Google Search Console

Security Issues

Cảnh báo về mã độc, phần mềm độc hại hoặc lừa đảo được phát hiện trên trang web, ảnh hưởng đến lập chỉ mục.

6 lượt xem Cập nhật: 31/05/2026

Security Issues là gì?

Security Issues (Vấn đề bảo mật) trong Google Search Console là cảnh báo chính thức từ Google cho biết trang web của bạn đang chứa mã độc, phần mềm độc hại (malware), nội dung lừa đảo (phishing), hoặc bị tiêm nhiễm script độc hại nhằm đánh cắp thông tin người dùng, chuyển hướng trái phép, hoặc hiển thị quảng cáo nguy hiểm.

Cảnh báo này xuất hiện trong mục Security & Manual Actions → Security Issues. Khi được kích hoạt, Google có thể tạm dừng lập chỉ mục toàn bộ hoặc một phần trang web — đồng nghĩa với việc trang sẽ biến mất khỏi kết quả tìm kiếm tự nhiên, gây sụt giảm lưu lượng truy cập đột ngột và nghiêm trọng.

Tại sao quan trọng trong SEO?

Security Issues không chỉ là vấn đề kỹ thuật hay bảo mật — mà là rào cản trực tiếp đến khả năng hiển thị trên Google. Khi Google phát hiện mối đe dọa, công cụ tìm kiếm ưu tiên an toàn người dùng hơn thứ hạng. Kết quả:

  • Trang web bị gỡ khỏi kết quả tìm kiếm (hoặc hiển thị cảnh báo đỏ trước khi vào)
  • Googlebot ngừng thu thập dữ liệu (crawling) và lập chỉ mục (indexing)
  • Tỷ lệ thoát tăng mạnh do người dùng thấy cảnh báo "Trang này có thể gây hại"
  • Uy tín thương hiệu bị ảnh hưởng, đặc biệt với website thương mại điện tử hoặc tài chính
  • Không thể phục hồi thứ hạng nhanh dù đã sửa lỗi — cần xác minh lại qua Search Console

Theo báo cáo của Google năm 2023, hơn 70% website bị tấn công bằng mã độc dạng inject script (ví dụ: fake browser update, pop-up lừa tải phần mềm) thường mất từ 1–4 tuần để khôi phục hoàn toàn vị trí tìm kiếm — nếu xử lý đúng quy trình.

Cách hoạt động

Google phát hiện Security Issues thông qua nhiều lớp kiểm tra tự động:

  1. Quét hành vi thực tế: Googlebot duyệt trang như người dùng thật, theo dõi các script chạy nền, yêu cầu redirect bất thường, hoặc gọi tới domain đáng ngờ.
  2. Phân tích nội dung: So sánh mã nguồn với cơ sở dữ liệu mã độc đã biết (dựa trên Chromium Safe Browsing API).
  3. Phát hiện thay đổi đột biến: Ghi nhận sự gia tăng script lạ trong thẻ <head>, iframe ẩn, hoặc đoạn JavaScript giải mã động (obfuscated JS).
  4. Hợp tác với nhà cung cấp dịch vụ: Thông tin từ nhà đăng ký tên miền, hosting, CDN (như Cloudflare) cũng được tích hợp vào hệ thống cảnh báo.

Lưu ý: Google không gửi email cảnh báo riêng — mọi thông tin đều chỉ xuất hiện trong Search Console. Không có “thông báo qua Gmail” hay “tin nhắn SMS” từ Google về vấn đề này.

Hướng dẫn thực hiện

Dưới đây là quy trình xử lý Security Issues chuẩn xác, theo đúng khuyến nghị của Google:

  1. Xác nhận cảnh báo: Đăng nhập Search Console → chọn đúng property → vào Security & Manual Actions → Security Issues. Kiểm tra ngày phát hiện và danh sách URL bị ảnh hưởng.
  2. Quét toàn bộ hệ thống: Dùng công cụ như Sucuri SiteCheck, VirusTotal, hoặc Wordfence (nếu dùng WordPress).
  3. Loại bỏ mã độc:
    • Xóa file lạ trong thư mục /wp-content/uploads/, /tmp/, hoặc root
    • Kiểm tra file .htaccess (đối với Apache) và nginx.conf (đối với Nginx) xem có rule redirect bất thường
    • Thay thế theme/plugin gốc bằng bản tải từ nguồn chính thức — không dùng file nén từ diễn đàn hoặc torrent
  4. Cập nhật toàn bộ: CMS, plugin, theme, PHP, và hệ điều hành máy chủ phải ở phiên bản mới nhất.
  5. Đặt lại quyền truy cập: Đổi mật khẩu FTP, database, admin panel; vô hiệu hóa tài khoản cũ; bật xác thực hai yếu tố (2FA).
  6. Gửi yêu cầu xem xét lại (Review Request): Sau khi làm sạch, nhấn nút Request a review trong Search Console. Thời gian xử lý thường từ 2–5 ngày làm việc.

