Google Tehlikeli Site Uyarısı (Safe Browsing) Nasıl Kaldırılır?

Bu uyarı ne anlama gelir?

Google Safe Browsing, tehlikeli siteler ve dosyalar için uyarı gösteren bir koruma sistemidir. Google, dizine eklediği sayfaları kötü amaçlı betikler, zararlı indirmeler ve politika ihlalleri açısından kontrol eder. Sorun tespit ettiğinde Google'ın yardım sayfasına göre şunlardan birini veya birkaçını yapabilir:

• Sonucu arama sonuçlarından sessizce gizlemek,
• Arama sonucunu "This site may harm your computer" veya "This site may be hacked" gibi bir etiketle göstermek (Türkçe aramada etiketin çevirisi görünür),
• Sayfaları Safe Browsing tehlikeli siteler listesine eklemek. Google bu listenin büyük tarayıcıların çoğu tarafından kullanıldığını belirtir; bu tarayıcılar ziyaretçiyi sayfayı açmadan önce uyarır.

Chrome yardım sayfası bu kırmızı ekranı "Dangerous site" (tehlikeli site) uyarısı olarak tanımlar ve kimlik avı, kötü amaçlı yazılım, istenmeyen yazılım ve sosyal mühendislik içeren sitelerde gösterildiğini söyler. Google'ın sosyal mühendislik belgesine göre aldatıcı içerik tespit edildiğinde Chrome "Deceptive site ahead" uyarısı gösterebilir. Sizin siteniz büyük ihtimalle bilerek değil, ele geçirildiği için bu duruma düştü: Google da saldırganların masum siteleri ele geçirip aldatıcı sayfa veya zararlı dosya barındırmak için kullandığını açıkça belirtir.

Search Console'daki sorun türleri

Uyarının asıl nedeni Search Console'daki Güvenlik sorunları (Security issues) raporunda yazar. Google'ın listelediği başlıca türler ve ne yapmanız gerektiği:

İlk adımlar: panik yapmadan sırayla ilerleyin

• Etkilenen sayfaları kendi tarayıcınızda açmayın. Google, zararlı yazılımların tarayıcı açıklarından yayılabileceği için enfekte sayfaları doğrudan tarayıcıda görüntülememenizi önerir.
• Hiçbir şeyi silmeden önce tam yedek alın. Dosyaların ve veritabanının o anki halini ayrı bir yere indirin. Bu kopya hem temizlik sırasında yanlış silinen bir şeyi geri getirmenize hem de saldırının nasıl olduğunu sonradan incelemenize yarar. Ayrıntılar için WordPress yedekleme ve geri yükleme rehberine bakın.
• Şifreleri değiştirin. cPanel, FTP, veritabanı, WordPress yöneticileri ve Search Console'a bağlı Google hesabı. Yeni şifreleri temiz olduğundan emin olduğunuz bir cihazda oluşturun.
• Search Console'da kullanıcıları kontrol edin. Google, aldatıcı içerik uyarısında mülkün size ait olduğunu ve yeni, şüpheli sahiplerin eklenmediğini kontrol etmenizi ister.
• Gerekirse siteyi geçici olarak kapatın veya bakım moduna alın. Google'ın yardım sayfası hacklenen sitelerde önce siteyi kapatıp temizledikten ve güvenli hale getirdikten sonra yeniden yayına almayı önerir.

Sitenizin gerçekten listede olup olmadığını doğrulayın

Uyarıyı bir ziyaretçi bildirdiyse önce durumu kendiniz doğrulayın. Google üç yol önerir:

• Search Console Güvenlik sorunları raporu: Search Console Güvenlik sorunları raporu sayfasını açın. Sorun varsa raporun üstünde toplam sayı, her sorunun altında örnek URL'ler ve sorunun ilk tespit tarihi görünür. Sorun yoksa yeşil bir onay işareti görürsünüz. Google, uyarıyı her zaman kendiniz tekrar üretemeyebileceğinizi, çünkü Safe Browsing'in uyarıları tarama bağlamına göre gösterdiğini söyler; bu yüzden doğrulama için bu raporu esas almanızı ister.
• Şeffaflık Raporu: Search Console'da doğrulanmış sahip değilseniz Google Şeffaflık Raporu: Safe Browsing site durumu sayfasına alan adınızı yazın. Site tehlikeli olarak işaretliyse temizlik yapmanız gerekir.
• Arama sonuçları: Google'da site:ornek.com araması yapın ve sonuçların yanında uyarı etiketi olup olmadığına bakın. Sitenizle ilgisi olmayan ilaç, kumar, kredi veya lüks marka kelimeleriyle (site:ornek.com viagra gibi) arama yapmak, enjekte edilmiş spam sayfaları bulmanın Google'ın önerdiği yoludur.

