Reputação de ameaças

Como funciona esta verificação

O Scanaris consulta o teu URL no Google Safe Browsing, a lista negra que o Chrome, o Firefox, o Safari, o Android e a própria pesquisa da Google usam para avisar de sites perigosos. Pergunta por quatro tipos de ameaça: malware, engenharia social (phishing), software indesejado e aplicações potencialmente nocivas. Se o Safe Browsing não devolver nenhuma correspondência, não há achado: a imensa maioria dos sites está limpa e não faz sentido dizê-lo. Se devolver alguma, abre um achado de severidade crítica, o mais grave que existe, com os tipos de ameaça detetados. Se a consulta falhar, não se inventa nada.

Porque importa

Estar no Safe Browsing é, na prática, estar fora da internet. Cada visitante com Chrome, Firefox ou Safari vê um ecrã vermelho a toda a largura a dizer que o teu site é perigoso e a recomendar-lhe que não entre; a maioria não entra. A Google acrescenta um aviso nos resultados e, se persistir, desindexa. Os e-mails com ligações para o teu site vão para o spam. E o que está por trás costuma ser pior do que a marca em si: quase sempre significa que alguém entrou no teu servidor e injetou código que redireciona para burlas, mostra anúncios ou rouba dados dos teus utilizadores. Ou seja, não é um falso positivo que haja que tirar, é um incidente de segurança que há que resolver.

Como corrigir

1. Confirma o que a Google vê. Na Search Console, a secção "Problemas de segurança" diz-te que URLs e que tipo de problema. O relatório de transparência da Google também o mostra sem conta.
2. Encontra o código injetado. Procura ficheiros modificados recentemente que tu não tocaste, scripts ofuscados no fim dos JS ou dos PHP, redirecionamentos no .htaccess ou na configuração, utilizadores administradores que não reconheces, plugins ou temas que não instalaste. No WordPress, um scanner de malware ajuda; em qualquer stack, comparar com o teu repositório limpo é o mais fiável.
3. Limpa e fecha a porta. O mais seguro é voltar a fazer deploy a partir do código limpo, não remendar o infetado. Depois, o que deixou entrar o atacante: atualiza tudo (WordPress, plugins, dependências), muda todas as palavras-passe e chaves (painel, base de dados, FTP, API, alojamento), revê as verificações de WordPress, bibliotecas desatualizadas e ficheiros sensíveis, e ativa o duplo fator no alojamento.
4. Pede a revisão. Na Search Console, dentro de "Problemas de segurança", o botão "Pedir revisão". Explica o que encontraste e o que fizeste. A Google costuma responder em um ou dois dias e a marca desaparece dos browsers pouco depois.
5. Vigia. As reinfeções são habituais se a porta continuar aberta. Repete a análise passada uma semana e passado um mês.

Confirma que está corrigido

Abre o relatório de transparência da Google e procura o teu domínio:

https://transparencyreport.google.com/safe-browsing/search?url=teudominio.com

Deve dizer que não foi detetado conteúdo inseguro. Na Search Console, "Problemas de segurança" deve estar vazio. E abre o teu site no Chrome numa janela anónima: não deve aparecer nenhum aviso.

Perguntas frequentes

O meu site está limpo, porque estou marcado?

Às vezes a marca vem de um recurso que carregas: um script de terceiros comprometido, um anúncio malicioso, um plugin que injeta redirecionamentos só para certos visitantes ou países. O que tu vês no teu browser pode não ser o que vê um utilizador de telemóvel noutro país. Revê os relatórios da Search Console, que indicam o URL exato e o tipo.

Quanto tempo demora a tirar?

Depois de limpar e pedir a revisão, normalmente entre 24 e 72 horas. Se pedires a revisão sem ter limpado, rejeitam-na e a tentativa seguinte demora mais.

Esta verificação deteta ataques em curso?

Não: deteta que a Google já te marcou, que é a consequência. As tentativas de intrusão em direto (força bruta no login, roubo de credenciais) precisam de um agente dentro da tua aplicação; é o que faz o serviço de ameaças em direto dos planos Pro.