Как проверить сайт на вирусы: бесплатные сервисы и что они не увидят

Проверить сайт на вирусы можно за пять минут и бесплатно, но ответ «чисто» значит меньше, чем кажется. Онлайн-сканер смотрит на сайт глазами посетителя и не заглядывает на сервер. Поэтому проверка делается в три слоя: сканер по адресу, отчёты поисковиков и сравнение файлов на сервере. Первые два доступны любому, третий нужен тому, у кого есть доступ к хостингу.

В статье два читателя. Первый сомневается в чужом сайте: на него пришла ссылка, он собирается оставить данные или заплатить. Второй — владелец сайта, который хочет убедиться, что с ним всё в порядке. Для каждого свой набор инструментов, и я открыл каждый из них 1 ноября 2026 года.

Как проверить чужой сайт, прежде чем туда заходить

У «Доктор Веб» есть страница «Проверить ссылку (URL)», которой, судя по тексту страницы, можно пользоваться бесплатно: вы вставляете адрес, а сервис оценивает, нет ли на нём вредоносного содержимого или мошенничества. Сама компания предлагает пользоваться ей до того, как открыть неизвестную ссылку. Число проверок и ограничения на странице не названы, поэтому ничего о лимитах сказать не могу. Результат этой проверки говорит о вредоносности, а не о честности владельца: «угроз нет» не значит, что вам вернут деньги.

Sucuri SiteCheck работает с любым адресом. Он ищет вредоносный код, перенаправления на чужие страницы, встроенные фреймы, подозрительные скрипты и спам, а ещё устаревшую систему управления сайтом и устаревшие плагины. Сверяет адрес со списками блокировок, и сам сервис называет в примерах Google и PhishTank, а полный перечень на странице не приведён. Результат полезен, когда нужно быстро ответить на вопрос «не ловит ли этот сайт посетителей на что-то плохое».

Эти проверки не заменяют здравого смысла. Если вас просят ввести номер карты или код из СМС на сайте, который вы впервые видите, сначала спросите себя, зачем сайту эти данные. Ни один сканер на этот вопрос не ответит.

Три слоя проверки для владельца сайта

Слой	Инструмент	Что показывает	Чего не видит
Снаружи	Sucuri SiteCheck	Вредоносный код и перенаправления на странице, устаревшую CMS, наличие в списках блокировок	Всё, что происходит на сервере: сам сервис пишет, что не обнаружит ничего на сервере
Глазами Яндекса	Вебмастер, «Безопасность и нарушения»	Нарушения, найденные алгоритмами Яндекса: среди категорий «Нежелательное ПО», «Неожиданные перенаправления», «Социальная инженерия и обман»	Только то, что Яндекс успел найти и записать. Пустой раздел значит, что ограничений нет, а не что сайт проверен вдоль и поперёк
Глазами Google	Search Console, Security issues report	Взломанный контент, вредоносное и нежелательное ПО, социальную инженерию	То же самое
Изнутри	Сравнение файлов с копией, журнал сервера	Реальное содержимое сервера	Требует доступа к хостингу и человека, который умеет это читать

Первые два слоя не требуют доступа к серверу и подходят владельцу без технического образования. Вебмастер и Search Console работают для сайта, который вы подтвердили. Как это сделать для Яндекса, описано в статье «Как добавить сайт в Яндекс».

Порядок проверки на пятнадцать минут

Начните со сканера: вставьте адрес в Sucuri SiteCheck и сохраните ответ, даже если он чистый. Через месяц его можно будет сравнить с новым. Потом откройте Вебмастер, раздел «Безопасность и нарушения», и Search Console, отчёт Security issues. Если вы ещё не подтвердили сайт в них, это делается один раз и пригодится дальше для других задач.

Затем возьмите телефон, отключите Wi-Fi и откройте сайт по мобильной сети: перейдите на главную, в два-три раздела и по ссылке с рекламой или из соцсети, если такие есть. Перенаправления бывают условными, и на компьютере владельца их можно не увидеть: Яндекс называет среди нарушений и неожиданные перенаправления, и клоакинг, то есть показ роботу и человеку разного содержимого. Наконец, спросите у хостинга или того, кто ведёт сайт, когда в последний раз менялись файлы и кто входил на сервер. Если ответа нет, это уже повод насторожиться.

