Una grande schermata rossa prima della tua home page, un messaggio di avviso sotto il tuo risultato in Google: il tuo sito è stato segnalato come pericoloso. La maggior parte dei visitatori torna indietro, e anche le tue e-mail che contengono un link al sito possono essere segnalate. Questo articolo spiega da dove viene la segnalazione, quali browser la mostrano, come farla rimuovere da Google, Microsoft e Bing e quali tempi prevedere.
Che cosa significa l’avviso
Dietro la maggior parte di queste schermate c’è Google Safe Browsing, un servizio che mantiene elenchi di siti pericolosi. Secondo la sua pagina ufficiale, aiuta a proteggere oltre cinque miliardi di dispositivi ogni giorno, mostrando un avviso quando un utente tenta di aprire un sito pericoloso o di scaricare un file pericoloso. Lo usano Chrome e altri browser, così come la Ricerca Google, Gmail, Android e Google Ads.
La segnalazione assume due forme, che la Guida di Search Console descrive così: un avviso nei risultati di ricerca, oppure una pagina interstitial nel browser, che compare prima del tuo sito. In Chrome, per esempio, la pagina di phishing in inglese si intitola «Deceptive site ahead». Un visitatore può proseguire comunque, ma deve farlo di proposito, cliccando su dettagli poco visibili.
Questa segnalazione è diversa dallo spam SEO descritto nel nostro articolo su sito violato e posizionamento, anche se spesso hanno la stessa origine: un attacco. Lo spam SEO prende di mira i motori di ricerca, Safe Browsing punta a proteggere i visitatori.
Le cause, con i nomi usati da Google
Il report Problemi di sicurezza di Search Console classifica i problemi in errori e avvisi. Ecco quelli che colpiscono più spesso un sito WordPress, con la loro origine abituale.
| Problema segnalato da Google | Che cosa comprende | Origine frequente su WordPress |
|---|---|---|
| Compromissione: malware | Il sito ospita o avvia software dannoso | File PHP o script iniettato dopo lo sfruttamento di un plugin vulnerabile |
| Compromissione: iniezione di codice, di contenuti o di URL | Contenuti aggiunti senza autorizzazione | Account amministratore compromesso, tema o plugin violati |
| Pagine ingannevoli | Ingegneria sociale: imitare un’entità affidabile per ottenere una password o un download | Pagina di phishing caricata in una sottocartella da un attaccante |
| Risorse incorporate ingannevoli | Annuncio, immagine o script di terze parti ingannevole mostrato nelle tue pagine | Concessionaria pubblicitaria o script esterno che a tratti mostra un falso allarme |
| Download dannosi o link a download dannosi | File pericolosi ospitati o proposti tramite link | Archivio infetto nella libreria media, plugin «nulled» modificato |
| Possibile phishing rilevato all’accesso dell’utente (avviso) | Modulo di login ritenuto sospetto | Pagina di login che imita un servizio noto |
Il caso delle risorse incorporate merita un’attenzione particolare. Google precisa che un contenuto di ingegneria sociale incorporato costituisce una violazione per la pagina che lo ospita, e che le concessionarie possono far ruotare gli annunci: un annuncio ingannevole può quindi comparire solo di tanto in tanto, il che lo rende difficile da riprodurre. Se il tuo sito non è stato violato ma mostra pubblicità di terze parti, comincia da lì.
Chi mostra l’avviso
Non tutti i browser consultano lo stesso elenco: per questo un sito può essere bloccato in Chrome e non in Edge, o viceversa.
- Chrome si basa su Safe Browsing.
- Firefox usa anch’esso il servizio Safe Browsing di Google, secondo l’assistenza di Mozilla, con una protezione attiva di default.
- Safari riceve da Google il suo elenco di siti dannosi; per i dispositivi impostati sulla Cina continentale l’elenco arriva da Tencent, secondo le precisazioni fornite da Apple nel 2019.
- Microsoft Edge e Windows usano Microsoft Defender SmartScreen, che confronta i siti visitati con un elenco dinamico di siti di phishing e malware e analizza il comportamento delle pagine.
- Bing analizza i siti per conto proprio e può mostrare un avviso nei suoi risultati.
L’impatto su traffico e reputazione
Google non pubblica tassi di abbandono per queste schermate, e noi non ne inventeremo. Il meccanismo basta a capire la posta in gioco: la schermata si interpone prima del caricamento della tua pagina, su uno sfondo rosso che raccomanda di non proseguire. Le conseguenze vanno oltre il browser:
- Il traffico organico crolla anche se le tue posizioni non cambiano, perché l’avviso compare nei risultati e all’arrivo sul sito.
- Le campagne pubblicitarie possono risentirne, dato che Google Ads è tra i prodotti che usano Safe Browsing.
