Guias de Segurança
A segurança do site afeta o SEO? Vulnerabilidades, sites invadidos, HTTPS e ranqueamento segundo a documentação oficial do Google
A segurança do site afeta o SEO? Com base no Google Search Central, Search Console, web.dev e Bing: uma vulnerabilidade sozinha não é fator de ranqueamento listado, mas um site invadido ou com malware recebe alertas e pode sair dos resultados. Como verificar e se recuperar.
Para quem é: quem mantém o próprio site e quer saber se a segurança afeta o ranqueamento na pesquisa, ou quem acabou de ver um alerta de site invadido no próprio resultado. Este guia se baseia na documentação do Google Search Central, da Ajuda do Search Console, do web.dev, da Ajuda do Chrome e do Bing Webmaster Tools. Ele não explica como os ataques são feitos.
Estado de segurança e impacto na pesquisa
Primeiro, como cada estado afeta a pesquisa, com a fonte oficial de cada um. "Não listado pelo Google como fator de ranqueamento" significa que não encontramos isso descrito como fator em nenhum lugar da documentação do Google, não que o Google diga que não importa.
| Estado de segurança | Efeito na pesquisa | Fonte oficial |
|---|---|---|
| Existe uma vulnerabilidade conhecida (por exemplo, um plugin antigo), mas ninguém a explorou | Não listado pelo Google como fator de ranqueamento. Se for explorada, você passa para as linhas abaixo | Políticas contra spam (conteúdo invadido é conteúdo colocado "sem permissão, devido a vulnerabilidades") |
| Sem cabeçalhos de segurança, ou com nota baixa em um scanner | Não listado pelo Google como fator de ranqueamento | Documentação sobre experiência na página (o aspecto que ela diz que os sistemas de ranqueamento usam são as Core Web Vitals) |
| Ainda em HTTP | Um sinal "muito leve" segundo o anúncio de 2014; o Chrome mostra "Não seguro" na barra de endereço | Post do blog de 2014, documentação sobre experiência na página, Ajuda do Chrome |
| Invadido, com páginas de spam adicionadas | "Este site pode ter sido invadido" nos resultados; sites que violam as políticas podem ficar mais abaixo ou não aparecer | Ajuda da Pesquisa Google, políticas contra spam |
| Distribuindo malware ou phishing | Rótulo de alerta nos resultados e página de alerta "Site perigoso" no navegador | Ajuda do Search Console (relatório "Problemas de segurança"), Ajuda do Chrome |
| Um fórum ou os comentários tomados por spam de terceiros | Ação manual; páginas afetadas ficam mais abaixo ou são omitidas dos resultados | Ajuda do Search Console (relatório "Ações manuais") |
| O Bing detecta malware | Removido dos resultados do Bing, ou um alerta de malware é adicionado ao resultado | Ajuda do Bing Webmaster Tools |
A invasão aparece em "Problemas de segurança", não em "Ações manuais"
A lista atual de tipos de ação manual do Search Console não tem nenhuma entrada de "site invadido". Conteúdo invadido, malware e software indesejado, e engenharia social (enganar pessoas, por exemplo com uma página de login falsa) aparecem no relatório "Problemas de segurança". Verifique os dois relatórios.
Quanto o HTTPS ajuda no ranqueamento?
Em um post do blog do Search Central de agosto de 2014, o Google anunciou que usaria o HTTPS como sinal de ranqueamento. Descreveu-o como, por enquanto, apenas um sinal muito leve, que afetava menos de 1% das consultas no mundo e com menos peso que outros sinais, como conteúdo de alta qualidade.
A documentação atual do Google sobre experiência na página inclui o HTTPS como pergunta de autoavaliação: "Suas páginas são veiculadas de forma segura?". A mesma página diz que as Core Web Vitals (métricas de velocidade de carregamento, capacidade de resposta e estabilidade visual) são usadas pelos sistemas de ranqueamento do Google, e que, além das Core Web Vitals, os outros aspectos da experiência na página não ajudam diretamente um site a ranquear melhor. Um post do blog de abril de 2023 também disse que nem todos os sinais de experiência na página listados antes, entre eles o HTTPS, são necessariamente usados de forma direta no ranqueamento.
Mesmo assim, você precisa de HTTPS. A Ajuda do Chrome diz que, em um site sem conexão particular, alguém pode conseguir ver e alterar as informações que você envia e recebe, e sugere que os usuários não forneçam informações particulares ou pessoais nessas páginas. Se o seu site tem um formulário de contato ou uma página de login, a falta de HTTPS fica visível para todo visitante.