Lỗi thường gặp

Nhiều chủ website xử lý sai hoặc bỏ sót bước quan trọng, dẫn đến cảnh báo tái xuất hiện. Dưới đây là 4 lỗi phổ biến và cách khắc phục:

Lỗi Nguyên nhân Cách khắc phục
Chỉ dọn file nhưng không cập nhật core Mã độc lợi dụng lỗ hổng trong phiên bản cũ của WordPress hoặc plugin Cập nhật toàn bộ hệ thống trước khi dọn — không chỉ xóa file lạ
Không kiểm tra database Mã độc chèn script vào cột post_content hoặc bảng wp_options Dùng phpMyAdmin tìm chuỗi như eval(base64_decode, document.write, hoặc domain lạ — sau đó làm sạch thủ công hoặc dùng plugin như Anti-Malware
Gửi yêu cầu xem xét khi chưa làm sạch hết Google phát hiện lại mã độc trong lần quét lại → từ chối yêu cầu Chờ ít nhất 24 giờ sau khi dọn xong, rồi kiểm tra lại bằng Sucuri + VirusTotal trước khi gửi review
Sử dụng CDN cache cũ CDN vẫn phân phối phiên bản HTML đã nhiễm mã độc Xóa cache toàn bộ tại CDN (Cloudflare, BunnyCDN…), kiểm tra header cf-cache-status: MISS hoặc hit: false

Ví dụ thực tế

Một website bán hàng thời trang tại TP.HCM (domain: thoitrangabc.vn) nhận cảnh báo Security Issues vào ngày 12/04/2024. Sau kiểm tra, phát hiện:

  • File /wp-content/mu-plugins/ads-loader.php (không tồn tại trong core WordPress)
  • Dòng mã lạ trong .htaccess: RewriteRule ^(.*)$ http://malware-domain[.]xyz/track/$1 [R,L]
  • 17 bài viết bị chèn iframe ẩn trỏ tới trang đánh cắp thẻ tín dụng

Đội ngũ kỹ thuật thực hiện: (1) sao lưu database, (2) xóa toàn bộ thư mục mu-plugins, (3) khôi phục .htaccess từ bản backup sạch, (4) làm sạch bài viết bằng script SQL, (5) cập nhật WordPress lên 6.5.3, (6) gửi yêu cầu review vào ngày 15/04. Google xác nhận làm sạch thành công vào ngày 18/04 — toàn bộ URL trở lại lập chỉ mục sau 48 giờ.

Câu hỏi thường gặp

Security Issues có khác với Manual Action không?

Có. Security Issues do hệ thống tự động phát hiện mã độc/lừa đảo. Manual Action là hình phạt do đội ngũ chất lượng Google đánh giá thủ công (ví dụ: spam backlink, nội dung AI tự động). Cả hai đều nằm trong cùng mục Security & Manual Actions, nhưng nguyên nhân và quy trình xử lý khác nhau.

Tôi không thấy cảnh báo trong Search Console, nhưng website vẫn bị chặn trên Chrome?

Có thể do Google Safe Browsing chưa cập nhật trạng thái trong Search Console — hoặc cảnh báo xuất hiện ở property con (subdomain) chứ không phải domain gốc. Kiểm tra cả www và non-www, cũng như các subdomain như blog.thoitrangabc.vn. Ngoài ra, dùng công cụ Google Safe Browsing Transparency Report để tra trực tiếp.

Sau khi làm sạch, cần bao lâu để website quay lại top tìm kiếm?

Thời gian phục hồi phụ thuộc vào mức độ tổn thương: website nhỏ (<100 URL) thường trở lại sau 3–7 ngày; website lớn (>10.000 URL) có thể mất 2–6 tuần để Googlebot thu thập lại đầy đủ và xếp hạng lại. Không có cam kết thời gian cố định — tùy trường hợp.