Naruszenie zasad w Google Ads - malware i niezgodna witryna

Naruszenie zasad w Google Ads to decyzja systemu weryfikacji stwierdzająca, że reklama, słowo kluczowe, komponent albo strona docelowa łamie konkretny punkt polityk reklamowych Google. W wariantach dotyczących witryny docelowej przybiera najczęściej dwie postaci: oznaczenia „Złośliwe oprogramowanie” (malware), gdy Google wykryje na stronie szkodliwy kod, oraz oznaczenia „Niezgodna witryna”, gdy strona docelowa nie spełnia wymagań dotyczących miejsca docelowego. Oba statusy zatrzymują wyświetlanie reklam prowadzących pod dany adres, a przy braku reakcji prowadzą do zawieszenia całego konta Google Ads.

Telefon o siódmej rano, w słuchawce właściciel sklepu, w panelu czerwony pasek i zero wyświetleń od nocy. Tak wygląda większość rozmów, które zaczynają się od naruszenia zasad dotyczącego witryny. Reklamodawca zwykle nie zrobił nic nowego: nie zmienił reklam, nie ruszył stawek, nie dodał landing page’a. Zmieniła się strona, tylko nie on ją zmienił. Przez lata audytowania kont Google Ads nauczyłem się, że w tym momencie liczy się kolejność działań, a nie ich intensywność - bo najczęstszym powodem przedłużającej się blokady jest odwołanie złożone o kilka godzin za wcześnie.

Skrót artykułu

Co warto wiedzieć

Najważniejsze ustalenia o naruszeniach zasad Google Ads dotyczących witryny docelowej - malware i niezgodnej witrynie.

• Naruszenie zasad Google Ads ocenia stronę docelową, a nie tylko treść reklamy

  Google weryfikuje adres, pod który prowadzi reklama, przy każdym przeglądzie i cyklicznie później. Dlatego reklama zatwierdzona miesiąc temu może dziś dostać oznaczenie, mimo że nikt nie tknął jej tekstu.

• Oznaczenie malware blokuje całą domenę, nie pojedynczy adres URL

  Przy wykryciu złośliwego oprogramowania Google zatrzymuje reklamy prowadzące na wszystkie podstrony domeny. Podmiana adresu docelowego na inną podstronę tego samego serwisu niczego nie odblokuje.

• Google zapowiada ostrzeżenie na co najmniej 7 dni przed zawieszeniem konta

  W zasadach dotyczących nadużywania sieci reklamowej Google deklaruje, że przy naruszeniach innych niż rażące wysyła powiadomienie z minimum siedmiodniowym wyprzedzeniem. Rażące nadużycia, w tym rozpowszechnianie złośliwego oprogramowania, mogą skończyć się zawieszeniem bez ostrzeżenia.

• Siedem na jedenaście oznaczeń malware, które prowadziłem, wróciło po pierwszym odwołaniu

  To moja obserwacja z kont audytowanych w ciągu ostatnich lat, nie dana branżowa. Powód był za każdym razem ten sam: usunięto zainfekowane pliki, ale nie zamknięto furtki wejścia, więc skrypt wracał w ciągu kilkunastu dni.

• Ponowna weryfikacja po odwołaniu trwa zwykle kilka dni roboczych

  Google nie publikuje gwarantowanego czasu rozpatrzenia odwołania w Google Ads. Z moich zgłoszeń najkrótsze przywrócenie zajęło 26 godzin, najdłuższe 9 dni - różnicę robiło to, czy strona była faktycznie czysta w momencie wysyłki.

Czym jest naruszenie zasad w Google Ads i czym różni się od odrzuconej reklamy?

Naruszenie zasad w Google Ads to stwierdzony przez system weryfikacji konflikt między Twoim materiałem reklamowym a konkretnym punktem polityk reklamowych Google. Odrzucona reklama jest tylko jedną z możliwych konsekwencji tego stwierdzenia - tą najłagodniejszą, ograniczoną do jednego zasobu.

Różnica jest praktyczna, nie językowa. Odrzucenie dotyczy pojedynczej reklamy albo komponentu i naprawia się je edycją tekstu. Naruszenie zasad dotyczące witryny docelowej dotyczy adresu, na który kierujesz ruch, więc żadna zmiana w panelu Google Ads go nie usunie. Musisz zmienić coś poza panelem: kod strony, jej treść albo konfigurację serwera.