O que acontece na pesquisa e nos navegadores quando um site é invadido
As políticas contra spam do Google definem conteúdo invadido como qualquer conteúdo colocado em um site sem permissão, devido a vulnerabilidades na segurança do site, e dizem que sites que violam as políticas podem ficar mais abaixo nos resultados ou nem aparecer. O Google detecta as violações com sistemas automatizados e, quando necessário, com revisão humana.
1 Existe uma vulnerabilidade
Plugins antigos, senhas reutilizadas. Nesta fase não é um fator de ranqueamento listado
2 Ela é explorada e o conteúdo muda
Páginas de spam, links ocultos, redirecionamentos para outros sites, malware
3 Aparecem alertas na pesquisa e nos navegadores
Rótulo de invasão nos resultados, página "Site perigoso", posições mais baixas ou remoção
4 Corrija e depois solicite uma revisão
Só depois de fechar a falha. As revisões levam de um dia a várias semanas
5 Os alertas são removidos
Quando o site é considerado limpo, os alertas do navegador e da pesquisa são removidos em até 72 horas (web.dev)
"Este site pode ter sido invadido" nos resultados de pesquisa
Segundo a Ajuda da Pesquisa Google, a mensagem "Este site pode ter sido invadido" aparece quando o Google acredita que um invasor pode ter alterado algumas das páginas existentes do site ou adicionado novas páginas de spam. Ela fica até o dono do site corrigir o problema e o Google confirmar a correção.
"Site perigoso" no navegador
A Navegação segura do Google (Google Safe Browsing, a lista de sites inseguros do Google, que navegadores e outros produtos usam para alertar as pessoas) protege o Chrome e outros navegadores, além da Pesquisa Google, do Gmail e de outros serviços. A Ajuda do Chrome diz que sites ligados a phishing, malware, software indesejado ou engenharia social recebem um alerta vermelho de "Site perigoso". Na visão deste site, é melhor supor que poucos visitantes vão seguir adiante depois dessa página.
Tipos de invasão que o Google descreve
O web.dev (o guia do Google para desenvolvedores web) publica guias de limpeza para invasões que afetam a pesquisa. Três comuns:
| Tipo | Descrição do Google |
|---|---|
| Invasão com palavras-chave em japonês (Japanese keyword hack) | Surgem páginas novas com texto em japonês gerado automaticamente em diretórios com nomes aleatórios, monetizadas com links de afiliado para lojas que vendem produtos de marca falsificados. O invasor normalmente se adiciona como proprietário da propriedade no Search Console |
| Invasão com texto sem sentido (gibberish hack) | São criadas muitas páginas de frases sem sentido, cheias de palavras-chave, para ranquear na pesquisa, e os visitantes são redirecionados para sites sem relação |
| Invasão com palavras-chave e links camuflados (cloaked keywords and links hack) | São criadas muitas páginas de texto, links e imagens sem sentido para manipular os fatores de ranqueamento do Google; o dono pode ver um falso erro 404 |
As três são feitas para que o dono não as perceba navegando normalmente. O web.dev recomenda uma pesquisa site: e a ferramenta de inspeção de URL, que mostra a página como o Google a vê.
O que verificar hoje
Mesmo sem nenhum alerta, estas cinco verificações levam poucos minutos. Se o seu site ainda não está no Search Console, adicione e verifique-o primeiro; a partir daí, os problemas que o Google encontrar são informados nos relatórios e nas mensagens do Search Console.
Abra "Problemas de segurança" e "Ações manuais" no Search Console
Os dois relatórios ficam na seção "Security & Manual Actions" (segurança e ações manuais) do menu à esquerda. Se houver um problema, você verá o tipo de problema e URLs de exemplo afetados. O Google observa que a lista de exemplos pode não estar completa, e que alguns problemas não mostram URLs de exemplo mesmo com páginas afetadas.
Procure proprietários que você não adicionou
Vá em "Configurações" > "Usuários e permissões" e procure usuários ou proprietários que você não reconhece. O web.dev diz que, na invasão com palavras-chave em japonês, o invasor normalmente se adiciona como proprietário da propriedade. Para remover um proprietário verificado, é preciso apagar do seu site o token de verificação dessa pessoa (arquivo HTML, metatag etc.); "Tokens de propriedade não usados" mostra os tokens que ficaram para trás.
Faça uma pesquisa `site:` atrás de páginas que você não criou
Pesquise no Google site:seudominio e procure URLs ou títulos que você não reconhece, como termos em japonês de marcas, farmácia ou compras. Este site também sugere adicionar uma palavra suspeita depois da consulta site: para filtrar. Se o Google não mostrar nada, o web.dev sugere tentar outro buscador.
Verifique o status do site na Navegação segura
Digite o seu domínio em "Site status" (status do site), na parte de Safe Browsing do Relatório de transparência do Google, para ver se a Navegação segura considera o site perigoso neste momento.
