google-safe-browsing

Google Safe Browsing：预防与修复

一个上游封锁列表（Google Safe Browsing）会为 Chrome、Brave、Safari、Firefox 和 Edge 提供数据。一旦网站被标记，所有浏览器都会同时拦截它。这是对网站公开内容的分类，并非代码漏洞——不要一上来就调试代码。

快速检查：网站是否被标记？

# Replace the domain. Check apex AND www — they are scored separately.
curl -s "https://transparencyreport.google.com/transparencyreport/api/v3/safebrowsing/status?site=example.com"

响应以 )]}' 开头，后接 [["sb.ssr", STATUS, bool, bool, bool, bool, bool, timestamp_ms, "site"]]：

• STATUS 1 + 全部为 false = 正常。
• STATUS 2 + 任意一项为 true = 已被标记。浏览器拦截页上的文字会说明类别：“诱骗你泄露密码” = 欺骗／社会工程；“安装危险程序” = 恶意软件。

人类可读版本：https://transparencyreport.google.com/safe-browsing/search?url=example.com

预防清单（每个新建的公开网站项目都适用）

1. 域名中不要使用第三方商标。 youtube-x.com、paypal-tool.io = 品牌名 + 登录表单 = 自动触发网络钓鱼标记，也有商标投诉风险。请使用自有域名的子域名（tool.yourname.com）。
2. 爬虫绝不能进入凭据表单。 匿名访客访问根 URL 时，应进入中立的落地页：不含输入框，清楚说明所有者（“由 X 运营”）；如果产品涉及某个品牌，应明确声明“与 [brand] 无关联”。登录入口放在链接后面。
3. 每个域名从第一天起就添加到 Search Console。 添加网域资源，在域名注册商处添加 TXT 记录。只有通过此渠道，Google 才会在用户看到红色警告页面之前通知你；网站被标记后，也只有通过此渠道才能申请审核。
4. 公开 URL = 公开网站。 分类器不在乎它是不是“内部工具”。对于实际上仅限受邀用户使用的工具，请移除遗留的候补名单／注册表单；新域名 + 邮箱收集表单看起来就像是用于收集信息的工具。
5. 像陌生访客一样验证。 运行 curl -sL https://the-domain/ 并检查：访问者是否进入中立内容、是否没有密码字段、标题／标题栏中是否没有第三方品牌。

诊断流程（网站已被标记）

1. 对根域名和 www 运行快速检查，确认标记状态和类别。
2. 匿名获取网站内容（curl -sL），查看 Googlebot 实际看到的内容。检查：域名／标题／标题栏中的品牌名称、是否立即重定向到凭据表单、公开的邮箱收集表单、域名是否较新（whois）。
3. Git 历史通常是个干扰项——触发因素是重新抓取／重新分类或用户举报，而不是最近的提交。快速浏览一下，仅用于排除注入脚本或依赖项被入侵的情况。
4. 如果域名上托管了用户上传内容或第三方内容，请检查是否有某个上传文件／页面触发了标记（Search Console 会列出示例 URL）。

恢复

1. 先修复网站的公开内容（参见上方清单）并部署。若网站仍保持原样且具有网络钓鱼特征，审核申请会被拒绝；重复违规还会延长处理时间。
2. 在 Search Console 中验证域名（在域名注册商处添加 DNS TXT 记录，几分钟内即可生效）。
3. 依次进入 Search Console > 安全问题 > 申请审核。用一两句事实说明：网站是什么、谁在使用、做了哪些更改。
4. 通常需要 1-3 天。验证方法：重新运行快速检查，直到返回 STATUS 1，然后在浏览器中确认。
5. 如果域名本身包含他人的商标，就把解除标记视为暂时的——它仍容易再次被标记。彻底的解决办法是迁移到中立域名。

实例

youtube-alpha.com（2026-07）：一个团队内部工具，域名中包含“youtube”，匿名访客会被直接重定向到带有“YouTube Alpha”品牌标识的邮箱 + 密码表单，此外还有公开的候补名单表单。该网站被标记为欺骗性网站，并在 Brave／Chrome 中遭到拦截。修复方法：删除候补名单页面，添加中立的 /welcome 落地页（说明所有权并声明无关联），去除所有未登录页面的品牌标识，然后在 Search Console 中申请审核。问题从来不在代码。