Como remover o aviso de site perigoso do Google (passo a passo)

Como tirar o aviso de site perigoso e o 'Este site pode ter sido invadido' do Google: Safe Browsing, Search Console, pedido de revisão, prazos e blacklists.

Para remover o aviso de "site perigoso" do Google você precisa, nesta ordem: (1) limpar o site por completo, (2) verificar o domínio no Google Search Console, (3) abrir o relatório Problemas de segurança, conferir que todos os itens foram resolvidos e (4) clicar em Solicitar revisão, explicando o que foi feito. Não existe atalho: o aviso só sai depois que o Google analisa e confirma que o site está limpo.

O ponto mais importante é o primeiro. Pedir revisão com o site ainda infectado não só é recusado como pode atrasar as revisões seguintes. Se ainda não limpou, comece por como remover malware e backdoors do WordPress.

Que aviso é esse, exatamente?

O Google mostra avisos diferentes, e cada um indica um tipo de problema:

Os avisos vêm do Google Safe Browsing, o mesmo sistema usado pelo Chrome e por outros navegadores, e dos sistemas da Busca. Os dois são tratados no mesmo lugar: o relatório Problemas de segurança do Search Console.

Passo 1: confirme o status no Safe Browsing

Acesse o Status do site no Google Safe Browsing: https://transparencyreport.google.com/safe-browsing/search. Digite seu domínio. A ferramenta diz se o Google considera o site perigoso agora e, em linhas gerais, por quê.

Guarde o resultado (um print serve). Ele ajuda a confirmar depois que o aviso saiu.

Passo 2: limpe o site de verdade

O Google é claro nisso: a correção precisa ser feita no site inteiro, não em algumas páginas, e uma correção parcial não traz retorno parcial. Em WordPress, isso significa:

• backup completo (arquivos e banco) antes de mexer;
• reinstalar núcleo, plugins e temas de fontes oficiais;
• remover backdoors, arquivos PHP em uploads, regras estranhas no .htaccess e scripts injetados no banco;
• remover administradores desconhecidos e trocar todas as senhas e salts;
• corrigir a falha que permitiu a invasão.

Se o problema é spam em japonês ou páginas de farmácia, veja também o guia do hack de palavras-chave japonesas, que tem passos específicos de Search Console.

Passo 3: verifique o site no Search Console

Se você ainda não tem o domínio no Google Search Console (search.google.com/search-console), adicione-o. A forma mais robusta é a propriedade de domínio, verificada por um registro TXT no DNS. Ela cobre www, sem www, http, https e subdomínios, e funciona mesmo que o site esteja em manutenção.

Já tinha o Search Console? Antes de qualquer coisa, abra Configurações > Usuários e permissões e remova qualquer proprietário que você não reconheça. Invasores às vezes se adicionam como donos para controlar a indexação.

Passo 4: leia o relatório Problemas de segurança

No menu lateral, em Segurança e ações manuais > Problemas de segurança, o relatório mostra:

• o tipo de problema (conteúdo hackeado, malware e software indesejado, engenharia social);
• os itens específicos, como injeção de código, injeção de conteúdo, injeção de URL, páginas enganosas, downloads nocivos;
• exemplos de URLs afetadas e a data de detecção.

As URLs de exemplo são só amostras. Não limpe apenas elas: elas apontam o tipo de infecção, e a limpeza precisa cobrir o site todo.

Abra as URLs de exemplo com a ferramenta Inspeção de URL e use o teste ao vivo para ver o que o Google enxerga. Isso pega casos de cloaking, em que o site mostra uma coisa para você e outra para o robô do Google.

Aproveite e confira também Ações manuais. É outro relatório, para práticas de spam e manipulação de busca. Se houver uma ação manual (por exemplo, por spam gerado por invasão), ela tem seu próprio pedido de reconsideração.

Passo 5: solicite a revisão

Com tudo corrigido e testado, clique em Solicitar revisão no relatório. No formulário, descreva:

1. o problema que foi encontrado;
2. o que você fez para corrigir;
3. o resultado.