Confirme que você serve HTTPS
Abra o seu site no Chrome e confira se a barra de endereço não diz "Não seguro". O relatório HTTPS do Search Console mostra se você serve páginas HTTPS seguras e o que corrigir se não servir.
Parecer normal para você não prova que o site está limpo
O web.dev explica que páginas invadidas podem mostrar ao dono um erro 404 ou parecido para parecerem apagadas. Não se limite a abrir um URL suspeito no seu navegador; verifique-o com a ferramenta de inspeção de URL para ver o que o Google vê. As verificações no servidor em busca de sinais de invasão estão em como verificar se o seu site ou servidor foi invadido.
Passos de recuperação se você já tem um alerta
A ordem importa. Solicitar uma revisão antes de corrigir a causa faz o alerta durar mais.
Preserve as evidências e contenha a propagação
Faça backup do site inteiro e do banco de dados fora do servidor, e salve os logs. Se os visitantes estiverem sendo prejudicados, tire o site do ar temporariamente. A ordem detalhada está no guia de verificação e resposta a invasões.
Remova o conteúdo do invasor e feche a falha
Apague as páginas adicionadas, os arquivos modificados e os usuários desconhecidos, e troque todas as senhas. A Ajuda da Pesquisa Google alerta que, se você não corrigir a vulnerabilidade, o site pode ser invadido de novo. O web.dev (uma página de 2015) cita um estudo que constatou que 20% dos sites invadidos foram invadidos de novo em até um dia. No WordPress, faça as atualizações e remova os plugins sem uso com a referência de segurança do WordPress.
Faça os URLs de spam retornarem 404 ou 410
Segundo a Ajuda do Search Console, para remover uma página dos resultados de forma permanente, remova-a e faça o servidor retornar 404 (Not Found) ou 410 (Gone). A remoção temporária da ferramenta de remoção pode esconder URLs rápido, mas só por cerca de seis meses. O Google diz para não usar o robots.txt como mecanismo de bloqueio.
Confirme a correção como o Google a vê
Antes de uma revisão, o web.dev pede para confirmar que as páginas principais, incluindo os URLs que o invasor modificou, estão limpas, e que o Googlebot consegue rastreá-las (sem bloqueio por robots.txt nem noindex). Use a ferramenta de inspeção de URL para conferir que os URLs de spam agora são tratados como não encontrados (404 ou parecido).
Selecione "Solicitar revisão" no relatório certo
Em "Problemas de segurança", corrija todos os problemas listados no site inteiro, selecione "Solicitar revisão" nesse relatório e descreva o problema, os passos que você tomou e o resultado. Para uma ação manual, peça a reconsideração no relatório "Ações manuais" da mesma forma. A Ajuda do Search Console diz que a maioria das revisões leva vários dias ou semanas e pede para não reenviar enquanto houver uma pendente. O web.dev indica cerca de um dia para phishing, alguns dias para malware e até várias semanas para invasão com spam.
Verifique também o Bing
O Bing diz que alerta os donos de sites pelo Bing Webmaster Tools quando detecta malware, e que remove o site dos resultados por completo ou adiciona um alerta de malware ao resultado. Se o seu site está no Bing Webmaster Tools, procure o alerta e siga as Diretrizes para webmasters do Bing, que dizem que sites envolvidos em phishing, distribuição de malware ou outras atividades nocivas correm o risco de rebaixamento ou remoção.
A visão deste site: segurança para SEO é não ser invadido e perceber rápido, não aumentar uma nota
Alguns donos de sites supõem que reforçar a segurança vai melhorar o ranqueamento, e gastam tempo aumentando a nota dos cabeçalhos de segurança ou a pontuação de um scanner. Nada na documentação do Google sustenta isso. O grande efeito na pesquisa vem quando o site é invadido e marcado. Uma revisão pode levar até várias semanas, e durante esse tempo o tráfego de busca pode cair muito.
Então, do ponto de vista do SEO, sugerimos focar em duas coisas. Primeiro, manter sob controle o software e as senhas que os invasores usam para entrar. Segundo, cadastrar o site no Search Console, receber os alertas por e-mail e perceber os problemas cedo. Quanto aos cabeçalhos de segurança, basta configurar os que ainda importam para limitar o dano.
