Safe Browsing: как Google и Яндекс решают, что ваш сайт опасен

Когда трафик упал до нуля за один день — и почему пометка «опасный сайт» остаётся ещё дни после удаления вредоносного кода

Реальный кейс: красный экран вместо посетителей

Пятница утро. Вы открываете Яндекс.Метрику и видите, что посещаемость сайта упала с 15 000 визитов в день до 300. Не постепенно — а обрушением. В Google Analytics картина та же. Органический трафик из Google и Яндекса сошёл на нет.

Первым делом проверяете сервер — работает. SSL — в порядке. Домен не просрочен. DNS-записи на месте. Заходите на сайт с компьютера — открывается нормально.

А потом коллега присылает скриншот: «У тебя в Chrome такая заставка». Красный экран. «Сайт может быть опасен». Google Safe Browsing пометил ваш домен как вредоносный. Автоматическая проверка статуса Safe Browsing сообщила бы об этом раньше коллеги.

Ночью на сайт залили вредоносный JavaScript через уязвимость в плагине. Скрипт перенаправлял мобильных посетителей на фишинговую страницу. Поработал 8 часов, пока Googlebot не обнаружил редирект.

Это реальная история, которая повторяется каждую неделю сотни раз. Главная проблема не в самой атаке — а в том, что пометка остаётся ещё дни после удаления кода. В этой статье разберём, как работают системы безопасности Google и Яндекса, почему они блокируют чистые сайты, и что делать.

Что такое Safe Browsing

Safe Browsing — это технология, которая предупреждает пользователей перед переходом на потенциально опасные сайты. Работает в браузерах Google Chrome, Mozilla Firefox, Apple Safari, Microsoft Edge и в поисковых системах Google и Яндекс.

Когда пользователь вводит URL или кликает по ссылке, браузер сверяет домен с локальной базой данных опасных ресурсов. Если домен найден — показывается предупреждающий экран. Пользователь может проигнорировать предупреждение, но 95% людей закрывают вкладку и больше не возвращаются.

Система была создана Google в 2007 году и с тех пор эволюционировала от простого чёрного списка URL до сложной многоуровневой системы с машинным обучением и песочницами. Важно понимать: Safe Browsing — это не антивирус. Она проверяет, опасен ли сайт для посетителя, а не взломан ли сервер.

Как работает Google Safe Browsing

Архитектура системы состоит из трёх уровней: сканирование, классификация и распространение.

Уровень 1: Сканирование веба

Google использует несколько источников для обнаружения опасных сайтов:

• Googlebot с расширенным анализом. Поисковый робот индексирует страницы и анализирует JavaScript, iframe, автозагрузки файлов.
• Пользовательские жалобы. Через форму «Сообщить о фишинге» в Chrome или Google Search Console.
• Партнёры и антивирусные компании. Данные от производителей антивирусов, CERT-организаций.
• Поведенческий анализ. ML-модели выявляют резкие всплески редиректов, поддомены с тайпсквоттингом, нехарактерную географию.

Уровень 2: Классификация угроз

Уровень 3: Hash-based matching

Google не хранит в Chrome полный список опасных URL — это был бы огромный объём и риск для приватности. Вместо этого используется префиксный hash-matching:

1. Каждый URL хешируется SHA-256
2. Браузер хранит локально первые 4 байта каждого хеша — компактное представление, миллионы URL занимают десятки мегабайт
3. При посещении сайта браузер вычисляет SHA-256 URL и сравнивает префикс с локальной базой
4. Если префикс совпал — возможен false positive. Браузер отправляет префикс на сервер Google через Safe Browsing Update API v4
5. Сервер возвращает полные хеши всех URL с этим префиксом. Браузер сверяет полный хеш локально
6. Только при полном совпадении — показывается красный экран

Как работает Яндекс Safe Browsing

Яндекс использует собственную систему, которая работает параллельно с Google. Если Google пометил сайт — Яндекс часто делает то же самое, но не всегда.