Sayfayı tarayıcıda açmak yerine Google'ın önerdiği gibi Search Console'daki URL Denetleme aracını veya komut satırında cURL kullanın. Saldırganlar zararlı davranışı çoğu zaman yalnızca Google'dan gelen ziyaretçilere veya belirli tarayıcılara gösterir; referrer ve user agent değiştirerek bunu taklit edebilirsiniz:

# Google aramasından gelen bir ziyaretçiyi taklit et; yönlendirme var mı bak
curl -sI --referer "https://www.google.com/" \
  --user-agent "Mozilla/5.0 (Linux; Android 14) AppleWebKit/537.36 Mobile" \
  https://www.ornek.com/

# Sayfa kaynağında şüpheli ifadeleri ara
curl -s --referer "https://www.google.com/" https://www.ornek.com/ \
  | grep -iE "eval\(|base64_decode|unescape\(|<iframe|<script[^>]+src="

Yanıtta beklemediğiniz bir Location: başlığı, tanımadığınız bir alan adından yüklenen betik veya gizlenmiş kod görürseniz yönlendirme ya da kod enjeksiyonu vardır. Google bu tür aramalar için "eval", "base64_decode" ve "unescape" gibi terimleri önerir. Yönlendirme senaryoları için site başka siteye yönleniyor rehberine bakın.

Siteyi temizleyin: uyarı ancak kaynak gidince kalkar

Safe Browsing uyarısı bir belirtidir; asıl iş sitedeki zararlı içeriği ve saldırganın girdiği açığı bulmaktır. Google, hacklenen sitelerde iki yol tanımlar: etkilenen dosyaları son temiz yedekle değiştirmek ya da zararlı içeriği elle kaldırmak. Hangisinin size uygun olduğuna karar vermek ve adım adım temizlik için WordPress hacklendi temizleme rehberini izleyin. Özet kontrol listesi:

• WordPress çekirdek dosyalarını resmî kaynaktan indirilen temiz kopyalarla değiştirin; eklenti ve temaları yeniden kurun, kullanmadıklarınızı silin.
• Uploads klasöründeki PHP dosyalarını, son günlerde değişen dosyaları ve gizlenmiş kod kalıplarını arayın: şüpheli PHP dosyası ve web shell bulma.
• Veritabanında yazılara, seçeneklere ve widget'lara eklenmiş betikleri ve tanımadığınız yönetici hesaplarını kontrol edin.
• Sitenizde sizin oluşturmadığınız spam sayfalar varsa Japon anahtar kelime hack rehberindeki adımları uygulayın.
• Reklam ağlarını ve gömülü üçüncü taraf kaynakları gözden geçirin. Google, reklam ağlarının gösterdiği reklamları döndürebileceğini, bu yüzden aldatıcı bir reklamı görmek için sayfayı birkaç kez yenilemeniz ve mobil ile masaüstü görünümü ayrı ayrı kontrol etmeniz gerekebileceğini söyler.
• Sitede indirilebilir dosya varsa bunları antivirüs ile tarayın. Google, VirusTotal gibi birden çok antivirüs motorunu birleştiren servislerin fikir verebileceğini, ancak Safe Browsing'in kendi ölçütlerini uyguladığını belirtir.
• Açığı kapatın: eski bir eklenti, zayıf bir şifre, yanlış dosya izni. Açık kapanmazsa site birkaç gün içinde yeniden enfekte olur.

Google iki noktayı özellikle vurgular: sorunu sitenin tamamında düzeltmelisiniz, yalnızca birkaç sayfayı düzeltmek kısmi bir geri dönüş sağlamaz; raporda birden fazla sorun varsa hepsini düzeltmelisiniz. Rapordaki örnek URL listesi eksiksiz değildir; örnek URL olmaması etkilenen sayfa olmadığı anlamına gelmez.