Fontes (oficiais)
- Blog do Google Search Central, "HTTPS as a ranking signal" (7 de agosto de 2014) — developers.google.com
- Google Search Central, "Understanding page experience in Google Search results" — developers.google.com
- Blog do Google Search Central, "The role of page experience in creating helpful content" (19 de abril de 2023) — developers.google.com
- Google Search Central, "Spam policies for Google web search" (conteúdo invadido) — developers.google.com
- Ajuda do Search Console, "Relatório de problemas de segurança" — support.google.com
- Ajuda do Search Console, "Relatório de ações manuais" — support.google.com
- Ajuda do Search Console, ferramenta de remoção e recursos de denúncia do SafeSearch — support.google.com
- Ajuda do Search Console, gerenciar proprietários, usuários e permissões — support.google.com
- Ajuda da Pesquisa Google, informar um problema com a Pesquisa Google ("Este site pode ter sido invadido") — support.google.com
- web.dev, "Request a review" — web.dev
- web.dev, "Fix the Japanese keyword hack" — web.dev
- web.dev, "Fix the gibberish hack" — web.dev
- web.dev, "Fix the cloaked keywords and links hack" — web.dev
- Google Safe Browsing — safebrowsing.google.com / Relatório de transparência, "Site status" — transparencyreport.google.com
- Ajuda do Chrome, gerenciar alertas sobre sites não seguros — support.google.com
- Ajuda do Chrome, verificar se a conexão de um site é segura — support.google.com
- Bing, "Webmaster Guidelines" — bing.com
- Bing, "Why is My Site Not in the Index?" — bing.com
Leia a seguir
- Verificar se houve invasão: Como verificar se o seu site ou servidor foi invadido (hospedagem compartilhada, WordPress, VPS)
- Configurações que limitam o dano: Como escolher os cabeçalhos de segurança: o que ainda é necessário, o que está obsoleto e o que faz mal / ferramenta: verificador de cabeçalhos de segurança
- WordPress: Segurança do WordPress — uma referência de reforço para produção
- Outra forma de páginas de estranhos aparecerem no seu domínio: Subdomain takeover (DNS pendente)
- Quando a sua hospedagem é invadida: Quando o seu provedor de hospedagem é invadido: o que os clientes devem fazer
- Recuperação: Fundamentos de backup
- Glossário: O que é malware? / O que é phishing?
FAQ
QA segurança do site afeta o SEO?
Medidas de segurança não melhoram o ranqueamento por si só. O Google não lista vulnerabilidades nem cabeçalhos de segurança como fatores de ranqueamento. O grande efeito vem quando uma vulnerabilidade é explorada e o site é invadido ou passa a distribuir malware. O Google marca sites invadidos nos resultados de pesquisa e diz que sites que violam as políticas contra spam podem ficar mais abaixo ou não aparecer nos resultados.
QComo removo "Este site pode ter sido invadido" do Google?
Só o dono do site consegue a remoção, e isso se faz corrigindo o site. Verifique o site no Search Console, abra o relatório "Problemas de segurança" para ver o problema e os URLs de exemplo, e corrija a vulnerabilidade por onde o invasor entrou. Quando o site inteiro estiver limpo, selecione "Solicitar revisão" nesse mesmo relatório. O Google remove a mensagem depois de verificar que o site foi corrigido. Segundo o web.dev, as revisões de sites invadidos com spam podem levar até várias semanas.
QMudar para HTTPS melhora o ranqueamento?
Não espere muito. Quando o Google anunciou o HTTPS como sinal de ranqueamento em 2014, descreveu-o como um sinal muito leve, que afetava menos de 1% das consultas no mundo. A documentação atual do Google sobre experiência na página inclui o HTTPS entre as perguntas de autoavaliação, mas diz que, além das Core Web Vitals, os outros aspectos da experiência na página não ajudam diretamente o site a ranquear melhor. Trate o HTTPS como algo necessário para proteger os visitantes.
QCabeçalhos de segurança ou notas de scanners de vulnerabilidade afetam o ranqueamento?
A documentação do Google Search Central não lista cabeçalhos de segurança nem notas de scanners de terceiros como fatores de ranqueamento. O aspecto da experiência na página que o Google diz que os seus sistemas de ranqueamento usam são as Core Web Vitals. Vale a pena configurar cabeçalhos de segurança para limitar o dano se o site for atacado, não para ranquear.
QQual a diferença entre uma ação manual e um problema de segurança?
Uma ação manual significa que um revisor humano do Google concluiu que páginas do seu site violam as políticas contra spam; as páginas afetadas podem ficar mais abaixo ou sair dos resultados. Spam publicado no seu fórum ou nos comentários aparece ali como "Site com uso abusivo de spam de terceiros" ou "Spam gerado pelo usuário". Invasão e malware aparecem no relatório "Problemas de segurança". Nos dois casos, você corrige o problema e seleciona "Solicitar revisão" no relatório correspondente.
QComo tiro rápido do Google as páginas de spam de uma invasão?
Apague as páginas e confirme que o servidor retorna 404 ou 410. Se precisar escondê-las rápido, a ferramenta de remoção pode bloqueá-las temporariamente, mas só por cerca de seis meses; não é uma remoção permanente. Não bloqueie os URLs com o robots.txt: o Google diz para não usá-lo para remoção.