Exemplo de texto objetivo:

"O site foi comprometido por um plugin desatualizado, que permitiu o envio de arquivos PHP maliciosos. Fizemos backup, reinstalamos o WordPress, todos os plugins e o tema a partir das fontes oficiais, removemos os arquivos maliciosos em wp-content/uploads e os scripts injetados no banco, excluímos dois administradores desconhecidos e trocamos todas as senhas e chaves. O plugin vulnerável foi removido. As URLs de exemplo agora retornam conteúdo legítimo ou 404."

Seja específico. Texto genérico ("já arrumei, por favor revisem") não ajuda.

Quanto tempo demora

Segundo a central de ajuda do Search Console, para malware, injeção de código, injeção de conteúdo, injeção de URL, páginas enganosas, downloads nocivos e phishing, a revisão pode levar de alguns dias a algumas semanas. Você recebe um e-mail quando o Google recebe o pedido e outro quando a análise termina.

Enquanto espera:

• não reenvie o pedido; o Google orienta não fazer isso com um pedido pendente;
• mantenha as URLs de exemplo acessíveis para o Google (sem bloqueio por senha ou robots.txt), para que ele consiga conferir a correção;
• monitore se algum arquivo malicioso reaparece. Se reaparecer, a revisão provavelmente vai ser negada.

Se a revisão for negada, o e-mail e o relatório indicam o que ainda está errado. Corrija, teste de novo e só então reenvie. Pedidos repetidos com o site ainda infectado podem aumentar o tempo das revisões seguintes e fazer o site ser marcado como reincidente.

Atenção: o aviso no navegador some quando o Safe Browsing atualiza o status. Já o tráfego orgânico pode levar mais tempo para voltar, especialmente se o Google indexou milhares de páginas de spam no seu domínio.

Outras listas de bloqueio (blacklists)

O Google não é o único que bloqueia sites. Depois de limpar, verifique também:

• Navegadores e antivírus: Microsoft Edge (SmartScreen), Norton, McAfee, Kaspersky e outros mantêm listas próprias. Quase todos têm um formulário de reclamação ou revisão de site; procure "report incorrectly blocked site" ou equivalente no site do fornecedor.
• Scanners agregadores: o VirusTotal (virustotal.com) consulta dezenas de mecanismos de uma vez e mostra quem ainda marca seu domínio. O Sucuri SiteCheck (sitecheck.sucuri.net) também verifica algumas listas.
• Listas de e-mail: se o servidor foi usado para spam, o IP ou o domínio pode estar em listas como a Spamhaus, e seus e-mails passam a cair no spam. A remoção é pedida no próprio site da lista, normalmente depois de provar que o envio parou. Em hospedagem compartilhada, peça ajuda à hospedagem, porque o IP não é só seu.
• Hospedagem: se a conta foi suspensa, mande a lista do que foi feito e peça a reativação.

Checklist para tirar o aviso

• Status consultado no Safe Browsing e registrado
• Backup completo antes da limpeza
• Site limpo por inteiro, não só as URLs de exemplo
• Porta de entrada corrigida e senhas trocadas
• Proprietários desconhecidos removidos do Search Console
• URLs de exemplo testadas com a Inspeção de URL
• Revisão solicitada com descrição específica
• Ações manuais conferidas
• VirusTotal e outras listas verificados
• Monitoramento enquanto a revisão está pendente

Para não voltar a aparecer

Site que volta a ser infectado depois da revisão sofre mais na próxima vez. Depois da limpeza, aplique o checklist de segurança para WordPress: atualizações em dia, nada de plugin pirata, 2FA, backups fora do servidor e monitoramento.

Prefere que alguém cuide disso?

Se você tem perfil técnico, este roteiro é o mesmo que um profissional seguiria, e dá para fazer por conta própria. Se o aviso está derrubando suas vendas e você prefere delegar, a Mobgeek faz a limpeza de site WordPress invadido, incluindo remoção de malware e backdoors, troca de credenciais, hardening, o pedido de revisão no Google e um relatório do que foi feito, com 30 dias de garantia contra reinfecção. Início em até 24h, a partir de R$ 790. Há também um plano mensal de proteção para acompanhar o site depois. Se quiser, peça um orçamento.