Источники данных Яндекса

• Яндекс.Вебмастер — основной канал коммуникации с вебмастерами
• Сигналы от антивирусов — интеграция с Kaspersky, Dr.Web и другими
• Поисковый индекс — клоакинг, скрытые редиректы, вредоносные скрипты
• Жалобы пользователей — через форму в Яндекс.Браузере

За что конкретно блокируют

Сценарий 1: Взлом и вредоносный JavaScript

Злоумышленник эксплуатирует уязвимость в CMS и встраивает JavaScript, который перенаправляет мобильных пользователей на фишинг, загружает cryptominer или показывает поддельные предупреждения системы безопасности.

Как обнаруживает Google: Googlebot индексирует страницу, выполняет JS в песочнице и обнаруживает редирект. Пометка: Malware или Social Engineering.

Сценарий 2: Фишинговая страница на поддомене

Атакующий создаёт account-prufen.ru или prufen-security.ru (тайпсквоттинг) с точной копией страницы авторизации.

Защита: регистрируйте похожие домены, настройте DMARC/SPF/DKIM, мониторьте появление новых доменов с вашим брендом.

Сценарий 3: Взломанное рекламное объявление

Рекламная сеть показывает объявление с вредоносным кодом через iframe. Ваш сайт чист, но посетитель получает вредоносный контент через ваш сайт.

Защита: только проверенные рекламные сети, CSP с frame-src и script-src, Subresource Integrity.

Как проверить статус своего сайта

Google

1. Google Search Console → «Безопасность и действия вручную» — тип угрозы, affected URLs, дата
2. Transparency Report — transparencyreport.google.com/safe-browsing/search
3. Safe Browsing Lookup API — программная проверка через API с ключом

Яндекс

1. Яндекс.Вебмастер → «Диагностика» → «Безопасность»
2. Поисковая выдача — site:ваш-домен.ru, красная иконка = пометка
3. Яндекс.Браузер — красный экран при открытии сайта

Как подать на пересмотр

Мониторинг Safe Browsing в Пруфене

В Пруфене есть отдельная проверка Safe Browsing. Проверяет домен сразу в нескольких базах:

• Google Safe Browsing
• Яндекс Safe Browsing

Если сайт окажется в чёрном списке — вы получите уведомление раньше, чем это заметят клиенты. Ежедневной проверки достаточно: пометка появляется через 12-72 часа после обнаружения, а проверка заметит её в течение суток. Подключить мониторинг чёрных списков Google и Яндекса можно за пару минут.

Рекомендуемая комбинация проверок

Профилактика: 10 мер, чтобы никогда не попасть в чёрный список

Технические

1. Регулярные обновления. CMS, плагины, темы — в течение 48 часов после патча.
2. WAF. Web Application Firewall фильтрует 99% автоматизированных атак.
3. CSP-заголовок. Запрещает inline-скрипты и загрузку с чужих доменов.
4. Subresource Integrity. Хеши для всех внешних скриптов — если CDN взломают, скрипт не выполнится.
5. Мониторинг целостности. XPath-проверка на посторонние <script> теги.

Организационные

6. Изоляция сервисов. Блог на blog.example.ru, приложение на app.example.ru — взлом одного не затрагивает другой.
7. Минимальные права. Админы работают через отдельные учётки без root-доступа.
8. Резервное копирование. Ежедневные бэкапы, хранение 30 дней — восстановление за минуты.
9. Инцидент-менеджмент. Кто узнаёт первым (Пруфен), кто исправляет, кто коммуницирует с Google/Яндекс.
10. Регулярный аудит. Раз в квартал — проверка через Transparency Report и Яндекс.Вебмастер.

Заключение

Safe Browsing — не враг, а механизм защиты пользователей. Для честных владельцев сайтов главная опасность не в самой системе, а во времени, которое требуется на диагностику, исправление и пересмотр. Сократить это время помогает автоматический мониторинг сайта.

Чтобы снизить риски:

• Предотвращайте — WAF, обновления, CSP отсекают 99% атак
• Мониторьте — Safe Browsing в Пруфене + проверка контента + DNSBL
• Реагируйте быстро — чем быстрее исправили и подали на пересмотр, тем меньше потери