоакінг тут норма, а не виняток.
Як прибрати попередження
Попередження зникає само, коли Google обійде сайт заново й знайде його чистим. Кнопки, яка прибирає його, доки проблема на місці, не існує. Робоча послідовність:
1. Вичистіть сайт. Приберіть впроваджений контент, бекдори, через які він потрапив, і адміністраторів, яких ви не створювали. Наш покроковий розбір - як вичистити зламаний WordPress.
2. Закрийте точку входу. Оновіть усе, забороніть виконання PHP у папці uploads, увімкніть двофакторну автентифікацію, змініть усі доступи, включно з паролем бази. Пропустивши цей крок, ви повторите весь процес за два тижні.
3. Приберіть на боці Google. Перегенеруйте sitemap, щоб у ньому були лише справжні адреси. Потім відкрийте в Search Console «Користувачі та дозволи» й видаліть усіх, кого ви не додавали - зловмисники часто підтверджують себе як власників, щоб пришвидшити індексацію спаму, і цей доступ лишається в них після чистки файлів. Надішліть запити на видалення впроваджених адрес.
4. Запросіть перевірку. У «Проблемах безпеки», після того як усе виправлено, натисніть «Запросити перевірку». Опишіть конкретно, що було скомпрометовано, що ви видалили і що змінили, щоб це не повторилося. Розпливчасті заявки відхиляють, і це коштує вам ще одного циклу.
Скільки це займає
Google зазначає, що перевірка повідомлень про зламані сайти зазвичай триває кілька днів, але може й довше. Дві речі надійно її сповільнюють: запит перевірки до того, як сайт справді чистий - це відмова й нове місце в черзі, і спам-адреси, залишені в індексі, які Google обходить заново й знову знаходить у вашому sitemap.
Щойно позначку знято, клікабельність відновлюється швидко - зазвичай того ж тижня. Покази в сторінок, витіснених спамом, повертаються довше, зазвичай за кілька тижнів.
Щоб це не повторилося
Майже кожне повторне зараження, по якому нас кличуть, повертається тими самими дверима, що й перше. Що справді важливо:
- Тримати WordPress, плагіни й теми оновленими - більшість проникнень експлуатують уразливість, закриту задовго до атаки.
- Видаляти плагіни, якими не користуєтеся; вимкнені плагіни досі доступні через HTTP.
- Двофакторна автентифікація на кожному адміністраторському акаунті.
- Бекапи поза сервером, хоча б раз перевірені на відновлення.
- Тримати Search Console і заглядати в неї - саме звідти ви дізнаєтеся про наступний інцидент раніше, ніж від клієнтів.
Повний список - у нашому гіді із захисту WordPress.
Якщо не хочете займатися цим самі
Чистка виснажлива, а крок із відновленням у Google легко зробити неправильно. Ми закриваємо і те, і те як послугу - чистка зламаного WordPress-сайту - включно з роботою в Search Console і запитом на повторну перевірку. Первинна перевірка нічого не коштує: надішліть адресу, і ми скажемо, що знайшли.
