Reputatie van bedreigingen

Hoe deze controle werkt

Scanaris zoekt je URL op in Google Safe Browsing, de blokkeerlijst die Chrome, Firefox, Safari, Android en Google Zoeken zelf gebruiken om voor gevaarlijke sites te waarschuwen. Hij vraagt naar vier soorten dreiging: malware, social engineering (phishing), ongewenste software en potentieel schadelijke applicaties. Geeft Safe Browsing geen treffer terug, dan is er geen bevinding: de overgrote meerderheid van de sites is schoon en dat melden heeft geen zin. Geeft het er wel een, dan opent hij een bevinding met kritieke ernst, de zwaarste die er is, met de gedetecteerde dreigingstypes. Mislukt de opvraging, dan wordt niets verzonnen.

Waarom dit belangrijk is

In Safe Browsing staan betekent in de praktijk van het internet af zijn. Elke bezoeker met Chrome, Firefox of Safari ziet een rode pagina over het hele scherm die zegt dat je site gevaarlijk is en afraadt om door te gaan; de meesten gaan niet door. Google voegt een waarschuwing toe aan de resultaten en deïndexeert je als het aanhoudt. E-mails met links naar je site belanden in de spam. En wat erachter zit is meestal erger dan de markering zelf: het betekent bijna altijd dat iemand in je server is binnengedrongen en code heeft geïnjecteerd die naar oplichting doorstuurt, advertenties toont of gegevens van je gebruikers steelt. Het is dus geen vals positief dat je laat verwijderen, maar een beveiligingsincident dat je moet oplossen.

Hoe je het oplost

1. Bevestig wat Google ziet. In Search Console vertelt de sectie "Beveiligingsproblemen" welke URL's en welk soort probleem. Het Transparantierapport van Google toont het ook zonder account.
2. Vind de geïnjecteerde code. Zoek naar recent gewijzigde bestanden die jij niet hebt aangeraakt, versluierde scripts aan het einde van JS- of PHP-bestanden, omleidingen in .htaccess of in de configuratie, beheerders die je niet herkent, plugins of thema's die je niet hebt geïnstalleerd. Op WordPress helpt een malwarescanner; op elke stack is vergelijken met je schone repository het betrouwbaarst.
3. Ruim op en sluit de deur. Het veiligst is opnieuw deployen vanuit schone code, niet het geïnfecteerde oplappen. Daarna wat de aanvaller binnenliet: werk alles bij (WordPress, plugins, afhankelijkheden), verander alle wachtwoorden en sleutels (paneel, database, FTP, API, hosting), bekijk de controles WordPress, verouderde bibliotheken en gevoelige bestanden, en zet tweestapsverificatie aan bij de hoster.
4. Vraag een beoordeling aan. In Search Console, onder "Beveiligingsproblemen", de knop "Beoordeling aanvragen". Leg uit wat je hebt gevonden en wat je hebt gedaan. Google antwoordt meestal binnen een of twee dagen en de markering verdwijnt kort daarna uit de browsers.
5. Blijf waakzaam. Herinfecties zijn gebruikelijk als de deur open blijft. Scan na een week en na een maand opnieuw.

Controleer of het opgelost is

Open het Transparantierapport van Google en zoek je domein op:

https://transparencyreport.google.com/safe-browsing/search?url=jouwdomein.nl

Er moet staan dat er geen onveilige inhoud is gedetecteerd. In Search Console moet "Beveiligingsproblemen" leeg zijn. En open je site in Chrome vanuit een incognitovenster: er mag geen waarschuwing verschijnen.

Veelgestelde vragen

Mijn site is schoon, waarom ben ik gemarkeerd?

Soms komt de markering van een bron die je laadt: een gecompromitteerd extern script, een kwaadaardige advertentie, een plugin die omleidingen injecteert alleen voor bepaalde bezoekers of landen. Wat jij in je browser ziet, is niet per se wat een mobiele gebruiker in een ander land ziet. Bekijk de rapporten in Search Console, die de exacte URL en het type geven.

Hoe lang duurt het voordat het verwijderd is?

Na het opruimen en aanvragen van de beoordeling meestal tussen 24 en 72 uur. Vraag je de beoordeling aan zonder opgeruimd te hebben, dan wordt die afgewezen en duurt de volgende poging langer.

Detecteert deze controle lopende aanvallen?

Nee: hij detecteert dat Google je al heeft gemarkeerd, wat het gevolg is. Live inbraakpogingen (brute force op de login, diefstal van inloggegevens) vereisen een agent in je applicatie; dat doet de live-dreigingendienst van de Pro-plannen.