Сайт попал в чёрный список Яндекса и Google: как из него выйти

Выйти из чёрного списка обычно удаётся за 3-7 дней, но только если сайт действительно вычищен. После двух-трёх отказов следующая проверка идёт уже не три дня, а две недели, поэтому подавать заявку до окончания чистки себе дороже.

Заходите утром в Я.Вебмастер и видите алое уведомление: «Обнаружено вредоносное содержимое». Или в Search Console прилетает письмо про Social Engineering. В Chrome у клиентов между сайтом и контентом теперь красный экран с черепом и предупреждением, что заходить опасно. Конверсии падают в ноль за сутки. Дальше разберу, как выйти из этого штопора за 3-7 дней без потерь и без шараханий.

Сначала разберитесь, кто вас наказал и за что

Это не один общий чёрный список. Это минимум три разные системы, у каждой свои критерии и свой интерфейс для разбирательства.

Google Safe Browsing

Файрвол уровня браузера, который Google Chrome, Firefox, Safari и Яндекс Браузер используют как источник данных. Если ваш домен попал в Safe Browsing, эта пометка появится у миллиардов пользователей одновременно. Где смотреть:

• Search Console, раздел «Безопасность и меры, принятые вручную» — «Проблемы с безопасностью».
• Публичный отчёт transparencyreport.google.com/safe-browsing/search (без авторизации).

В Search Console будет конкретный текст нарушения и часто список заражённых URL. Это самое ценное: можете почистить точечно, не тыкаясь во весь сайт.

Яндекс (вирусы и нарушения)

Яндекс ведёт свою систему, не связанную с Google. Если у вас в Я.Вебмастере висит «Сайт заражён» или «Сайт нарушает рекомендации Яндекса» — это про их систему. Где смотреть:

• Я.Вебмастер, раздел «Безопасность и нарушения».
• Подраздел «Антивирус» с конкретным URL и сигнатурой угрозы.

Бывает ситуация: Google молчит, Яндекс блокирует. И наоборот. Они не синхронизированы.

РКН и блокировки

Отдельная история, не связанная с безопасностью. Если домен попал в реестр РКН (например, за упоминание чего-то запрещённого, за платёжку без 152-ФЗ-согласия, за ссылку на VPN-сервис), это не про вирусы. Проверяется на eais.rkn.gov.ru/ru/, лечится письмом в РКН с описанием, что и когда исправлено. В этой статье эту тему не разбираю — сценарий другой.

Какие категории нарушений ловят чаще всего

По моему опыту работы с малым бизнесом, 9 из 10 случаев попадания в чёрный список приходятся на четыре категории.

1. Malware (вредоносный код)

Самое частое. На сайт залит JS, который пытается заразить компьютер посетителя, или есть редирект на эксплойт-страницу. Источник почти всегда тот же: уязвимая CMS или плагин, через который злоумышленник внедрил полезную нагрузку. У меня в работе был кейс: магазин на OpenCart 3.0.0 (без обновлений с 2020 года), через дыру в модуле фильтра загрузили шелл, повесили JS-инжект на каждую карточку товара. Google Safe Browsing их поймал за 6 часов.

2. Social Engineering / Phishing

Контент сайта (даже если он там не вы залили) выглядит как попытка обмануть пользователя. Самые частые поводы:

• Кнопка «Скачать», которая ведёт не туда, куда обещает.
• Форма входа, имитирующая Госуслуги, банк или соцсеть.
• Поддельная страница оплаты с маскировкой под платёжную систему.
• Чужой логотип крупного бренда без отношения к нему.

Иногда такой контент злоумышленники подкладывают на хакнутый сайт в скрытые папки и используют для своих фишинговых рассылок. Жертва — вы, потому что домен уже ваш.

3. Unwanted Software / Misleading

Сайт распространяет ПО, которое Google считает вредным или вводящим в заблуждение. Сюда же попадают агрессивные баннеры в духе «Скачайте оптимизатор реестра», всплывающие окна с «Ваш компьютер заражён», навязчивые подмены кнопок скачивания.

4. Hacked Content

Самый раздражающий тип, потому что вы можете не знать о его существовании. Японский SEO-спам — классика жанра. Злоумышленник через дыру создаёт у вас на сайте сотни страниц со ссылками на подделки, контрафакт или казино, оптимизированных под японскую или китайскую выдачу. Вашу основную страницу не трогает. Вы видите только сообщение от Google: «На вашем сайте обнаружено вредоносное содержимое».

