A mensagem diz: “O site caiu.”
Você verifica. Carrega perfeitamente. Mas o seu cliente, e os clientes do seu cliente, estão diante de um alerta vermelho em tela cheia:
Ameaça potencial detectada. O Advanced Security bloqueou o acesso a este site. Este site pode comprometer seu dispositivo ou conter conteúdo de alto risco.
O site não caiu. O site não foi invadido. Algo mais sorrateiro está acontecendo: a reputação do domínio foi sinalizada, e uma parte da internet está dizendo baixinho às pessoas que o seu negócio é perigoso.
Na semana passada, resolvemos exatamente essa situação para uma de nossas clientes. Aqui está o que realmente acontecia, por que isso atinge pequenas empresas perfeitamente legítimas e como se resolve.
O alerta não vem do site
A maioria das pessoas nunca ouviu falar da camada de segurança que fica entre o wifi e a internet.
Roteadores domésticos e provedores de internet hoje já vêm com proteção no nível da rede, quase sempre ativada de fábrica:
- Cox Panoramic Wifi com seu “Advanced Security”
- Xfinity xFi “Advanced Security”
- eero Secure nos roteadores eero
- Além do antivírus no computador do visitante: Kaspersky, ESET, Sophos, BitDefender, Webroot e outros avisam ou bloqueiam direto no navegador.
Todos eles leem feeds de inteligência de ameaças: listas de domínios classificados como phishing ou malware. Se o seu domínio cair em algumas dessas listas, cada visitante atrás de um desses roteadores, ou usando um desses antivírus, vê uma página de susto no lugar do seu site.
Seu site pode estar impecável hoje e ainda assim constar nessas listas. Veja por quê.
Como um negócio legítimo vai parar numa lista de ameaças
Três caminhos comuns:
1. Seu domínio tem um passado. Um domínio online há anos pode ter hospedado um site antigo que foi invadido em algum momento, muitas vezes sem que o dono jamais soubesse. Sites invadidos são usados para hospedar páginas de golpe, o domínio é sinalizado e a sinalização sobrevive anos à limpeza. Listas de ameaças demoram a perdoar.
2. O erro de um fornecedor se espalha. Produtos de segurança menores licenciam suas classificações de feeds maiores. Um único falso positivo na origem pode ecoar em meia dúzia de fornecedores “diferentes” que revendem os mesmos dados.
3. Filtros automáticos erram. Domínios novos, formulários que parecem páginas de login ou um endereço compartilhado com um vizinho ruim podem acionar classificadores automáticos sem nenhuma revisão humana.
Nada disso exige que você tenha feito algo errado.
Como foi em um Surmado Site
Uma de nossas clientes, corretora de imóveis em Phoenix, migrou o site dela para o Surmado Sites neste verão. O domínio dela é valioso: dezesseis anos de idade, muito conhecido pelos clientes. Em algum ponto desses dezesseis anos, muito antes da Surmado, o site antigo que morava naquele domínio aparentemente foi comprometido. Os registros dos fornecedores de segurança mostram cerca de cem links maliciosos historicamente associados ao domínio. A infecção era história antiga. O dano à reputação, não.
Na semana passada, essa bagagem veio à tona: onze fornecedores de segurança sinalizavam o domínio como “phishing”, e a segurança do roteador do provedor de internet bloqueava o site para boa parte da cidade dela.
E aqui está a parte que importa. Por ser um Surmado Site, o problema era nosso, não dela:
- Confirmamos que o site em si estava saudável, carregando sem erros a partir de cinco países.
- Rastreamos o bloqueio até a segurança do roteador, que lia listas de ameaças desatualizadas.
- Auditamos tudo o que servimos no domínio e verificamos que estava impecável. O Google Safe Browsing concordou: limpo.
- Registramos correções junto a cada fornecedor que ainda mantinha a sinalização antiga e pedimos a reclassificação para o que o site é: imobiliário.
A lista de tarefas dela durante tudo isso: nada.
Verifique o seu próprio site em 15 minutos
Passo 1: Confirme que o site está mesmo no ar (2 min). Carregue-o no celular com o wifi desligado. Depois teste no check-host.net, gratuito, que carrega seu site a partir de vários países. Se o mundo vê o seu site e você vê um alerta, é bloqueio de reputação, não queda.
Passo 2: Pesquise seu domínio no VirusTotal (3 min). Busque seu domínio em virustotal.com. Ele mostra os veredictos de cerca de 90 fornecedores de segurança de uma vez. Saudável é tudo verde. Um problema de reputação se parece com o da nossa cliente: onze fornecedores dizendo “Phishing” enquanto o resto diz limpo.
Passo 3: Consulte o Google Safe Browsing (2 min). Pesquise sua URL no Relatório de Transparência do Google. Se o próprio Google sinalizar, o Chrome avisa cada visitante, e a solução passa pelo Google Search Console.
Passo 4: Descubra quem está bloqueando localmente (5 min). A página de alerta normalmente diz o nome do produto (“Advanced Security”, “eero Secure”). Isso indica qual lista mais importa, e o app do roteador tem a opção “permitir este site”, que desbloqueia na hora na sua própria rede.
Saindo das listas
Permitir o site no seu próprio roteador resolve só para a sua rede. Cada fornecedor mantém a própria lista, então a solução de verdade é registrar um relatório de falso positivo com cada um. Limpar os feeds principais normalmente limpa também os produtos menores que revendem esses dados.
Os canais, atualizados no momento em que escrevemos:
| Fornecedor | Onde reportar |
|---|---|
| Webroot / BrightCloud | Solicitação de mudança OpenText Threat Intelligence |
| Kaspersky | OpenTIP: pesquise o domínio e envie para reanálise |
| ESET | E-mail para samples@eset.com com assunto “False positive” |
| alphaMountain | Ticket de suporte (os dados deles alimentam muitas outras ferramentas) |
| BitDefender | Formulário de falso positivo no site de suporte |
| Sophos | Envio de endereço web no portal de suporte |
Em cada relatório: diga com clareza o que é o negócio, que o site não coleta senhas nem dados de pagamento e, se o domínio tem histórico, que o site atual é uma reconstrução completa. Peça uma nova análise e a categoria correta.
Os fornecedores costumam responder em até uma semana. Roteadores e provedores adotam as listas atualizadas depois disso. Conte de uma a três semanas para a recuperação completa.
O que isso tem a ver com o Surmado Sites
Todo Surmado Site é construído do jeito que os revisores de segurança gostariam que todos os sites fossem: sem página de login, sem banco de dados, sem complementos para invasores explorarem. As coisas que fizeram sites antigos serem invadidos, e domínios antigos serem sinalizados, simplesmente não existem aqui.
E quando o encanamento da internet dá defeito mesmo assim, como uma sinalização de dezesseis anos atrás ressurgindo do nada, encontrar e consertar faz parte do serviço. Seu trabalho é tocar o seu negócio. A página vermelha de alerta é nossa.