Uma grande tela vermelha antes da sua página inicial, uma mensagem de alerta abaixo do seu resultado no Google: o seu site foi marcado como perigoso. A maioria dos visitantes dá meia-volta, e os seus e-mails com um link para o site também podem ser sinalizados. Este artigo explica de onde vem esse alerta, quais navegadores o exibem, como removê-lo no Google, na Microsoft e no Bing e quais prazos esperar.
O que o aviso significa
Por trás da maioria dessas telas está o Google Safe Browsing, um serviço que mantém listas de sites perigosos. Segundo a sua página oficial, ele ajuda a proteger mais de cinco bilhões de dispositivos todos os dias, exibindo um aviso quando um usuário tenta abrir um site perigoso ou baixar um arquivo perigoso. O Chrome e outros navegadores o utilizam, assim como a Pesquisa Google, o Gmail, o Android e o Google Ads.
O alerta assume duas formas, que a Ajuda do Search Console descreve assim: um aviso nos resultados de pesquisa ou uma página intersticial no navegador, exibida antes do seu site. No Chrome, a página de phishing tem, por exemplo, o título “Deceptive site ahead” em inglês. Um visitante pode ignorar o aviso, mas precisa fazer isso de propósito, clicando em detalhes pouco visíveis.
Esse alerta é diferente do spam de SEO descrito no nosso artigo sobre site invadido e SEO, mesmo que os dois costumem ter a mesma origem: uma invasão. O spam de SEO mira os mecanismos de busca; o Safe Browsing mira a proteção dos visitantes.
As causas, com os nomes que o Google usa
O relatório Problemas de segurança do Search Console classifica os problemas em erros e avisos. Estes são os que mais afetam um site WordPress, com a origem habitual de cada um.
| Problema indicado pelo Google | O que ele abrange | Origem frequente no WordPress |
|---|---|---|
| Invasão: malware | O site hospeda ou aciona um software nocivo | Arquivo PHP ou script injetado após a exploração de um plugin vulnerável |
| Invasão: injeção de código, de conteúdo ou de URL | Conteúdo adicionado sem permissão | Conta de administrador comprometida, tema ou plugin invadidos |
| Páginas enganosas | Engenharia social: imitar uma entidade confiável para obter uma senha ou um download | Página de phishing colocada em uma subpasta por um invasor |
| Conteúdo enganoso nos recursos incorporados | Anúncio, imagem ou script de terceiros enganoso exibido nas suas páginas | Rede de anúncios ou script externo que exibe de vez em quando um falso alerta |
| Downloads prejudiciais e links para downloads prejudiciais | Arquivos perigosos hospedados ou oferecidos por link | Arquivo compactado adulterado na biblioteca de mídia, plugin “nulled” modificado |
| Possível phishing detectado no login do usuário (aviso) | Formulário de login considerado suspeito | Página de login que imita um serviço conhecido |
O caso dos recursos incorporados merece atenção especial. O Google explica que um conteúdo de engenharia social incorporado constitui uma violação para a página que o hospeda e que as redes de anúncios podem fazer rodízio dos anúncios: um anúncio enganoso pode, portanto, aparecer só de vez em quando, o que dificulta reproduzi-lo. Se o seu site não foi invadido, mas exibe publicidade de terceiros, comece por aí.
Quem exibe o aviso
Nem todos os navegadores consultam a mesma lista, o que explica por que um site pode ser bloqueado no Chrome e não no Edge, ou o contrário.
- O Chrome se apoia no Safe Browsing.
- O Firefox também usa o serviço Safe Browsing do Google, segundo a ajuda da Mozilla, com uma proteção ativada por padrão.
- O Safari recebe a sua lista de sites maliciosos do Google; nos dispositivos configurados para a China continental, a lista vem da Tencent, segundo os esclarecimentos dados pela Apple em 2019.
- O Microsoft Edge e o Windows usam o Microsoft Defender SmartScreen, que compara os sites visitados com uma lista dinâmica de sites de phishing e de malware e analisa o comportamento das páginas.
- O Bing analisa os sites por conta própria e pode exibir um aviso nos seus resultados.
O impacto no tráfego e na reputação
O Google não publica taxas de abandono para essas telas, e nós não vamos inventar nenhuma. O mecanismo basta para entender o que está em jogo: a tela se interpõe antes do carregamento da sua página, sobre um fundo vermelho que recomenda não continuar. As consequências vão além do navegador:
- O tráfego orgânico despenca mesmo que as suas posições não mudem, porque o aviso aparece nos resultados e na chegada ao site.