Search Console'dan inceleme isteyin

Tüm sorunları tüm sayfalarda düzelttiğinizden emin olduktan sonra Güvenlik sorunları raporunda Request Review düğmesini (Türkçe arayüzde çevirisi görünür) kullanın. Google'a göre iyi bir talep üç şey yapar: sitedeki sorunu tam olarak açıklar, düzeltmek için attığınız adımları anlatır ve sonucu belgeler. Google, raporundaki her kategori için sitenin nasıl temizlendiğini anlatan bir cümle yazmanızı önerir. Kendi örneğine benzer bir taslak:

Hacked: Malware - Enjekte edilmiş JavaScript kodunu tema dosyalarından ve
wp_options tablosundan kaldırdık. WordPress çekirdeğini temiz kopyayla değiştirdik,
eklentileri yeniden kurduk. Giriş noktası güncellenmemiş bir eklentiydi; eklentiyi
güncelledik, tüm yönetici ve hosting şifrelerini değiştirdik, bilinmeyen bir
yönetici hesabını sildik.

Talebi gönderdiğinizde incelemenin başladığını bildiren bir onay e-postası gelir. Google, bekleyen bir talebe karar gelmeden yeniden talep göndermemenizi açıkça ister.

Google inceleme süreleri hakkında ne diyor?

Google ayrıca uyarı sisteminde genellikle küçük bir gecikme olduğunu, güncellemelerin Safe Browsing veritabanı, Chrome ve Search Console arasında yayılmasının bir iki gün sürebileceğini belirtir. Şeffaflık Raporu artık sorun göstermiyor ama tarayıcınız hâlâ uyarıyorsa bir gün bekleyin.

Search Console hesabınız yoksa

Google, site sahiplerinin Search Console'a kaydolmasını kuvvetle önerir; doğrulanmış sahipler site hacklendiğinde veya kimlik avı gibi zararlı davranış nedeniyle işaretlendiğinde bildirim alır. Henüz yoksa hemen doğrulayın; inceleme isteme düğmesi yalnızca orada vardır. Google'ın yardım sayfasına göre Search Console'da olmayan siteler için:

• Kimlik avı (phishing) için yeniden değerlendirme talebi Safe Browsing hata bildirim formu üzerinden yapılır. Aynı form, Safe Browsing'in bir sayfayı hatalı sınıflandırdığını düşündüğünüzde de kullanılır.
• Politika ihlali veya düşük kaliteli sayfalar nedeniyle çıkarılan sayfalarda Google sayfaları periyodik olarak yeniden tarar ve değişiklikleri otomatik fark eder.

Tekrarlayan ihlalci (Repeat Offender) politikası

Bu kısım çoğu site sahibinin bilmediği ama en çok zarar veren kuraldır. Google Safe Browsing politikasına göre kısa bir süre içinde uyumlu ve uyumsuz durum arasında tekrar tekrar gidip gelen siteler tekrarlayan ihlalci olarak sınıflandırılır. Bu durumda:

• Site sahibine Search Console'a kayıtlı e-posta adresinden bildirim gönderilir.
• Site sahibi Search Console üzerinden ek inceleme isteyemez.
• Bu durum 30 gün sürer; sonra yeniden inceleme istenebilir.

Pratikte bu şu anlama gelir: yalnızca görünen zararlı kodu silip açığı kapatmadan inceleme isterseniz, site temiz görünüp onay alabilir ve birkaç gün sonra arka kapıdan yeniden enfekte olur. Bu döngü tekrarlanırsa bir ay boyunca uyarıyla yaşarsınız. Güvenlik sorunları raporu yardım sayfası da sorun düzeltilmeden talep göndermenin bir sonraki talebi uzatabileceğini ve tekrarlayan ihlalci olarak işaretlenmeye yol açabileceğini söyler. Temizlikten sonra hack sonrası güvenlik sertleştirme adımlarını uygulamadan inceleme istemeyin.

