„Ta witryna mogła zostać zhakowana” — komunikat w Google. Co oznacza i jak go usunąć?

Wpisujesz w Google nazwę swojej firmy. Wynik jest na pierwszym miejscu, jak zawsze — ale pod nim, szarą czcionką, stoi: „Ta witryna mogła zostać zhakowana”. Nic nie klikasz, bo nie musisz: ten jeden wiersz przeczytał już każdy klient, który szukał Cię dzisiaj. I większość z nich kliknęła w wynik poniżej — w konkurencję. Ten tekst wyjaśnia, co dokładnie oznacza komunikat, czym różni się od czerwonego ekranu w przeglądarce, gdzie zobaczyć szczegóły i jak go zdjąć.

Co Google chce Ci powiedzieć

Etykieta pojawia się, gdy systemy Google uznają, że na Twojej stronie ktoś trzeci umieścił treść bez Twojej wiedzy: spamerskie podstrony, ukryte linki, przekierowania na obce strony. Google nie twierdzi, że strona jest niebezpieczna dla odwiedzających (od tego jest inny mechanizm — patrz niżej); mówi, że strona najprawdopodobniej nie jest w pełni pod Twoją kontrolą, i ostrzega użytkowników, żeby nie ufali jej treściom. W praktyce etykieta towarzyszy najczęściej dwóm rodzajom włamań: japońskiemu spamowi w wynikach (setki obcych podstron pod Twoją domeną) oraz złośliwym przekierowaniom.

Słowo „mogła” nie oznacza wątpliwości Google. Oznacza ostrożność prawną. W naszej praktyce nie spotkaliśmy strony z tą etykietą, która okazałaby się czysta.

Etykieta a czerwony ekran — dwie różne rzeczy

Warto odróżnić dwa ostrzeżenia Google, bo mają różne przyczyny i różne drogi zdjęcia:

• „Ta witryna mogła zostać zhakowana” — ostrzeżenie w wynikach wyszukiwania. Dotyczy spamu i obcej treści. Strona dalej się otwiera. Źródło: systemy Google Search.
• Czerwony ekran „Witryna zawiera złośliwe oprogramowanie” / „Przed Tobą witryna wyłudzająca informacje” — ostrzeżenie w przeglądarce, zanim strona się otworzy. Dotyczy złośliwego oprogramowania i phishingu. Źródło: Google Safe Browsing, z którego korzystają też Firefox i Safari. Omawiamy go osobno: Czerwony ekran — co robić.

Jedna strona może mieć oba ostrzeżenia naraz. Jeśli masz tylko etykietę, to zwykle znaczy, że włamanie jest „komercyjne” (spam pod pozycjonowanie), a nie wymierzone w odwiedzających — co nie zmienia faktu, że ten sam kod może w każdej chwili zacząć robić coś gorszego.

Gdzie zobaczyć, co dokładnie znalazł Google

W Google Search Console, w sekcji Bezpieczeństwo i ręczne działania → Problemy dotyczące bezpieczeństwa. Google podaje tam kategorię problemu (np. treść wstrzyknięta przez hakera, adresy URL wstrzyknięte przez hakera, przekierowania) i przykładowe adresy, na których go wykrył. To najważniejsze źródło informacji o włamaniu — i jedyne miejsce, w którym można później złożyć wniosek o zdjęcie etykiety.

Jeśli nie masz Search Console: załóż ją teraz i zweryfikuj domenę (najprościej rekordem DNS u rejestratora albo plikiem na serwerze). Bez niej Google nie miał Cię jak ostrzec — dlatego o etykiecie dowiedziałeś się od klienta, a nie z e-maila. Przy okazji sprawdź w ustawieniach listę użytkowników i właścicieli: przy niektórych włamaniach spamerzy dodają tam własne konto.

Jak zdjąć etykietę — cztery etapy

1. Potwierdź i udokumentuj

Przejrzyj przykładowe adresy z Search Console, wpisz site:twojadomena.pl w Google, zrób zrzuty ekranu. Zobacz ukrytą treść testem na żywo w narzędziu sprawdzania adresu URL — bo w przeglądarce spam zwykle jest niewidoczny (to cloaking). Pełna lista samodzielnych testów: 7 prostych testów.

2. Wyczyść stronę — całą, nie tylko przykładowe adresy

Najczęstszy błąd: usunięcie podstron, które Google wskazał jako przykłady, i złożenie wniosku. Google przy sprawdzeniu znajdzie pozostałe tysiąc i odrzuci wniosek. Czyszczenie znaczy: usunięcie złośliwego kodu ze wszystkich miejsc (pliki, baza, .htaccess, wtyczki, zadania cron), usunięcie obcych kont, wymiana haseł i kluczy oraz zamknięcie luki, przez którą weszli. Tak wygląda ta praca u nas: czyszczenie strony po włamaniu.

3. Posprzątaj w indeksie

Spamerskie adresy po wyczyszczeniu mają zwracać 404 lub 410. W Search Console zgłoś tymczasowe usunięcie adresów z prefiksem katalogów spamu (nie całej domeny). Prześlij ponownie własną mapę strony, żeby Google szybciej odwiedził prawdziwe podstrony.

4. Złóż wniosek o ponowne sprawdzenie

W raporcie Problemy dotyczące bezpieczeństwa kliknij „Poproś o sprawdzenie”. Napisz krótko i konkretnie: co znaleziono, jak usunięto, jak zamknięto lukę, jak zabezpieczono stronę na przyszłość. Google ocenia wnioski ręcznie lub półautomatycznie — zwykle trwa to od kilku dni do około dwóch tygodni. Pozytywna decyzja = etykieta znika z wyników w ciągu kolejnych dni. Negatywna = strona nadal zawiera ślady; trzeba czyścić dalej i złożyć wniosek ponownie. Każdy odrzucony wniosek wydłuża całość, dlatego warto zrobić to porządnie za pierwszym razem.

Ile to kosztuje firmę

Etykieta nie obniża pozycji wprost — ale obniża klikalność wyniku, a z czasem spamerskie podstrony psują ocenę całej domeny i pozycje spadają same. Do tego dochodzi efekt wizerunkowy: klient, który zobaczył „mogła zostać zhakowana” przy nazwie Twojej firmy, zapamięta to na długo. Im szybciej zdejmiesz etykietę, tym mniejsze straty — a czas liczy się od momentu wyczyszczenia, nie od momentu zauważenia. Dlatego nie czekaj z czyszczeniem „do poniedziałku”.

Jak nie dostać jej ponownie

• Search Console skonfigurowana i sprawdzana (e-maile z Google czytane, nie ignorowane).
• Aktualizacje rdzenia, wtyczek i motywu na bieżąco; wtyczki nieużywane usunięte, nie tylko wyłączone.
• Dwuetapowe logowanie do panelu, silne i unikalne hasła.
• Kopie zapasowe poza serwerem, monitoring zmian plików.
• Jeśli to kolejne włamanie tej samej strony — przemyśl fundament. O tym, kiedy WordPress ma sens, a kiedy nie, piszemy w tekście Czy WordPress jest bezpieczny?.