Что показал Sucuri на сайте клиента

Я прогнал через Sucuri SiteCheck сайт клиента, который пришёл к нам на проверку, чтобы показать, как выглядит ответ. Проверка шла в ночь на 1 ноября 2026 года (по данным сервиса, 23:44 UTC 31 октября, это 02:44 по Москве). Итог: общая оценка B, по безопасности B с 6 пройденными проверками из 6, по домену A, по защищённому соединению A. В ответе сервиса нет разделов с предупреждениями о вредоносном коде или о чёрных списках. Рядом с оценкой сервис дал только мелкие рекомендации по настройке: межсетевой экран, заголовки безопасности в ответе сервера, запись SPF для почты.

Из этого вывод такой. Оценка B не означает заражения: сканер оценивает и настройки сервера, а не только вирусы. А чистый ответ означает, что снаружи на момент проверки сканер ничего не нашёл. Про то, что лежит на сервере, он ничего не говорит.

Что делать, если сервис что-то нашёл

Первые шаги описаны в статье «Сайт взломали: что делать в первый час». Здесь только то, как снять пометку у поисковиков после очистки.

В Яндекс Вебмастере зайдите в раздел «Оптимизация сайта», затем «Безопасность и нарушения», исправьте нарушения, подробно опишите, что вы сделали, отметьте «Нарушение исправлено» и нажмите «Отправить на проверку». Статус «На проверке» по справке может держаться до 30 дней. Если ограничение не снято, повторно отправить сайт можно через 30 дней после последней попытки, всё это время кнопка недоступна. Поэтому отправляйте сайт на проверку только после того, как всё вычистили.

В Google в отчёте Security issues нажмите «Request Review» после того, как исправлены все проблемы на всех страницах. В запросе опишите суть проблемы, что вы сделали и каков результат. Не отправляйте запрос повторно, пока нет решения по предыдущему: в справке сказано, что это может затянуть рассмотрение или сайт признают повторным нарушителем. Большинство проверок, по тексту справки, занимает от нескольких дней до нескольких недель.

Что делать, если сервисы молчат, а сомнения остались

Сайты ломают тихо, и сканер может ничего не заметить. Тревожные признаки: сайт сам открывает чужие страницы на телефоне, но не на компьютере, в поиске по названию сайта появляются незнакомые страницы, письма с сайта уходят в спам, хостинг сообщает о подозрительной нагрузке. Это общие признаки, а не список из справки.

В таком случае нужны сравнение файлов с чистой копией и просмотр журнала сервера, и сделать это может только тот, у кого есть доступ к хостингу. Если копий у вас нет, начните с них: как сделать копию и проверить, что она восстановится, описано в статье «Резервная копия сайта».

Когда вам нужен я, а когда нет

Проверка по списку выше ничего не стоит, и сделать её вы можете сами. Я нужен, если сайт некому вести: нет человека, который знает, где лежат файлы, и может сравнить их с копией. Мою работу по контролю сайта, копиям, обновлениям и безопасности я описал на странице поддержки сайта, цена от 15 000 ₽ в месяц, а лёгкие правки и минимальное обслуживание начинаются от 4 900 ₽. Напишите адрес сайта и укажите, кто сейчас имеет к нему доступ, и я скажу, что нужно проверить в первую очередь.

Источники

• Dr.Web: проверка ссылки: назначение сервиса; число проверок и ограничения на странице не названы.
• Sucuri SiteCheck: что проверяет и чего не видит. Запуск проверки сайта клиента, который пришёл к нам на проверку, через открытый интерфейс сервиса без регистрации и оплаты, ответ от 1 ноября 2026 года (23:44 UTC 31 октября).
• Яндекс Вебмастер: безопасность и нарушения: категории нарушений, порядок отправки на проверку, сроки 30 дней.
• Google Search Console: Security issues report: категории проблем, запрос на повторную проверку, сроки.