Una schermata rossa nel browser prima di entrare nel sito, un’etichetta nei risultati di ricerca, le email che finiscono nello spam: quando un sito infetto viene inserito in una blacklist, i danni si vedono subito. La pulizia è il primo passo, ma poi bisogna far togliere il sito dagli elenchi, e ogni elenco ha le sue regole e i suoi tempi.
Quali blacklist contano
Le più importanti per un sito sono:
- Google Safe Browsing, usata da Chrome, Firefox e Safari per mostrare gli avvisi di sito ingannevole o di malware; lo stato di un dominio si controlla nella pagina Stato del sito del Google Transparency Report;
- Microsoft Defender SmartScreen, usata da Edge e da Windows;
- i motori degli antivirus e dei filtri web, visibili in blocco analizzando l’indirizzo su servizi come VirusTotal;
- le blacklist per la posta, che valutano il dominio e gli indirizzi IP da cui partono le email, e che contano se il sito ha anche inviato spam.
La revisione in Search Console
Per Google il percorso passa da Search Console. Se Google ha rilevato un problema, il rapporto Problemi di sicurezza lo descrive, con la categoria, per esempio malware, ingegneria sociale o spam, e alcuni URL di esempio. Quegli esempi sono preziosi: indicano dove Google ha visto il problema, ma non sono un elenco completo di tutto ciò che va pulito.
Quando la pulizia è completa, dallo stesso rapporto si invia la richiesta di revisione. Nella richiesta conviene descrivere in modo concreto cosa si è trovato e cosa si è fatto: quali file e quali contenuti sono stati rimossi, come è avvenuto l’accesso e come è stato chiuso. I tempi della revisione dipendono dal tipo di problema e sono decisi da Google: possono andare da circa un giorno a diverse settimane.
Non chiedere la revisione troppo presto
La tentazione di chiedere subito la revisione è forte, ma una richiesta inviata con il sito ancora infetto viene respinta, e il tempo perso si somma a quello della nuova richiesta. Google tratta inoltre in modo più severo i siti che tornano ripetutamente a presentare problemi dopo essere stati ripuliti: per questi può esserci un periodo di attesa prima di poter chiedere una nuova revisione. Una pulizia incompleta, seguita da una reinfezione, è quindi il percorso più lungo possibile.
Prima di inviare la richiesta conviene verificare che:
- tutti gli URL di esempio indicati in Search Console rispondano normalmente o con un errore, senza contenuti malevoli;
- il sito sia pulito anche per i visitatori da mobile e per i crawler, non solo dal computer dell’amministratore;
- non ci siano proprietari sconosciuti in Search Console né file di verifica estranei;
- la persistenza sia stata eliminata, così che il problema non si ripresenti durante la revisione.
Le altre blacklist
Per SmartScreen Microsoft mette a disposizione un modulo per segnalare un sito bloccato per errore o ripulito. Per gli antivirus e i filtri web, ciascun fornitore ha la propria procedura di segnalazione di un falso positivo o di un sito ripulito, e molti aggiornano la valutazione in automatico dopo nuove analisi. Per la posta, oltre alla richiesta di rimozione dove prevista, conta la configurazione corretta di SPF, DKIM e DMARC, che aiuta i server di destinazione a fidarsi di nuovo del dominio.
Tempi realistici
Chi promette la rimozione da una blacklist entro un tempo preciso promette qualcosa che non controlla: la decisione finale spetta sempre a chi gestisce l’elenco. Ciò che si può garantire è la pulizia completa, una richiesta ben documentata e l’assenza di reinfezioni durante la revisione. Nel nostro caso di studio sul sito bloccato da Safe Browsing raccontiamo come si svolge questo percorso in pratica.