- As campanhas de anúncios podem ser afetadas, já que o Google Ads faz parte dos produtos que usam o Safe Browsing.
- Os e-mails que contêm um link para o site podem ser sinalizados pelo Gmail.
- A confiança dos clientes que viram a tela vermelha não volta no momento em que ela desaparece.
Verificar a situação do seu site
- Ferramenta Status do site do Relatório de Transparência do Google: digite o seu domínio para saber se o Safe Browsing detectou conteúdo perigoso nele.
- Search Console, relatório Problemas de segurança: indica a categoria exata e exemplos de URLs. É o único lugar que dá os detalhes e permite solicitar a revisão.
- Bing Webmaster Tools: verifique se há algum problema de malware indicado ali.
- Um computador limpo, sem sessão aberta: assim como no spam de SEO, o código malicioso pode poupar o administrador conectado.
Sair da lista, passo a passo
O Google pede que o problema seja corrigido em todas as páginas afetadas e que todos os problemas listados sejam resolvidos antes de solicitar a revisão. Para um site invadido, siga o nosso procedimento de limpeza de um site WordPress e depois:
- Feche a porta de entrada: atualização ou remoção do plugin envolvido, senhas trocadas, contas desconhecidas excluídas. Sem isso, a reinfecção é provável.
- Teste a página inicial e as URLs citadas no relatório com a inspeção de URL do Search Console.
- Solicite a revisão no relatório Problemas de segurança, explicando o problema, as ações realizadas e o resultado.
- No caso de phishing, você também pode usar o formulário de comunicação de erro do Safe Browsing, mencionado pelo Google no web.dev.
- Do lado da Microsoft, se o Edge ainda bloquear o site, envie-o pelo formulário de envio da Microsoft, escolhendo o produto SmartScreen.
- Do lado do Bing, o Bing Webmaster Tools oferece um pedido de reavaliação após a limpeza. No lançamento, em 2013, o Bing explicava que realiza várias análises aprofundadas e que, depois de uma reavaliação malsucedida, é preciso esperar antes de enviar outra.
Não envie um novo pedido enquanto o anterior estiver em andamento. O Google informa que um pedido enviado antes da resolução completa prolonga a duração do alerta. Se o pedido for recusado, retome a análise: provavelmente ainda resta um arquivo esquecido, uma tarefa agendada ou um anúncio enganoso.
Evitar um novo alerta
A maioria dos alertas no WordPress é consequência de um comprometimento. As medidas que contam são, portanto, as mesmas de qualquer segurança básica, com alguns pontos próprios deste assunto:
- Faça um inventário dos scripts de terceiros: redes de anúncios, widgets, ferramentas de chat. Cada um pode exibir um conteúdo enganoso pelo qual você será responsabilizado.
- Nunca instale plugins ou temas “nulled”, muitas vezes modificados para carregar código malicioso (veja o nosso artigo sobre plugins nulled).
- Acompanhe as vulnerabilidades dos seus plugins e aplique as correções rapidamente.
- Limite as origens de scripts com uma política CSP: um script injetado a partir de um domínio não autorizado não é executado nos navegadores que aplicam a política.
- Mantenha o Search Console verificado e os alertas por e-mail ativos: é por ele que o Google avisa você.
No WP Masquerade Pro, várias funções seguem nessa direção sem pretender substituir um antivírus: os alertas sobre plugins e temas vulneráveis com a correção a aplicar, os cabeçalhos de segurança, entre eles a CSP, a verificação de integridade do núcleo e o registro de atividade dos administradores. O objetivo é detectar mais cedo o que o Google acabaria detectando no seu lugar.
Leia também: Site WordPress hackeado: como reagir e consertar.
Para lembrar
- O Chrome, o Firefox e o Safari se apoiam nas listas do Google Safe Browsing; o Edge usa o SmartScreen.
- O relatório Problemas de segurança mostra a causa exata e serve para solicitar a revisão.
- Um anúncio de terceiros enganoso basta para que um site não invadido seja sinalizado.
- Prazos indicados pelo Google: cerca de um dia (phishing), alguns dias (malware), até várias semanas (spam).
- Feche a falha antes de qualquer pedido e não o reenvie enquanto aguarda uma decisão.
Fontes
- Google Safe Browsing, página oficial (abre em uma nova aba)
- Google Transparency Report, Status do site (abre em uma nova aba)
- Ajuda do Search Console, relatório Problemas de segurança (abre em uma nova aba)
- Google Search Central, Engenharia social (atualização de 10 de dezembro de 2025) (abre em uma nova aba)
Outras fontes consultadas: documentação oficial, páginas oficiais dos fornecedores e artigos da imprensa especializada.