- Le e-mail che contengono un link al sito possono essere segnalate da Gmail.
- La fiducia dei clienti che hanno visto la schermata rossa non torna nel momento in cui scompare.
Verificare lo stato del tuo sito
- Strumento Stato del sito del Rapporto sulla trasparenza di Google: inserisci il tuo dominio per sapere se Safe Browsing vi ha rilevato contenuti pericolosi.
- Search Console, report Problemi di sicurezza: indica la categoria esatta ed esempi di URL. È l’unico punto che fornisce il dettaglio e permette di richiedere l’esame.
- Bing Webmaster Tools: controlla se vi è segnalato un problema di malware.
- Un computer pulito, senza sessioni aperte: come per lo spam SEO, il codice dannoso può risparmiare l’amministratore connesso.
Uscire dall’elenco, passo per passo
Google chiede di correggere il problema su tutte le pagine interessate e di risolvere tutti i problemi elencati prima di richiedere l’esame. Per un sito violato, segui la nostra procedura di pulizia di un sito WordPress, poi:
- Chiudi la porta d’ingresso: aggiornamento o rimozione del plugin responsabile, password cambiate, account sconosciuti eliminati. Senza questo passaggio, la reinfezione è probabile.
- Testa la home e gli URL citati nel report con lo strumento Controllo URL di Search Console.
- Richiedi un esame nel report Problemi di sicurezza, spiegando il problema, le azioni svolte e il risultato.
- Per il phishing, puoi usare anche il modulo di segnalazione errori di Safe Browsing, citato da Google su web.dev.
- Sul fronte Microsoft, se Edge blocca ancora il sito, invialo tramite il modulo di invio di Microsoft scegliendo il prodotto SmartScreen.
- Sul fronte Bing, Bing Webmaster Tools offre una richiesta di rivalutazione dopo la pulizia. Al momento del lancio, nel 2013, Bing precisava di eseguire diverse analisi approfondite e che una rivalutazione fallita obbliga ad attendere prima di inviarne un’altra.
Non inviare una nuova richiesta finché la precedente è in corso. Google indica che una richiesta inviata prima della risoluzione completa prolunga la durata della segnalazione. Se la richiesta viene respinta, riprendi l’analisi: probabilmente persiste un file dimenticato, un’attività pianificata o un annuncio ingannevole.
Prevenire una nuova segnalazione
La maggior parte delle segnalazioni su WordPress deriva da una compromissione. Le misure che contano sono quindi le stesse di qualsiasi sicurezza di base, con alcuni punti specifici per questo tema:
- Fai l’inventario degli script di terze parti: concessionarie pubblicitarie, widget, strumenti di chat. Ognuno può mostrare un contenuto ingannevole di cui sarai ritenuto responsabile.
- Non installare mai plugin o temi «nulled», spesso modificati per includere codice dannoso (vedi il nostro articolo sui plugin nulled).
- Tieni d’occhio le vulnerabilità dei tuoi plugin e applica rapidamente le correzioni.
- Limita le origini degli script con una policy CSP: uno script iniettato da un dominio non autorizzato non viene eseguito nei browser che applicano la policy.
- Mantieni verificata la proprietà in Search Console e attive le notifiche via e-mail: è da lì che Google ti avvisa.
In WP Masquerade Pro diverse funzioni vanno in questa direzione, senza pretendere di sostituire un antivirus: gli avvisi su plugin e temi vulnerabili con la correzione da applicare, le intestazioni di sicurezza tra cui la CSP, il controllo di integrità del core e il registro delle attività degli amministratori. L’obiettivo è scoprire prima ciò che Google finirebbe per scoprire al posto tuo.
Leggi anche: Sito WordPress hackerato: come reagire e ripararlo.
Da ricordare
- Chrome, Firefox e Safari si basano sugli elenchi di Google Safe Browsing; Edge usa SmartScreen.
- Il report Problemi di sicurezza indica la causa esatta e serve a richiedere l’esame.
- Basta un annuncio di terze parti ingannevole per far segnalare un sito non violato.
- Tempi indicati da Google: circa un giorno (phishing), alcuni giorni (malware), fino a diverse settimane (spam).
- Chiudi la falla prima di qualsiasi richiesta, e non inviarne un’altra finché si attende una decisione.
Fonti
- Google Safe Browsing, pagina ufficiale (si apre in una nuova scheda)
- Rapporto sulla trasparenza di Google, Stato del sito (si apre in una nuova scheda)
- Guida di Search Console, report Problemi di sicurezza (si apre in una nuova scheda)
- Google Search Central, Ingegneria sociale (aggiornamento del 10 dicembre 2025) (si apre in una nuova scheda)
Altre fonti consultate: documentazione ufficiale, pagine ufficiali dei produttori e articoli della stampa specializzata.