• Odrzucona reklama: zakwestionowany zostaje jeden zasób - nagłówek, opis, obraz, komponent. Reszta grupy reklam działa normalnie.
• Naruszenie na poziomie strony docelowej: zakwestionowany zostaje adres URL lub cała domena. Blokada obejmuje każdą reklamę prowadzącą pod ten adres, niezależnie od kampanii.
• Ostrzeżenie o zasadach: powiadomienie z terminem naprawy, po którym Google zapowiada dalsze kroki wobec konta.
• Zawieszenie konta: najcięższa konsekwencja - wszystkie kampanie przestają się wyświetlać jednocześnie, a konto traci możliwość emisji.

Uważam, że najkosztowniejszym błędem na tym etapie jest traktowanie oznaczenia witryny jak zwykłego odrzucenia. Reklamodawca podmienia adres docelowy na inną podstronę, system wykrywa ten sam problem pod nowym URL-em i zamiast jednego naruszenia ma dwa. Szczegóły procesu przy najcięższym scenariuszu opisuję w tekście o tym, jak wygląda zawieszone konto Google Ads.

Jakie naruszenia dotyczą witryny docelowej, a nie treści reklamy?

Witryny docelowej dotyczą cztery główne rodziny naruszeń: złośliwe oprogramowanie, niespełnione wymagania dotyczące miejsca docelowego, obchodzenie systemów weryfikacji oraz niezgodność między treścią reklamy a zawartością strony.

Wszystkie łączy jedno - weryfikator ocenia to, co widzi po kliknięciu, nie to, co napisałeś w reklamie.

• Złośliwe oprogramowanie: szkodliwy kod, wymuszone pobrania, ukryte przekierowania na strony trzecie, skrypty kradnące dane z formularzy.
• Wymagania dotyczące miejsca docelowego: strona nie działa, jest w budowie, prowadzi do pliku zamiast do strony, nie ma treści albo blokuje przeglądarkę użytkownika.
• Obchodzenie systemów: cloaking, czyli pokazywanie robotowi Google innej treści niż użytkownikowi, oraz strony przejściowe stawiane po to, żeby przemycić właściwy cel.
• Niezgodność reklamy ze stroną: reklama obiecuje produkt lub usługę, których na stronie docelowej nie ma.

Warto zauważyć jedną asymetrię: cloaking i malware bywają technicznie tym samym zdarzeniem. Zhakowana witryna, która serwuje robotowi Google czystą stronę, a użytkownikowi z reklamy przekierowanie na fałszywą aptekę, narusza obie polityki naraz. Dlatego przy oznaczeniu malware nigdy nie zakładam, że problem jest wyłącznie w plikach - sprawdzam też, czy serwer nie rozpoznaje typu odwiedzającego.

Skala reakcji Google

Cztery poziomy reakcji Google na problem z witryną docelową

Ten sam mechanizm weryfikacji kończy się raz notatką w panelu, raz utratą konta. O różnicy decyduje typ naruszenia i to, czy się powtarza.

Poziom 1 - odrzucona reklama

Zablokowany zostaje jeden zasób. Naprawa to edycja nagłówka, opisu lub komponentu, a reklama wraca do przeglądu automatycznie.

Poziom 2 - niezgodna witryna

Zablokowany zostaje adres docelowy. Reklamy prowadzące pod ten URL przestają się wyświetlać, ale reszta konta działa. Naprawa dzieje się na stronie, nie w panelu.

Poziom 3 - złośliwe oprogramowanie

Zablokowana zostaje cała domena wraz z podstronami. Do odblokowania potrzebne jest usunięcie kodu, zamknięcie luki i pozytywny wynik ponownego skanu.

Poziom 4 - zawieszenie konta Google Ads

Wszystkie kampanie zatrzymują się naraz, niezależnie od domeny docelowej. Ten poziom uruchamia się przy rażących nadużyciach albo przy powtarzalności naruszeń z poziomu drugiego i trzeciego.

Co oznacza oznaczenie „Złośliwe oprogramowanie” w Google Ads?

Oznaczenie „Złośliwe oprogramowanie” w Google Ads oznacza, że na stronie docelowej albo w jej zasobach wykryto kod, który może zaszkodzić urządzeniu użytkownika, wykraść jego dane lub zmienić ustawienia przeglądarki bez zgody.

Google traktuje ten scenariusz jako rażące naruszenie, dlatego blokada obejmuje domenę natychmiast, bez okresu karencji.

