In breve: per rimuovere l'avviso di Google su un sito violato deve prima chiudere la causa e rimuovere tutti i contenuti dannosi. Solo dopo richiede la verifica nella Google Search Console. Chi la richiede troppo presto o cancella solo le tracce visibili rischia un rifiuto, perché backdoor e pagine di spam nascoste di solito restano.
Quali avvisi mostra Google e perché
Google avverte in due modi dei siti compromessi. Nei risultati di ricerca, sotto la Sua voce può comparire un'indicazione che il sito potrebbe essere stato violato. Per ritrovamenti più gravi, ad esempio malware o phishing, i browser mostrano tramite Google Safe Browsing una pagina di avviso rossa prima ancora che il sito venga caricato.
La causa sono quasi sempre contenuti introdotti dagli aggressori: numerose pagine di spam per farmaci, gioco d'azzardo o contraffazioni di marchi, reindirizzamenti verso siti esterni, codice dannoso per i visitatori o pagine di login false. Per la Sua azienda significa meno visitatori, clienti insicuri e, nello shop, perdite dirette di fatturato.
Quali problemi Google abbia trovato è indicato nella Google Search Console sotto Sicurezza e azioni manuali, nel report Problemi di sicurezza. Lì sono spesso indicati URL di esempio che danno un primo punto di riferimento.
Prima bonificare, poi richiedere la verifica
L'ordine è decisivo. L'avviso di Google è un sintomo; finché la vulnerabilità è aperta e c'è una backdoor, i contenuti tornano, spesso subito dopo la cancellazione.
Un aggiornamento del CMS da solo non chiude ogni vulnerabilità. Con PHP2Shell la debolezza si trova in PHP stesso e una patch non rimuove il malware già introdotto. Controlli versione di PHP, stato delle patch e file prima di chiedere a Google la verifica.
Per la bonifica è sensato mettere il sito temporaneamente in modalità di manutenzione o scollegarlo dalla rete. Così protegge i visitatori mentre lavora e impedisce all'aggressore di inserire altri contenuti. Una modalità di manutenzione dovrebbe restituire il codice di stato 503, in modo che i motori di ricerca riconoscano l'interruzione come temporanea.
Rimuovere l'avviso di Google su un sito violato: passo dopo passo
- Mettere al sicuro le prove: salvare log, una copia dei file e del database prima di cancellare qualsiasi cosa.
- Controllare la Search Console: leggere il report sui problemi di sicurezza, annotare gli URL di esempio e cercare sotto Impostazioni, Utenti e autorizzazioni proprietari sconosciuti.
- Chiudere la vulnerabilità: aggiornare PHP, CMS, temi ed estensioni, rimuovere le estensioni non usate, riavviare i worker PHP dopo l'aggiornamento.
- Rimuovere il codice dannoso: sostituire i file core del CMS con quelli di una fonte pulita, cercare file PHP nelle directory di upload e di cache, controllare
.htaccesse configurazione del server per reindirizzamenti estranei. - Bonificare il database: rimuovere articoli di spam, script introdotti nei contenuti e nelle opzioni e account admin sconosciuti.
- Rinnovare gli accessi: cambiare le password di CMS, hosting, database, FTP e SSH, rigenerare le chiavi di sicurezza del CMS.
- Controllare il risultato: provare gli URL di esempio con l'ispezione URL e aprire il proprio sito come lo vede Google.
- Richiedere la verifica: nel report sui problemi di sicurezza richiedere la verifica e descrivere brevemente che cosa è stato trovato e risolto.
Tracce nascoste: pagine di spam, cloaking e proprietari estranei
Molti hack sono costruiti in modo che i gestori non se ne accorgano. I contenuti di spam compaiono solo per Googlebot o per i visitatori che arrivano dalla ricerca. Gli admin connessi vedono il sito normale. L'ispezione URL nella Search Console mostra invece il recupero dal punto di vista di Google.
