你的网站被百度标记“风险”，流量一夜清零怎么办？

“百度搜自己公司名，出来的全是‘危险网站’警告”——上周三下午，一个做建材批发的老板在站长群里发了张截图，手抖得连错字都没改。
你点开搜索资源平台，那个红框框的“安全风险”提示，像一张罚单，直接贴在首页最显眼的位置。

第一步：立刻自查，你的网站到底出了什么问题？

别急着申诉。百度标红，从来不是随机抽签。
先登录百度搜索资源平台，进“安全检测”中心，看它具体写了哪类问题：是“网站被黑”“页面被篡改”，还是“存在挂马行为”。

打开你的网站，用手机、电脑各试一遍。有没有访问首页突然跳去陌生页面？有没有加载一半弹出赌博广告？
再右键“查看网页源代码”，在浏览器里按 Ctrl+F（Mac 是 Cmd+F），搜这几个词：iframe、script、document.write。重点看这些标签里是不是藏着一串你看不懂的域名。
最后翻服务器后台的日志——最近有没有凌晨三点批量修改文件的记录？有没有来自俄罗斯、越南IP的异常登录？

真实案例：一个做工业阀门的企业站，PC端一切正常，但用安卓手机搜品牌词点进去，首页会闪一下赌博广告，0.8秒后自动跳回。查到最后，是主题文件 header.php 里被塞了一行只对移动端百度UA生效的跳转代码，藏得极深。

申诉前必须完成的3个核心修复动作

没修干净就去申诉，等于把一张写满错题的卷子交上去——系统秒拒，还可能延长审核周期。

第一，删干净所有恶意代码。
别只删表面看到的那段script。用FTP下载整站备份，和当前文件逐一对比；或者用Wordfence（WordPress）、Sucuri（通用）这类插件全盘扫描。删完立刻改密码：后台登录、数据库、FTP、主机控制面板，全部换掉。密码至少12位，大小写+数字+符号，别再用“admin123”。

第二，堵住黑客进来的门。
代码清了，漏洞还在，等于锁了门却留着窗户。检查你的CMS版本（比如WordPress是不是还在用5.2？）、主题和插件有没有半年没更新的？服务器PHP版本是不是还卡在7.2？权限设置里，wp-content 文件夹是不是还开着777？这些地方，就是黑客最爱蹲的后门。

第三，主动告诉百度“旧的已经作废，新的请收录”。
去资源平台的“死链提交”工具，把被黑期间生成的垃圾URL（比如带/wp-admin/xxx.php?xxx=这种明显异常参数的链接）一股脑提交删除。再用“URL提交”功能，把你刚修好的首页、产品页、联系页挨个推一遍。顺便点下“抓取诊断”，看看百度蜘蛛能不能顺利打开它们。

如何撰写一封能通过的申诉信？

入口就在“安全检测”页面右上角，写着“申诉”两个字。点进去，别复制粘贴模板。

开头一句话说清事实：
“X月X日发现百度搜索结果中我司官网出现‘该页面可能因黑客攻击而暂时无法访问’提示。”

中间分点写你干了什么，越细越好：

  • “已定位并删除 /wp-content/themes/xx-theme/footer.php 中植入的跳转代码（附修复前后代码对比截图）”
  • “WordPress核心已升级至6.4，Contact Form 7 插件更新至最新版，停用3个长期未维护的主题”
  • “重置全部管理员账号密码，启用Google Authenticator双因素验证”

结尾补一句实在话：
“目前全站已无异常跳转、无恶意内容，恳请工程师复核。”
截图别只截后台，把手机端、PC端正常访问的页面也截下来，打包上传。

申诉提交后，等待期间还能做什么？

审核一般3–5个工作日。这期间别干等，做两件实事：

第一，盯紧你的网站有没有再被碰。
如果你用的是宝塔面板，打开“文件防篡改”开关；用cPanel的，装个Imunify360免费版，设好文件改动实时邮件提醒。每天早上花2分钟扫一眼，比半夜被客户电话叫醒强。

第二，别让客户找不到你。
如果官网是销售主入口，今天就去微信公众号发条公告：“官网技术维护中，产品咨询请加客服微信XXX”；在老客户微信群里贴个简洁的PDF版产品目录+联系方式。小动作，但能稳住询盘不断流。

如何避免网站再次被“风险”盯上？

解除警告≠安全过关。很多站长松口气后三个月又中招——因为没动根子。

备份不是“有就行”，而是“随时能用”。
每周自动备份到异地（比如阿里云OSS或腾讯云COS），备份完手动点开一个压缩包，确认里面真有index.php和数据库SQL文件。

更新不是“想起来才做”，而是设成自动。
WordPress后台开启“核心自动更新”，插件选“次要版本自动更新”。主机控制面板里，把PHP版本升级提醒打开，别让它卡在老旧版本上睡大觉。

防护不是“买个插件就完事”。
推荐用Cloudflare免费版（你域名DNS本来就在它上面的话），开WAF基础规则+Bot Fight Mode。再配合Wordfence免费版，定时扫描+登录失败锁定。这两样，够挡掉90%的批量扫库和暴力破解。

今天下班前就能执行的一个具体步骤

现在，打开你天天用的 百度搜索资源平台（就是你输 zhanzhang.baidu.com 进去的那个页面）。
不用等出问题，就点左栏“安全检测” → 右上角“立即检测”。

它会跑5–8分钟，给你一份带红黄绿灯的安全报告。
如果亮红灯，按本文“第一步”马上查；如果亮黄灯，重点看“高危漏洞”那几条；如果全绿——很好，但请立刻切到“数据管理” → “备份设置”，确认最近一次全站备份时间是不是在72小时内。不是？那就顺手点一下“立即备份”。

这15分钟，换来的是接下来三个月不被半夜的“百度风险”通知吓醒。