Site Comprometido no Google Ads! Como resolver esse problema?

Neste artigo

Se você chegou aqui, provavelmente está com anúncios rejeitados no Google Ads pelo motivo "Site comprometido" e não encontra uma explicação. Este relato é de um caso real que levei quatro meses para resolver, e no fim a solução foi mais processual do que técnica. Antes de contar o que funcionou, vale entender o que a política diz e o que o Google espera que você faça.

O que a política "Sites comprometidos" considera

Pela política de sites comprometidos do Google Ads, um site comprometido é aquele cujo código foi manipulado para beneficiar terceiros sem o conhecimento do dono, geralmente prejudicando os visitantes. Os exemplos citados são scripts injetados que enviam dados do usuário sem consentimento (como skimmers de cartão), instalação de malware, pop-ups de anúncios e redirecionamentos para outros sites.

O procedimento recomendado pelo próprio Google tem quatro passos:

quando o Google Ads consegue identificar os domínios maliciosos envolvidos, ele os mostra na conta; revise o código do site e remova qualquer referência a esses domínios;
use o relatório de problemas de segurança do Google Search Console para identificar software malicioso e outros problemas;
corrija o site e peça a revisão pelo Search Console para sair da lista do Safe Browsing;
depois da limpeza, aguarde até 72 horas para o sistema rastrear e reavaliar a página de destino.

Guarde essa lista: é com ela que você vai argumentar quando a rejeição continuar mesmo depois de tudo limpo.

Anúncios inicialmente rejeitados por "Software mal-intencionado"

O caso começou com um site novo que desenvolvi para uma clínica já ativa no Google Ads. Logo após a ativação, os anúncios passaram a ser rejeitados de forma recorrente, primeiro por "Software mal-intencionado". O site estava de fato sofrendo ataques, algo infelizmente comum.

Em sites WordPress, a rotina de segurança começa pelo básico: temas e plugins atualizados, versão do PHP atual e usuários administradores conferidos. Hackers procuram exatamente as brechas que plugins e temas desatualizados deixam, e a injeção de SQL por meio de formulários continua entre os ataques mais frequentes.

Meus anúncios continuam marcados como "Site comprometido" e o site já está limpo

Aqui está o detalhe que me custou meses. No meio da limpeza, a pessoa responsável pela publicidade insistia em submeter novos anúncios. Como o site ainda não estava completamente limpo, cada tentativa reforçava a rejeição automática, e a classificação mudou de "Software mal-intencionado" para "Site comprometido". Quando terminei a limpeza, a rejeição permaneceu, e a resposta do suporte era sempre a mesma mensagem automática alegando violação de política.

Durante quatro meses examinei o código linha a linha em busca de uma razão. Não havia mais nada.

O que fiz para limpar, comprovar e documentar

Na limpeza, dois plugins gratuitos deram conta do trabalho:

WP Cerber Security
Wordfence

Depois, usei ferramentas de varredura externas para atestar que o site estava limpo, documentando cada resultado com capturas de tela:

Sucuri Website Checker
VirusTotal
Kaspersky Threat Intelligence Portal
VirusDie
Google Safe Browsing (o status do site fica em https://transparencyreport.google.com/safe-browsing/search)
Google Search Console, na aba "Segurança e ações manuais": tanto "Ações manuais" quanto "Problemas de segurança" precisam estar sem alertas

Dois detalhes do Search Console que passam despercebidos: em "Configurações", confira em "Usuários e permissões" se existe algum usuário que você não reconhece e remova na hora; e se houver um alerta de segurança listado, a solicitação de revisão é feita ali mesmo, depois da correção.

A peça-chave da argumentação com a equipe do Google Ads é usar a ferramenta que eles próprios recomendam, o Google Safe Browsing, e mostrar que ela não aponta nada.

Abrindo o chamado no Google Ads

Com tudo documentado, o caminho é abrir um contato pelo painel do Google Ads ou pela Ajuda do Google Ads:

Etapa 1: escolha o ID de cliente do Google Ads, descreva o problema em poucas palavras ("site comprometido"), clique em "Mais", depois em "Outro" e avance.
Etapa 2: na etapa de recursos sugeridos, avance sem escolher nada.
Etapa 3: para clientes qualificados pode aparecer a opção de chat; na maioria dos casos só existe o contato por e-mail. Clique nele.

Na última etapa, preencha todos os campos, informe a data em que o problema começou, anexe todas as capturas que comprovam a limpeza e escolha como quer ser contatado, informando o melhor horário. Não se surpreenda se o retorno vier apenas por e-mail alegando tentativas de ligação sem sucesso.

O que escrever em "Resumo do problema"

Compartilho o que funcionou para mim. Expliquei que havia meses enfrentava rejeições repetidas por "site comprometido", mesmo após usar todas as ferramentas de varredura disponíveis, incluindo o Google Safe Browsing recomendado por eles, e que nenhuma delas apontava malware ou scripts maliciosos. Pedi que indicassem exatamente o que estava causando o problema, já que nada havia sido detectado.

Rejeição finalmente resolvida

Cerca de quatro dias depois de registrar essa frustração, recebi um e-mail informando que o problema havia sido resolvido e os anúncios voltaram a rodar. Nenhum blog ou vídeo tinha oferecido essa saída; foi a insistência em documentar tudo e devolver a pergunta para a equipe que destravou o caso.

Se as informações deste post ajudaram você a superar a rejeição por "site comprometido", compartilhe sua experiência nos comentários. Se ainda estiver travado, descreva o que já tentou: talvez o seu caso tenha um detalhe que o meu não teve.