Diğer tarayıcılar ve antivirüs kara listeleri

Google, Safe Browsing listesinin büyük tarayıcıların çoğu tarafından kullanıldığını söyler; bu yüzden Google'daki işaret kalktığında bu tarayıcılardaki uyarı da genellikle kalkar. Bunun dışında bazı tarayıcı ve güvenlik yazılımı üreticileri kendi itibar listelerini tutar. Sitenizi temizledikten sonra bir ziyaretçi belirli bir antivirüs veya tarayıcıda uyarı görmeye devam ettiğini söylüyorsa:

• Uyarıyı gösteren ürünün adını ve uyarı ekranının görüntüsünü isteyin.
• O üreticinin resmî sitesindeki hatalı tespit (false positive) veya site yeniden değerlendirme formunu kullanın. Her üreticinin süreci farklıdır.
• Ücret karşılığı "hızlı çıkarma" vaat eden aracı sitelere para ödemeyin; resmî formlar dışında bir yol yoktur.

E-posta tarafında da bir kara listeye girdiyseniz (site hacklendiğinde sunucudan spam gönderilmesi sık görülür) bu ayrı bir süreçtir; hosting hesabı spam mail gönderiyor ve mail kara liste kontrolü yazılarına bakın.

Sık yapılan hatalar

• Uyarıyı görür görmez temizlik yapmadan inceleme istemek.
• Yalnızca rapordaki örnek URL'leri düzeltip sitenin geri kalanını kontrol etmemek.
• Yedek almadan dosya silmek; sonra hangi dosyanın orijinal olduğunu bilememek.
• Şifreleri değiştirmeden temizlik yapmak; saldırganın aynı bilgilerle geri gelmesi.
• Enfekte sayfaları korumasız kendi bilgisayarınızda defalarca açmak.
• Bekleyen talep varken yeni talep göndermek.

Sık Sorulan Sorular

Uyarıyı bir günde kaldırmanın yolu var mı?

Hayır. Google'ın belgelerinde uyarıyı hızlandıran ücretli veya özel bir yol yoktur. Yapabileceğiniz en hızlı şey sorunu ilk seferde eksiksiz düzeltip tek ve iyi belgelenmiş bir talep göndermektir. Kötü amaçlı yazılım incelemeleri için Google birkaç gün, spam hack incelemeleri için birkaç haftaya kadar süre belirtir.

Ben uyarıyı göremiyorum ama müşteriler görüyor. Neden?

Google'a göre Safe Browsing uyarıları tarama bağlamına göre gösterir ve saldırganlar zararlı davranışı site sahibi olduğunu düşündükleri ziyaretçilerden gizleyebilir. Google, örnek URL'leri sitenizi barındıran ağın dışındaki bir bilgisayardan kontrol etmenizi önerir. Doğru kaynak Search Console Güvenlik sorunları raporudur.

İnceleme onaylandı ama Chrome hâlâ uyarıyor.

Google, güncellemelerin Safe Browsing veritabanı ile Chrome arasında yayılmasının bir iki gün sürebileceğini söyler. Bir gün bekleyip tekrar kontrol edin. Uyarı devam ederse Şeffaflık Raporu'na ve Güvenlik sorunları raporuna yeniden bakın; yeni bir sorun tespit edilmiş olabilir.

Sitemde hiç zararlı yazılım yok, Google yanılıyor olabilir mi?

Olabilir. Google, Safe Browsing'in bir sayfayı hatalı sınıflandırdığını düşünüyorsanız Safe Browsing hata bildirim formu üzerinden bildirmenizi önerir. Ancak önce sitenin gerçekten temiz olduğunu doğrulayın: reklam ağları, eski eklentiler ve gömülü üçüncü taraf betikler çoğu zaman sahibinin fark etmediği kaynaklardır.

Ziyaretçilerin bilgileri çalınmış olabilir mi?

Site kimlik avı sayfası barındırdıysa veya veritabanına erişildiyse kişisel veriler etkilenmiş olabilir. Bu durumda KVKK kapsamındaki yükümlülükleriniz için kişisel veri ihlali bildirimi rehberine bakın.

Yazılım, eklenti ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen şirketlerle bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: WordPress hacklendi temizleme rehberi · "Bu site saldırıya uğramış olabilir" uyarısı · Şüpheli PHP dosyası ve web shell bulma · Site başka siteye yönleniyor · Hack sonrası güvenlik sertleştirme · Google manuel işlem ve disavow · Kişisel veri ihlali bildirimi