W praktyce właściciel strony rzadko jest sprawcą. Znacznie częściej jest ofiarą: ktoś wszedł przez nieaktualizowaną wtyczkę, dopisał kilkanaście linii do pliku szablonu i wstawił przekierowanie widoczne tylko dla ruchu z reklam. Strona wygląda normalnie, właściciel po wejściu widzi swój sklep, a użytkownik z Google trafia gdzie indziej. To dlatego samo „u mnie działa” nie jest argumentem w odwołaniu.

• Wstrzyknięte przekierowania: kod rozpoznaje źródło ruchu i przerzuca użytkownika na inną domenę tylko wtedy, gdy przyszedł z płatnego kliknięcia.
• Skrypty kradnące dane formularzy: nasłuchują na pola koszyka lub logowania i wysyłają zawartość na zewnętrzny serwer.
• Wymuszone pobrania: strona inicjuje pobranie pliku bez działania użytkownika.
• Zainfekowany zasób zewnętrzny: Twoja strona jest czysta, ale ładuje bibliotekę z przejętego CDN-u lub reklamę z niesprawdzonej sieci.
• Backdoor w plikach uploadu: pojedynczy plik pozwalający wracać do serwisu nawet po usunięciu widocznej infekcji.

Co oznacza status „Niezgodna witryna” w Google Ads?

Status „Niezgodna witryna” oznacza, że strona docelowa nie spełnia wymagań dotyczących miejsca docelowego - nie ma wartościowej treści, nie działa poprawnie, utrudnia opuszczenie jej albo nie odpowiada temu, co obiecuje reklama.

To naruszenie treściowe, nie techniczne, i naprawia się je zmianą samej strony.

Najczęstsze przypadki, które widzę w audytach, są zaskakująco prozaiczne. Strona w budowie z jednym zdaniem i formularzem. Landing page bez informacji o firmie i bez sposobu kontaktu. Sklep, który dla użytkownika spoza Polski zwraca pustą stronę, bo geoblokada odcina też weryfikatora. Żadna z tych sytuacji nie jest złośliwa, a każda kończy się blokadą adresu.

• Brak treści merytorycznej: strona składa się z nagłówka i przycisku, bez opisu oferty, cennika czy warunków.
• Strona nie odpowiada: błąd 404, błąd 500, przekierowanie w pętli albo certyfikat SSL, który przeglądarka odrzuca.
• Blokowanie nawigacji: wyłączony przycisk „wstecz”, wyskakujące okna uniemożliwiające opuszczenie strony, treść zasłonięta warstwą bez możliwości zamknięcia.
• Rozjazd reklama - strona: reklama mówi o serwisie klimatyzacji, strona docelowa jest ogólną stroną główną firmy budowlanej.
• Brak wymaganych informacji: brak polityki prywatności lub danych rejestrowych tam, gdzie branża tego wymaga.

Malware kontra niezgodna witryna - porównanie parametrów

Skąd Google wie, że witryna jest zainfekowana lub niezgodna?

Google łączy trzy niezależne źródła sygnału: automatyczne skanowanie strony docelowej przy przeglądzie reklamy, cykliczne skanowanie tej samej domeny w tle oraz bazę Safe Browsing, która agreguje zgłoszenia i wyniki analizy z całej sieci.

Do tego dochodzi przegląd ręczny, uruchamiany przy zgłoszeniach użytkowników i przy odwołaniach.

Kluczowa konsekwencja dla reklamodawcy: skanowanie nie kończy się na zatwierdzeniu reklamy. Weryfikator wraca pod ten sam adres wielokrotnie, z różnych lokalizacji i z różnymi identyfikatorami przeglądarki. Dlatego infekcja aktywowana dopiero po kilku dniach albo tylko dla ruchu mobilnego i tak zostanie wychwycona - zwykle wtedy, gdy kampania ma już rozpędzone wyniki.

1. Skan przy przeglądzie - nowa reklama lub nowy adres docelowy uruchamia automatyczne pobranie strony i analizę zwróconego kodu.
2. Skan cykliczny - ta sama domena jest odwiedzana ponownie bez żadnej zmiany po Twojej stronie.
3. Sygnał z Safe Browsing - wpis w bazie zagrożeń przenosi się na status w Google Ads, nawet jeśli źródłem był zupełnie inny kanał.
4. Zgłoszenie użytkownika - kliknięcie w opcję zgłoszenia reklamy kieruje adres do kolejki przeglądu ręcznego.
5. Przegląd po odwołaniu - złożenie odwołania jest jednocześnie prośbą o ponowny, dokładniejszy skan.

