«Deceptive site ahead» og andre varsler fra Google

Den røde advarselen i Chrome kommer fra Google Safe Browsing. Google har funnet noe på siden som kan lure eller skade besøkende, enten fordi siden er hacket, eller på grunn av annonser eller innhold fra andre nettsider. Det kan være en falsk innloggingsside, skadevare eller kode som sender besøkende videre. I engelsk Chrome heter advarselen «Dangerous site» eller «Deceptive site ahead», og i søkeresultatene kan Google også vise en merknad om at siden kan være hacket. Firefox og Safari bruker de samme listene, så advarselen vises også der.

Advarselen blir stående til problemet er borte. Google sjekker siden på nytt automatisk etter en tid, men det går raskere hvis du ber om en ny gjennomgang i Search Console når siden er ren.

Finn ut hva Google har funnet

1. Slå opp domenet ditt i Googles oppslag for Safe Browsing. Der ser du om siden er merket som usikker akkurat nå.
2. Logg inn i Search Console og åpne rapporten Sikkerhetsproblemer. Den viser hvilken type problem Google har funnet, og eksempler på adresser.
3. Hvis du ikke bruker Search Console ennå, må du først legge til domenet og bekrefte eierskapet med en TXT-oppføring i DNS. TXT-oppføringen legger du inn der DNS for domenet styres, for eksempel hos domeneforhandleren eller i Cloudflare. Har du ikke tilgang til DNS, kan du i stedet legge til nettstedet med nettadresseprefiks og bekrefte det med en HTML-fil i rotmappen.

Problemtypen forteller hvor du skal lete

• Deceptive pages (villedende sider) betyr innhold som lurer besøkende til å gi fra seg opplysninger eller laste ned noe, for eksempel en falsk innloggingsside. Det kan også skyldes annonser eller innebygd innhold fra andre nettsider.
• Hacked: Malware betyr at siden er infisert med skadevare eller sprer skadevare til besøkende.
• Hacked: Code injection betyr skadelig kode i sidene dine, for eksempel kode som sender besøkende videre.
• Hacked: Content injection betyr spamtekst eller spamlenker på sider du har laget selv.
• Hacked: URL injection betyr nye sider som angriperen har laget, med spamtekst eller skadelige lenker.

Rydd opp

1. Ta en kopi av filene og databasen før du sletter noe.
2. Finn filene bak eksempeladressene. Ligger adressen i en mappe, for eksempel under wp-content/uploads, finner du den samme mappen med FTP eller filbehandleren i hostingpanelet.
3. Slett det angriperen har lagt inn. Skriv deretter ned og steng ute ukjente administratorer, bytt alle passord og oppdater WordPress, utvidelser og temaer. Slett de ukjente administratorene til slutt. Ellers kommer angriperen tilbake gjennom samme sikkerhetshull.
4. Peker rapporten på annonser eller innebygd innhold fra andre nettsider, fjerner du det.
5. Lim eksempeladressene inn i søkefeltet øverst i Search Console og kjør en live-test. Skadelig kode kan vise Google noe annet enn det du ser i nettleseren. Adressene skal gi 404 eller vise ditt eget innhold.
6. Skann siden utenfra med Sucuri SiteCheck. Den viser om siden fortsatt sprer skadevare, og om domenet står på andre svartelister enn Googles.

Be om en ny gjennomgang

1. Når hele siden er ren, ber du om en ny gjennomgang i rapporten Sikkerhetsproblemer.
2. Beskriv problemet, hva du har gjort for å fjerne det, og hvordan du har sjekket at siden er ren.
3. Vent på svar. Ifølge Google tar en gjennomgang fra noen dager til noen uker. Du får e-post når Google har mottatt forespørselen, og når den er ferdig behandlet.
4. Ikke send en ny forespørsel før du har fått svar. Ber du om en ny gjennomgang før problemet er løst, kan den neste ta lengre tid.

Når Google har bekreftet at siden er ren, forsvinner advarselen.

Hvis advarselen ikke forsvinner

En avvist forespørsel betyr at Google har funnet mer, og rapporten viser nye eksempler. Kommer problemet tilbake etter hver opprydding, er sikkerhetshullet angriperen bruker, fortsatt åpent. Da er det ikke nok å fjerne det Google peker på. Noen må gå grundig gjennom filene, databasen og serverloggene for å finne sikkerhetshullet angriperen kom inn gjennom. Får du ikke bekreftet nettstedet i Search Console, trenger du tilgang til DNS for domenet eller til filene på serveren.