В Search Console будет список заражённых URL вида yoursite.ru/?s=fake-luxury-brand-jp или yoursite.ru/wp-content/uploads/2022/03/xxx.html. Они генерируются на лету или лежат отдельными файлами в uploads.

Что вычистить ДО подачи на пересмотр

Главная ошибка — подать на пересмотр, не дочистив. Google и Яндекс перепроверяют сайт ботом, видят те же сигнатуры, отказывают. После двух-трёх отказов следующая проверка может занять не 3 дня, а 14. Бюджет ошибок исчерпывается быстро.

Минимальный чек-лист чистки перед подачей:

• [ ] Снять полный бэкап текущего (заражённого) состояния. Это нужно, если потом что-то отвалится по работе сайта.
• [ ] Все файлы CMS сравнить с эталонной сборкой по checksum.
• [ ] Удалить всё, чего нет в эталоне или что было модифицировано без вашего ведома.
• [ ] Пройти grep’ом по eval(base64_decode|gzinflate), preg_replace.*/e, подозрительным @include.
• [ ] Проверить базу данных по тем же сигнатурам в *_options, *_postmeta, *_posts.
• [ ] Удалить всех неизвестных администраторов CMS.
• [ ] Сменить все пароли (CMS, FTP, SSH, MySQL, ключи в wp-config.php).
• [ ] Обновить ядро CMS и все плагины до текущих версий.
• [ ] Удалить плагины и темы, у которых нет обновлений больше двух лет.
• [ ] Удалить все PHP-файлы из директорий загрузок (uploads, upload, image/cache).
• [ ] Прогнать сайт через сторонний сканер (Sucuri SiteCheck, Quttera, VirusTotal) и убедиться, что чисто.

Дополнительно для случаев Hacked Content:

# найти все страницы с подозрительной активностью за последние 60 дней
find /var/www/yoursite -name "*.php" -mtime -60 -ls | head -50
find /var/www/yoursite -name "*.html" -mtime -60 -ls | head -50

# проверить wp_posts на массовое создание спам-страниц
mysql -e "SELECT COUNT(*), DATE(post_date) FROM wp_posts 
          WHERE post_status='publish' 
          GROUP BY DATE(post_date) 
          ORDER BY post_date DESC LIMIT 30" your_db

Если за один день вдруг создалось 200 постов вместо обычных 1-2, это и есть инжект. Удалить эти посты, после чего проверить, чтобы они не вернулись через cron-хук злоумышленника.

После чистки прогоните curl от лица гугл-бота:

curl -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" 
     -L -I https://yoursite.ru/
curl -A "Mozilla/5.0 (compatible; YandexBot/3.0; +http://yandex.com/bots)" 
     -L -I https://yoursite.ru/

Если редиректов нет, заголовок 200, это уже хороший знак. Если есть какие-то странные Location, сначала чините их, потом подавайте.

Как правильно подать на пересмотр в Google

В Search Console идём в раздел «Проблемы с безопасностью». Видим список заражённых URL и кнопку «Запросить проверку».

Алгоритм подачи:

1. Убедиться, что в списке заражённых URL у вас отмечено «Исправлено» по всем пунктам.
2. Нажать «Запросить проверку».
3. В поле описания работы по чистке написать конкретно, что вы сделали. На английском, кратко, по делу.

Шаблон описания, который у меня стабильно работает:

Hello,

We have completed remediation of the malware infection on yoursite.ru.

Actions taken:
1. Identified and removed malicious code injected into theme files
   (header.php) and wp-options table (option_name 'widget_text_4').
2. Updated WordPress core to 6.x and all plugins to latest versions.
3. Removed two abandoned plugins with known CVEs: plugin-name-1, plugin-name-2.
4. Reset all user passwords and rotated wp-config.php secret keys.
5. Restricted PHP execution in /uploads/ directory.
6. Installed Wordfence firewall and enabled file integrity monitoring.
7. Verified clean state with Sucuri SiteCheck and Quttera scans.

The infection vector was a vulnerable plugin (CVE-2024-XXXXX),
which has been removed.

Please review and remove the warning. Thank you.

Не пишите общие слова «мы всё почистили, проверьте». Конкретика про конкретные действия и причину заражения. Это сигнал ревьюеру, что вы понимаете проблему, а не просто стучите в дверь.

Как подать на пересмотр в Я.Вебмастере

В Я.Вебмастере процедура попроще. Раздел «Безопасность и нарушения» — «Антивирус». Там кнопка «Перепроверить сайт».

Особенности Яндекса:

• Кнопка перепроверки доступна не сразу: бывает блокировка на 24-48 часов после обнаружения нарушения.
• Тексты комментариев Яндекс в основном не читает руками — проверка автоматическая.
• Если обнаружение было через антивирус Яндекса (а не через жалобы пользователей), повторная проверка занимает 3-5 дней.