Jeżeli reklamy przestały się wyświetlać, ale w panelu nie widzisz żadnego oznaczenia zasad, przyczyna leży zwykle gdzie indziej - te scenariusze rozbieram w tekście o tym, dlaczego reklamy Google Ads się nie wyświetlają.

Przy naruszeniu za złośliwe oprogramowanie zaczynam nie od Google Ads, tylko od hostingu i logów serwera. Reklama jest tu objawem, a nie problemem, więc konto zostanie odblokowane dopiero wtedy, gdy zniknie przyczyna po stronie witryny. Odwołania składane przed usunięciem infekcji kończą się odmową i zużywają czas, w którym kampanie stoją.

Jak samodzielnie sprawdzić, czy witryna jest zainfekowana?

Samodzielna weryfikacja opiera się na jednej zasadzie: musisz zobaczyć stronę tak, jak widzi ją użytkownik z reklamy, a nie tak, jak widzisz ją jako zalogowany właściciel. Większość infekcji ukrywa się właśnie przed zalogowaną sesją i przed adresem IP administratora.

1. Otwórz stronę w oknie prywatnym z parametrem ?gclid=test123 na końcu adresu - część skryptów aktywuje się dopiero przy obecności identyfikatora kliknięcia.
2. Sprawdź raport Problemy z bezpieczeństwem w Google Search Console dla tej samej domeny - jeśli Safe Browsing ma wpis, znajdziesz tam nazwę kategorii zagrożenia.
3. Porównaj kod źródłowy odpowiedzi serwera z tym, co widzisz w przeglądarce - różnica oznacza cloaking lub skrypt wstrzykiwany warunkowo.
4. Przejrzyj daty modyfikacji plików na serwerze i posortuj je malejąco - pliki zmienione w nocy, poza rytmem Twoich wdrożeń, to najszybszy trop.
5. Przetestuj widok mobilny na realnym urządzeniu w sieci komórkowej - część przekierowań uruchamia się wyłącznie poza Wi-Fi.
6. Sprawdź listę zasobów zewnętrznych ładowanych przez stronę - obcy skrypt z domeny, której nie kojarzysz, jest wystarczającym powodem do dalszej analizy.

Marek, właściciel sklepu z częściami motoryzacyjnymi, przez trzy dni przekonywał mnie, że jego strona jest czysta, bo sprawdzał ją co godzinę. Sprawdzał na firmowym laptopie, zalogowany, z biurowego adresu IP. Przekierowanie uruchamiało się wyłącznie na telefonach z Androidem, przy wejściu z parametrem kliknięcia i tylko między 22:00 a 6:00. Znaleźliśmy je czwartego dnia. To dokładnie ten typ rozbieżności, który wychwytuję podczas audytu konta.

Obserwacja z audytów

Pięć źródeł infekcji, które najczęściej znajduję na oznaczonych witrynach

Kolejność odzwierciedla częstość w moich zgłoszeniach naruszeń dotyczących malware z ostatnich lat, nie badanie na reprezentatywnej próbie.

1

Nieaktualizowana wtyczka CMS

Najczęstszy punkt wejścia. W siedmiu z jedenastu prowadzonych przeze mnie przypadków malware furtką była wtyczka bez aktualizacji od co najmniej dwóch wersji głównych.

2

Przejęte konto administratora

Hasło powtórzone z innego serwisu albo konto byłego wykonawcy, którego nikt nie usunął po zakończeniu współpracy.

3

Backdoor pozostawiony po wcześniejszym włamaniu

Infekcja usunięta powierzchownie miesiące wcześniej. Plik pozostał, więc powrót kodu wymagał od atakującego jednego żądania.

4

Zainfekowany zasób ładowany z zewnątrz

Biblioteka JavaScript z darmowego CDN-u albo licznik odwiedzin sprzed lat, o którym nikt w firmie już nie pamiętał.

5

Współdzielony hosting z zainfekowanym sąsiadem

Infekcja przenosi się między katalogami na tym samym koncie hostingowym. Czyszczenie jednej domeny bez pozostałych kończy się nawrotem.

Jak wyczyścić witrynę przed złożeniem odwołania?

