Strona zawiera szkodliwe programy – jak usunąć ostrzeżenie Google

Autor: Grzegorz Wojterzak. Aktualizacja: 12 października 2026. Czas czytania: około 11 minut.

Czerwony ekran przed wejściem na Twoją stronę to jedna z najdotkliwszych awarii. Strona technicznie działa, ale prawie nikt na nią nie wchodzi. Klienci dzwonią z pytaniem, czy ich zainfekowałeś, a ruch z wyszukiwarki spada niemal do zera. Ostrzeżenia nie wyłączysz ustawieniem ani telefonem do Google. Zniknie dopiero wtedy, gdy strona będzie czysta, a Google to potwierdzi.

Ten poradnik wyjaśnia, co oznaczają poszczególne ostrzeżenia, jak sprawdzić, co dokładnie znalazł Google, i jak przeprowadzić stronę przez proces weryfikacji. Samo czyszczenie WordPressa opisuję szczegółowo w poradniku Wirus na stronie WordPress.

Rodzaje ostrzeżeń i co oznaczają

Ostrzeżenia pochodzą z usługi Bezpieczne przeglądanie Google (Google Safe Browsing). Korzystają z niej Chrome, Firefox i Safari, więc jedno oznaczenie widzą użytkownicy różnych przeglądarek. Dokładne brzmienie komunikatów zależy od przeglądarki i jej wersji. W Chrome nagłówek pełnoekranowego ostrzeżenia to zwykle „Niebezpieczna strona”, a w opisie pada wyjaśnienie, czego dotyczy zagrożenie. Fraza „Strona przed Tobą zawiera szkodliwe programy” to dosłowne tłumaczenie angielskiego „The site ahead contains harmful programs” i pod nią ludzie najczęściej szukają pomocy.

W raporcie Google dla właścicieli stron problemy dzielą się na trzy kategorie. To od nich zależy, co musisz znaleźć i usunąć:

Kategoria ma znaczenie przy szukaniu infekcji. Przy złośliwym oprogramowaniu szukasz zwykle skryptu, który ładuje kod z obcej domeny lub przekierowuje. Przy inżynierii społecznej szukasz całego katalogu z fałszywą stroną, często głęboko w wp-content lub w katalogu o niewinnej nazwie. Spam po włamaniu opisuję osobno w artykule Japońskie znaki w Google przy mojej stronie.

Ostrzeżenia w wynikach wyszukiwania

Google oznacza też samą pozycję w wynikach wyszukiwania. Przy złośliwym oprogramowaniu pod tytułem może pojawić się dopisek „Odwiedzenie tej witryny może spowodować uszkodzenie komputera”. Przy spamie po włamaniu, który nie jest złośliwym oprogramowaniem, Google pokazuje informację „Ta witryna mogła paść ofiarą ataku hakerów”. Oba sformułowania podaje web.dev w polskiej wersji, ale Google może je zmieniać.

Jak sprawdzić status swojej strony

Nie polegaj na tym, co widzisz we własnej przeglądarce. Jeśli wyłączyłeś Bezpieczne przeglądanie, korzystasz z innej przeglądarki albo złośliwy kod pokazuje się tylko części odwiedzających, możesz nie zobaczyć nic. Sprawdź status u źródła.

1. Raport przejrzystości Bezpiecznego przeglądania

   Wejdź na transparencyreport.google.com/safe-browsing/search i wpisz adres strony. Narzędzie pokazuje, czy witryna jest obecnie oznaczona jako niebezpieczna i jakiego rodzaju zagrożenie wykryto. Nie wymaga logowania, więc możesz je sprawdzić od razu, także dla strony, do której nie masz dostępu w Search Console.

2. Raport „Problemy dotyczące bezpieczeństwa” w Search Console

   To najważniejsze źródło. W Search Console otwórz raport „Problemy dotyczące bezpieczeństwa”. Zobaczysz nazwę problemu, np. „Atak hakera: złośliwe oprogramowanie”, „Strony wprowadzające w błąd” albo „Szkodliwe pliki do pobrania”, a po rozwinięciu przykładowe adresy URL. Lista przykładów nie jest kompletna: pokazuje, gdzie szukać, a nie wszystkie zainfekowane miejsca.

   

3. Jeśli nie masz Search Console, dodaj stronę teraz

   Bez zweryfikowanej usługi nie poprosisz o sprawdzenie. Najszybciej zrobisz to, dodając usługę typu „Domena” i rekord TXT w strefie DNS u rejestratora lub w panelu hostingu. Raport problemów pokaże dane także wtedy, gdy zweryfikujesz stronę dopiero teraz.

4. Sprawdź, czy w Search Console nie ma obcych właścicieli

   W ustawieniach usługi otwórz „Użytkownicy i uprawnienia”. Nieznany właściciel to znak, że atakujący zweryfikował Twoją stronę, żeby nią zarządzać w Google. Jak go usunąć, opisuję w poradniku o japońskim spamie.