Un ulteriore indizio è una ricerca con site:ihredomain.de combinata con termini tipici dello spam. Se compaiono pagine che non ha mai creato, è un segnale chiaro. Controlli anche le sitemap inviate: gli aggressori creano talvolta sitemap proprie per far indicizzare più in fretta le loro pagine di spam.
Sul server aiutano semplici controlli in sola lettura nella ricerca dei file modificati:
# File PHP e HTML modificati negli ultimi 14 giorni
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# File PHP nelle directory di upload (normalmente non dovrebbero esserci)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Regole di reindirizzamento nei file .htaccess
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Le regole che reindirizzano in modo diverso a seconda di referer o user agent sono una caratteristica tipica del cloaking. Con WordPress proceda in aggiunta in modo mirato secondo le indicazioni della guida Trovare le backdoor in WordPress.
Che cosa succede dopo la richiesta
Google verifica di nuovo il sito e comunica il risultato nella Search Console. Se la richiesta viene accolta, gli avvisi scompaiono. Se viene respinta, Google indica di solito altri URL di esempio. Allora cerchi in modo mirato i contenuti rimasti e richieda di nuovo solo dopo la bonifica.
Gli URL di spam già noti a Google dovrebbero restituire dopo la bonifica uno stato 404 o 410, in modo da uscire dall'indice. Non li reindirizzi in blocco alla home page. Continui a osservare la Search Console nelle settimane successive, perché la ricomparsa dello spam indica una backdoor trascurata. Un seguito completo è descritto nella nostra checklist dopo un hack.
Perché l'avviso non si ripeta, dopo la bonifica alcune cose dovrebbero essere regolate in modo permanente:
- Gli aggiornamenti di PHP, CMS, temi ed estensioni vengono installati tempestivamente e qualcuno ne è responsabile.
- Estensioni non usate, vecchie installazioni di prova e sottodirectory dimenticate sono rimosse.
- Gli accessi admin sono personali e protetti con un secondo fattore.
- Un monitoraggio dei file segnala nuovi file PHP nelle directory di upload e di cache.
- Le notifiche e-mail della Search Console arrivano a un indirizzo letto regolarmente.
In caso di interruzioni più lunghe o di dati dei clienti coinvolti, informi in modo oggettivo anche i Suoi clienti sullo stato. Una comunicazione aperta e pacata tutela di solito la fiducia meglio del silenzio.
Come aiuta concretamente PHP SOS?
- Mettiamo prima al sicuro le tracce e chiariamo da quale vulnerabilità l'aggressore è entrato.
- Bonifichiamo file, database e configurazione del server nell'ambito della rimozione del malware e chiudiamo la causa.
- Verifichiamo il sito dal punto di vista di Google, rimuoviamo i proprietari estranei della Search Console e prepariamo con Lei la richiesta di verifica.
- In caso di infezione acuta il nostro pronto intervento per siti violati si occupa del contenimento, fino alla chiusura e alla documentazione dell'incidente.
Domande frequenti
Quanto tempo passa prima che Google rimuova l'avviso?
Non si può prevedere in modo affidabile. La verifica inizia solo quando la richiede nella Search Console e dipende da tipo ed entità del problema. Lo stato lo vede nel report sui problemi di sicurezza.
Che cosa succede se richiedo la verifica troppo presto?
Se durante il controllo Google trova ancora contenuti dannosi, la richiesta viene respinta e l'avviso resta. I rifiuti ripetuti possono ritardare il controllo successivo. Richieda quindi la verifica solo dopo una bonifica completa.
Perché io stesso non vedo le pagine di spam?
Molti hack mostrano lo spam solo ai motori di ricerca o ai visitatori che arrivano da Google, e agli admin connessi la pagina normale. Questa tecnica si chiama cloaking. Con l'ispezione URL nella Search Console vede che cosa Google recupera davvero.
Dopo la bonifica devo ricostruire il posizionamento?
Dopo la rimozione dell'avviso la visibilità spesso si riprende, ma non necessariamente fino al livello precedente. È decisivo che gli URL di spam scompaiano dall'indice e che i contenuti veri siano raggiungibili invariati.