Czyszczenie witryny przed odwołaniem ma cztery etapy w stałej kolejności: izolacja, usunięcie kodu, zamknięcie punktu wejścia i weryfikacja z zewnątrz.

Pominięcie trzeciego etapu jest powodem, dla którego naruszenie wraca - usunięty skrypt bez zamkniętej luki odtwarza się zwykle w ciągu kilkunastu dni.

Zacznij od pełnej kopii zapasowej stanu zainfekowanego, zanim cokolwiek skasujesz. Brzmi kontrintuicyjnie, ale to jedyny materiał dowodowy, który pozwoli ustalić, którędy weszła infekcja. Skasowana bez kopii strona zostawia Cię z czystym serwisem i zerową wiedzą o tym, co się stało.

Kolejność naprawy

Cztery etapy usuwania infekcji przed odwołaniem w Google Ads

Sekwencja zaczyna się od zabezpieczenia dowodów, a kończy na potwierdzeniu czystości z zewnętrznego adresu - dopiero wtedy zgłoszenie ma sens.

1 Izolacja i kopia stanu

Zrób kopię plików i bazy w stanie zainfekowanym, wstrzymaj kampanie prowadzące pod ten adres i zmień hasła wszystkich kont administracyjnych.

2 Usunięcie szkodliwego kodu

Podmień pliki rdzenia CMS i wtyczek na czyste wersje ze źródła producenta, przejrzyj bazę pod kątem wstrzykniętych skryptów i usuń pliki spoza struktury.

3 Zamknięcie punktu wejścia

Ustal, którędy weszła infekcja, zaktualizuj podatny komponent, usuń nieużywane konta i wyłącz wykonywanie kodu w katalogach uploadu.

4 Weryfikacja z zewnątrz

Sprawdź stronę z innej sieci, z urządzenia mobilnego i z parametrem kliknięcia w adresie, a następnie poproś o ponowną ocenę w Search Console.

Kiedyś uważałem, że przywrócenie kopii zapasowej sprzed infekcji zamyka temat. Dziś wiem, że w większości przypadków to błąd - kopia często zawiera już backdoora, bo infekcja siedziała w plikach na długo przed tym, jak uruchomiła widoczne przekierowanie. Rekomenduję podejście odwrotne: czysta instalacja CMS-a, do której przenosisz wyłącznie treść i pliki multimedialne po sprawdzeniu.

Jak złożyć odwołanie od naruszenia zasad w Google Ads?

Odwołanie składasz w panelu Google Ads, w sekcji dotyczącej zasad przy konkretnej reklamie lub w menedżerze zasad, wybierając opcję ponownego przeglądu. Formularz wymaga wskazania, co zostało naprawione - i to jest jedyne miejsce, w którym masz realny wpływ na wynik.

Opis naprawy pisz konkretnie i technicznie. „Strona została wyczyszczona” nie daje weryfikatorowi żadnej informacji. „Usunięto wstrzyknięty skrypt z pliku szablonu, zaktualizowano wtyczkę do wersji 4.2.1, usunięto dwa nieużywane konta administracyjne, wyłączono wykonywanie PHP w katalogu uploads” opisuje zamknięty cykl naprawy. Z moich zgłoszeń wynika, że drugi wariant skraca oczekiwanie mniej więcej o połowę, choć to obserwacja z kilkunastu spraw, a nie pomiar.

Zanim wyślesz zgłoszenie

Cztery warunki, które musisz spełnić przed odwołaniem od naruszenia zasad

Odwołanie złożone przed spełnieniem tych warunków kończy się odrzuceniem i wydłuża całą sprawę o kolejny cykl przeglądu.

Strona jest czysta z zewnętrznego adresuSprawdzona z innej sieci, na urządzeniu mobilnym i z parametrem kliknięcia w adresie, nie tylko z firmowego laptopa.

Punkt wejścia jest zamkniętyZnasz podatny komponent i wiesz, że został zaktualizowany albo usunięty. Bez tego naprawa jest tymczasowa.

Search Console nie zgłasza problemu bezpieczeństwaWpis w Safe Browsing utrzyma blokadę w Google Ads niezależnie od tego, co napiszesz w odwołaniu.

Masz gotowy opis naprawyLista konkretnych czynności z nazwami plików, wersjami komponentów i datą wykonania, a nie ogólne zapewnienie o wyczyszczeniu.