Czyszczenie strony przed prośbą o sprawdzenie

Prośba o sprawdzenie ma sens dopiero wtedy, gdy strona jest naprawdę czysta, a luka zamknięta. Odrzucona prośba to stracone dni, a kolejne zgłoszenie bez zmian może wydłużyć proces. Pełną procedurę opisuję w poradniku Wirus na stronie WordPress krok po kroku. Przy ostrzeżeniu Google zwróć dodatkowo uwagę na kilka miejsc:

• Skrypty ładowane z obcych domen. Otwórz źródło strony (Ctrl+U) w oknie prywatnym i poszukaj znaczników <script src="…"> wskazujących domeny, których nie znasz. Szukaj też w bazie danych, bo takie skrypty często siedzą w treści wpisów lub w ustawieniach motywu.
• Pliki do pobrania. Przy problemie „Szkodliwe pliki do pobrania” szukaj na serwerze plików .exe, .apk, .msi, .zip i .scr, których nie wgrywałeś.
• Katalogi z fałszywymi stronami. Przy inżynierii społecznej szukaj plików index.html lub index.php w nietypowych katalogach i stron z formularzami logowania podszywającymi się pod banki lub firmy kurierskie.
• Przekierowania warunkowe. Złośliwy kod często przekierowuje tylko telefony albo wejścia z Google. Jak je wywołać i znaleźć, opisuję w artykule Strona przekierowuje na inną stronę.

# pliki wykonywalne i archiwa na serwerze, z datą modyfikacji
find . -type f \( -iname "*.exe" -o -iname "*.apk" -o -iname "*.msi" -o -iname "*.scr" -o -iname "*.zip" \) -printf "%TY-%Tm-%Td %p\n" | sort

# odwołania do zewnętrznych skryptów w motywach i wtyczkach
grep -rnoE "<script[^>]+src=[\"']https?://[^\"']+" wp-content/themes wp-content/plugins

Ostatnie polecenie zwróci też legalne skrypty, np. Google Tag Managera albo bramek płatności. Szukasz domen, których nie potrafisz wyjaśnić.

Prośba o sprawdzenie i ile to trwa

Kiedy strona jest czysta, w raporcie „Problemy dotyczące bezpieczeństwa” zaznacz, że problemy zostały rozwiązane, i kliknij „Poproś o sprawdzenie”. W formularzu opisz konkretnie, co zrobiłeś. Krótko i rzeczowo, na przykład:

Usunięto wstrzyknięty skrypt ładowany z obcej domeny (wpisy w tabeli
wp_posts i plik header.php motywu). Usunięto 3 obce pliki PHP z katalogu
wp-content/uploads. Rdzeń WordPressa, wtyczki i motyw zainstalowano
ponownie z oficjalnych źródeł. Przyczyna: nieaktualna wtyczka formularzy,
zaktualizowana. Zmieniono wszystkie hasła, usunięto nieznane konto
administratora. Strona sprawdzona w trybie prywatnym na komputerze
i telefonie.

Ta grafika pokazuje cały proces z czasami, które podaje Google:

Kilka praktycznych uwag do procesu:

• Jedna prośba naraz. Google wyraźnie prosi, żeby nie ponawiać zgłoszenia przed decyzją, bo może to wydłużyć rozpatrywanie.
• Odrzucenie to informacja, nie porażka. Raport pokaże wtedy nowe przykładowe adresy. To najlepsza wskazówka, gdzie została infekcja.
• Phishing ma dodatkową drogę. Przy stronach wprowadzających w błąd Google przyjmuje też zgłoszenia błędnego oznaczenia przez formularz Bezpiecznego przeglądania. Search Console pozostaje jednak głównym kanałem.
• Po decyzji odczekaj. Gdy Google uzna stronę za czystą, ostrzeżenia w przeglądarkach i wynikach wyszukiwania znikają w ciągu około 72 godzin. Ruch wraca zwykle stopniowo.

Ostrzeżenia antywirusów i innych narzędzi

Google to nie jedyny strażnik. Programy antywirusowe, filtry w routerach firmowych, rozszerzenia przeglądarek i filtry DNS korzystają z własnych baz zagrożeń. Twoja strona może być czysta dla Google i zablokowana przez antywirusa klienta albo odwrotnie.

• Alarm antywirusa przed ostrzeżeniem Google często oznacza świeżą infekcję. Potraktuj go poważnie i sprawdź stronę, zanim Google ją oznaczy.
• Alarm, który zostaje po czyszczeniu, trzeba zgłosić u producenta danego programu. Większość z nich ma formularz zgłaszania błędnej klasyfikacji (false positive) na swojej stronie. Prośba w Search Console ich nie obejmuje.
• Agregatory skanerów, które sprawdzają adres w wielu silnikach naraz, pomagają zobaczyć, kto jeszcze oznaczył stronę. Pojedyncze trafienie w mało znanym silniku nie zawsze oznacza problem, ale kilka trafień już tak.

Kiedy nie robić tego samemu

Samo zgłoszenie w Search Console jest proste. Trudne jest upewnienie się, że strona jest naprawdę czysta, zanim je wyślesz. Oddaj sprawę specjaliście, gdy:

• prowadzisz sklep, a każdy dzień z ostrzeżeniem to utracona sprzedaż i zaufanie klientów,
• Google odrzucił już Twoją prośbę o sprawdzenie,
• nie potrafisz wywołać złośliwego zachowania, bo pokazuje się tylko części odwiedzających,
• równocześnie hosting zablokował konto (zobacz co zrobić, gdy hosting zablokował stronę).

Koszty opisuję w artykule Ile kosztuje usunięcie wirusa ze strony.

Najczęstsze pytania