Если кнопка перепроверки серая или висит «ожидание проверки», не нужно раз в час нажимать. Это тот же бот, что и в первый раз, но с очередью. Каждое нажатие может сбросить очередь и поставить заново.

Сроки снятия пометки

По моей статистике на 2025-2026 годы:

Платформа	Среднее время	Минимум	Максимум
Google Safe Browsing	3 дня	6 часов	14 дней
Яндекс антивирус	5 дней	1 день	21 день
РКН (отдельная история)	3-7 дней	1 день	30+ дней

Если за указанный максимум пометка не снята, что-то пошло не так. Возможные причины:

1. Сайт всё ещё заражён (бот видит угрозу при перепроверке).
2. Заражена соседняя CMS на том же домене (например, blog.yoursite.ru или forum.yoursite.ru).
3. На том же IP есть другой заражённый сайт (актуально для shared-хостинга).
4. В DNS кто-то подменил A-запись и трафик уходит не на ваш сервер.

Третий пункт — реальная боль shared-хостинга. Если ваш сосед по IP ловит Safe Browsing, иногда страдает и ваш домен. Лечится переездом на отдельный IP или на другой хостинг.

Если повторно отказали

Не паникуйте. Отказ обычно означает, что бот видит остатки заражения, которое вы пропустили. Алгоритм:

1. Откройте Search Console, посмотрите, какие URL остались в списке заражённых.
2. Зайдите на каждый из них через curl с гугл-ботовским User-Agent. Сравните с тем, что показывается обычному посетителю.
3. Часто проблема в том, что для гугл-бота сайт показывает дополнительный (спамный) контент. Это называется cloaking и режется отдельной проверкой ядра CMS на условные конструкции по User-Agent.
4. Прогоните по сайту сторонний сканер ещё раз. Sucuri и Quttera иногда находят то, что упустил Wordfence.
5. Если ничего нового не находите, обратитесь к подрядчику с опытом разбора инцидентов. Часто свежий взгляд видит то, что вы пропустили в третий раз.

Особый случай: если в качестве причины Google указывает «Hacked Content» или «Cryptojacking», но вы ничего не находите, проверьте мобильную версию сайта отдельно. Часто инжект показывается только мобильным пользователям, чтобы не светиться у владельца.

Что сделать после снятия пометки

Снятие пометки — это не финал, это пауза. Без укрепления безопасности через 2-4 недели вы окажетесь в этом же чёрном списке снова, и второй раз доверие поисковиков будет ниже.

Минимум, что надо закрыть после первого инцидента:

• WAF на уровне приложения (Wordfence Premium, Sucuri, Cloudflare WAF Pro).
• 2FA для всех админов CMS (через приложение, не SMS).
• Автоматические бэкапы вне сервера (S3-совместимое хранилище, Я.Облако, отдельный FTP).
• Мониторинг изменений файлов с алертами в Telegram.
• Периодический внешний скан раз в неделю (можно бесплатно через Sucuri SiteCheck).
• Отключить редактирование файлов через админку (define('DISALLOW_FILE_EDIT', true);).
• Обновления ядра и плагинов хотя бы раз в 2 недели по графику.

Если этим всем заниматься вручную, отнимет часа 4-6 в месяц. Если на абонентке у подрядчика, всё это входит в стандартный тариф — смотрите состав поддержки. Если уже вляпались и нужно срочно почистить и подать на пересмотр, напишите, разберём конкретный случай.

В рубрике Безопасность есть подробные разборы по чистке WordPress, признакам взлома и что делать с пометкой «Опасный сайт» в Chrome.

Частые вопросы

Как выйти из чёрного списка

Найти и вычистить заражение, закрыть точку входа, проверить сайт независимыми сканерами и только потом подавать на пересмотр. Порядок именно такой, иначе карантин затягивается.

Сколько ждать снятия пометки

Обычно 3-7 дней при первом обращении. После повторных отказов срок растёт до двух недель и больше, потому что заявки попадают в очередь с меньшим приоритетом.

Что писать в заявке на пересмотр

Что нашли, что удалили, какую уязвимость закрыли и что сделали, чтобы это не повторилось. Заявка из одной строчки о том, что всё почищено, почти гарантированно возвращается отказом.

Что делать после снятия пометки

Наблюдать за файлами месяц, обновить всё до актуальных версий, сменить пароли и настроить бэкапы вне сервера. Повторное попадание в список обходится дороже первого.