Nie składaj drugiego odwołania, dopóki pierwsze jest w toku. Kolejne zgłoszenia w tej samej sprawie nie przyspieszają przeglądu, a przy naruszeniach dotyczących obchodzenia systemów bywają odczytane jako próba wymuszenia decyzji. Jedno zgłoszenie, dobrze opisane, działa lepiej niż pięć zdawkowych.

Dlaczego naruszenie wraca mimo wyczyszczenia witryny?

Naruszenie wraca najczęściej dlatego, że usunięto skutek, a nie przyczynę - szkodliwy kod zniknął, ale luka, przez którą trafił na serwer, została otwarta.

Drugą co do częstości przyczyną jest infekcja poza katalogiem głównym: w innej domenie na tym samym hostingu, w katalogu kopii zapasowych albo w środowisku testowym.

• Backdoor poza strukturą CMS: pojedynczy plik w katalogu uploadów lub cache, którego nie obejmuje podmiana rdzenia.
• Zadanie cron odtwarzające kod: wpis w harmonogramie serwera przywracający skrypt po każdym czyszczeniu.
• Druga domena na tym samym koncie hostingowym: wyczyszczona witryna główna, zainfekowany serwis firmowy w podkatalogu.
• Konto administratora w rękach atakującego: zmienione hasło głównego konta, nietknięte konto poboczne utworzone w trakcie włamania.
• Cache po stronie serwera lub CDN-u: strona jest czysta, ale weryfikator dostaje starą, zainfekowaną wersję z pamięci podręcznej.

Jest jeszcze scenariusz pozorny, który potrafi kosztować tydzień nerwów: naprawa była skuteczna, ale ponowny skan po prostu jeszcze się nie odbył. Status w panelu zmienia się dopiero po przeglądzie, nie po Twojej edycji. Jeżeli od naprawy minęło mniej niż kilka dni roboczych i nie masz nowych sygnałów o infekcji, poczekaj zamiast zmieniać cokolwiek na stronie.

Czym grozi powtórzone naruszenie - od ostrzeżenia do zawieszenia konta?

Powtórzone naruszenie zasad przenosi sprawę z poziomu adresu URL na poziom konta Google Ads. Google w zasadach dotyczących nadużywania sieci reklamowej zapowiada wysłanie ostrzeżenia co najmniej 7 dni przed zawieszeniem przy naruszeniach innych niż rażące, ale przy rażących - w tym przy rozpowszechnianiu złośliwego oprogramowania - zastrzega sobie zawieszenie bez wcześniejszego powiadomienia.

1. Pierwsze oznaczenie - blokada adresu lub domeny, konto działa normalnie, kampanie na inne adresy się wyświetlają.
2. Ostrzeżenie o zasadach - powiadomienie w panelu i mailem, z terminem na naprawę i wskazaniem konkretnej polityki.
3. Zawieszenie konta - wszystkie kampanie zatrzymane, brak możliwości emisji do czasu pozytywnego odwołania.
4. Zawieszenie powiązanych kont - przy powtarzalnych naruszeniach Google obejmuje decyzją także konta powiązane danymi rozliczeniowymi lub dostępowymi.

Osobno warto pilnować higieny samego konta, bo część naruszeń zaczyna się od przejętego dostępu, a nie od strony - opisuję to w tekście o tym, jak dbać o bezpieczeństwo konta Google Ads. Przy kontach reklamujących usługi wrażliwe dochodzi jeszcze warstwa formalna, czyli weryfikacja reklamodawcy w Google Ads.

Jak zabezpieczyć witrynę, żeby oznaczenie nie wróciło?

Trwałe zabezpieczenie witryny opiera się na trzech nawykach: aktualizowaniu komponentów w stałym rytmie, ograniczaniu liczby kont z pełnymi uprawnieniami oraz monitorowaniu zmian w plikach.

Każdy z nich jest tani, a razem zamykają dokładnie te wektory, które najczęściej stoją za oznaczeniem malware.

• Rytm aktualizacji: stały dzień w tygodniu na aktualizacje rdzenia, wtyczek i motywu, z kopią zapasową wykonaną przed, nie po.
• Minimum kont administracyjnych: przegląd listy użytkowników raz na kwartał i usuwanie kont wykonawców po zakończeniu prac.
• Uwierzytelnianie dwuskładnikowe: na panelu CMS, na hostingu i na koncie Google powiązanym z Google Ads.
• Monitoring integralności plików: alert przy zmianie plików rdzenia wychwytuje infekcję w godzinach zamiast w tygodniach.
• Inwentarz zasobów zewnętrznych: lista wszystkich skryptów ładowanych przez stronę, z właścicielem i uzasadnieniem dla każdego wpisu.
• Oddzielne konto hostingowe na środowisko testowe: odcina drogę infekcji między wersją roboczą a produkcyjną.

Jeżeli rozpoznajesz u siebie któryś z tych braków, a kampanie już raz stanęły przez naruszenie zasad, punktem wyjścia jest przegląd konta i strony docelowej razem - pomocna będzie moja checklista audytu konta Google Ads. Podstawy konfiguracji samego konta zebrałem natomiast w poradniku Google Ads dla początkujących.

Podsumowanie

Naruszenie zasad w Google Ads dotyczące witryny docelowej rzadko jest karą za to, co zrobiłeś.

Znacznie częściej jest sygnałem o tym, co zrobił ktoś inny na Twoim serwerze - i o tym, jak długo tego nie zauważyłeś. Rozróżnienie między oznaczeniem malware a statusem niezgodnej witryny decyduje o tym, kogo w ogóle wołasz do naprawy: administratora serwera czy osobę odpowiedzialną za treść.

Przestań traktować naruszenie zasad jak problem reklamowy do rozwiązania w panelu. Zacznij postrzegać je jako alarm bezpieczeństwa, który akurat pierwszy zapalił się w Google Ads, bo tam masz najkrótszą pętlę informacji zwrotnej. Konto reklamowe jest w tym układzie czujnikiem, nie miejscem awarii.

1. Zidentyfikuj typ naruszenia - malware czy niezgodna witryna, bo od tego zależy cała dalsza ścieżka.
2. Zweryfikuj stronę z zewnątrz - inna sieć, urządzenie mobilne, parametr kliknięcia w adresie.
3. Napraw i zamknij punkt wejścia - usunięcie kodu bez zamknięcia luki to naprawa na kilkanaście dni.
4. Złóż jedno, konkretne odwołanie - z listą wykonanych czynności zamiast ogólnego zapewnienia.
5. Wprowadź rytm aktualizacji i monitoring - żeby drugie oznaczenie nie przeniosło sprawy na poziom konta.

Najbliższe lata przyniosą więcej automatycznych przeglądów, nie mniej - skanowanie stron docelowych staje się ciągłe, a nie punktowe. Reklamodawca, który traktuje bezpieczeństwo witryny jak część konfiguracji kampanii, a nie jak osobny temat dla informatyka, po prostu rzadziej traci dni emisji.

Naruszenie za malware bywa efektem czegoś, co dzieje się na serwerze, a nie w reklamie. Jeśli nie wiesz, od czego zacząć, umów konsultację.

Na czym opieram te wnioski

Źródła i dokumentacja

Dwie polityki reklamowe Google definiują same oznaczenia, a dwa niezależne opracowania pokazują, skąd biorą się infekcje i jak zamknąć punkt wejścia po czyszczeniu witryny.

support.google.com

Destination requirements - Advertising Policies Help

Oryginalna lista wymagań Google wobec strony docelowej: brak wartościowej treści, niedziałająca strona, blokowanie nawigacji, rozjazd reklamy z ofertą. Podstawa dla sekcji o statusie „Niezgodna witryna” i dla tabeli porównującej oba oznaczenia.

Google Ads - Pomoc dotycząca zasad Otwórz

support.google.com

Abusing the ad network - Advertising Policies Help

Polityka opisująca złośliwe oprogramowanie, obchodzenie systemów oraz zapowiedź ostrzeżenia na co najmniej 7 dni przed zawieszeniem przy naruszeniach innych niż rażące. Źródło liczby cytowanej w sekcji o powtórzonym naruszeniu i w bloku „Co warto wiedzieć”.

Google Ads - Pomoc dotycząca zasad Otwórz

sucuri.net

Industry Reports - Website Security

Cykliczne raporty o zhakowanych witrynach z rozkładem rodzajów infekcji, backdoorów i punktów wejścia przez komponenty CMS. Niezależne potwierdzenie rankingu źródeł infekcji z sekcji o samodzielnej diagnostyce witryny.

Sucuri Security Otwórz

owasp.org

OWASP Top Ten Web Application Security Risks

Zestawienie najpoważniejszych ryzyk aplikacji webowych budowane na danych z setek tysięcy analizowanych aplikacji, z podatnymi komponentami i błędami kontroli dostępu w czołówce. Merytoryczna podstawa sekcji o zamykaniu punktu wejścia i o zabezpieczaniu witryny przed nawrotem.

OWASP Foundation Otwórz

Najczęściej zadawane pytania

Pytania i odpowiedzi (FAQ)

Sześć pytań, które wracają po usunięciu infekcji: o koszty czyszczenia, o wpływ na wyniki organiczne, o podział odpowiedzialności i o to, co dzieje się z resztą konta w trakcie odwołania.

01Czy naruszenie zasad w Google Ads wpływa na pozycje strony w bezpłatnych wynikach wyszukiwania Google?

Naruszenie zasad w Google Ads i ranking w bezpłatnych wynikach to dwa niezależne systemy, więc samo oznaczenie w panelu reklamowym nie obniża pozycji organicznych. Wspólny bywa jednak powód: jeśli witryna trafiła do bazy Safe Browsing z powodu złośliwego oprogramowania, Search Console pokaże problem bezpieczeństwa, a w wynikach wyszukiwania obok adresu pojawi się ostrzeżenie przed wejściem. Wtedy tracisz ruch w obu kanałach naraz.

02Ile kosztuje usunięcie złośliwego oprogramowania z witryny i czy da się to zrobić samodzielnie?

Usunięcie złośliwego oprogramowania z witryny opartej o popularny CMS da się wykonać samodzielnie, jeśli masz dostęp do serwera i potrafisz porównać pliki z czystą wersją od producenta. Płatne usługi czyszczenia działają zwykle w modelu abonamentowym i obejmują skan, usunięcie kodu oraz zaporę aplikacyjną. Samodzielne czyszczenie bez znalezienia punktu wejścia kończy się jednak nawrotem infekcji w ciągu kilkunastu dni.

03Czy pozostałe kampanie Google Ads działają w trakcie rozpatrywania odwołania?

Kampanie Google Ads kierujące na inne, nieoznaczone adresy działają normalnie w trakcie rozpatrywania odwołania, ponieważ blokada obejmuje wyłącznie zakwestionowany adres lub domenę. Zatrzymują się tylko reklamy prowadzące pod ten adres. Sytuacja zmienia się dopiero przy zawieszeniu całego konta, kiedy wszystkie kampanie przestają się wyświetlać jednocześnie.

04Kto w firmie powinien odpowiadać za usunięcie naruszenia zasad Google Ads: specjalista Ads czy administrator serwera?

Usunięcie naruszenia zasad Google Ads dotyczącego witryny wymaga dwóch ról naraz: administrator serwera lub deweloper czyści kod i zamyka lukę, a specjalista Google Ads prowadzi odwołanie i pilnuje statusu w panelu. Rozdzielenie tych zadań bez jednej osoby koordynującej jest najczęstszym powodem, dla którego odwołanie trafia do Google, zanim strona faktycznie jest czysta. Ustal jednego właściciela procesu, zanim wyślesz zgłoszenie.

05Czy naruszenie zasad na jednej domenie blokuje reklamy innych domen na tym samym koncie Google Ads?

Naruszenie zasad dotyczące jednej domeny nie blokuje automatycznie reklam prowadzących na inne domeny w tym samym koncie Google Ads, dopóki chodzi o pojedynczy incydent. Google ocenia jednak powtarzalność naruszeń na poziomie konta, więc seria oznaczeń na różnych domenach podnosi ryzyko zawieszenia całości. Reklamowanie kilku serwisów z jednego konta zwiększa stawkę każdego pojedynczego oznaczenia.

06Czy przeniesienie sklepu na nową domenę usuwa naruszenie zasad w Google Ads?

Przeniesienie sklepu na nową domenę nie usuwa naruszenia zasad w Google Ads, jeśli źródło problemu pozostaje to samo, bo Google skanuje nowy adres dokładnie tak jak poprzedni i wykrywa ten sam kod lub tę samą niezgodność. Zmiana domeny wykonana wyłącznie po to, żeby ominąć blokadę, jest dodatkowo klasyfikowana jako obchodzenie systemów, czyli cięższe naruszenie. Bezpieczna kolejność jest odwrotna: najpierw naprawa, potem ewentualna migracja.

Ten wpis należy do obszaru Konto i rozliczenia - zobacz pozostałe teksty z tego obszaru albo wróć do bazy wiedzy Google Ads.

---