Search Console dispara e-mails de "novo proprietário" que não são novos

Na manhã de 24 de agosto de 2026, muita gente que administra sites acordou com um susto na caixa de entrada: e-mails do Google Search Console (GSC) avisando sobre um novo proprietário adicionado à propriedade. O problema, como relatou o Search Engine Roundtable, é que esses "novos" proprietários não eram novos coisa nenhuma. Em muitos casos, eram usuários que já tinham acesso à conta havia anos.

O próprio Barry Schwartz, autor do post, recebeu algumas dessas notificações e descreveu a reação em uma frase que resume bem o clima: ficou alarmado, mas depois aliviado ao perceber que se tratava de alguém que já tinha acesso. Estranho, porém inofensivo.

O que aconteceu, na prática

O assunto do e-mail começava com "new owner...", exatamente o formato que o Google usa quando alguém de fato ganha permissão de proprietário sobre uma propriedade verificada. A diferença é que, desta vez, o gatilho disparou para contas antigas.

Os relatos coletados pela fonte, espalhados por Google Webmaster Help Forums, Reddit e X, mostram o padrão:

• Uma agência recebeu vários e-mails de "proprietário adicionado" nomeando usuários que tinham sido incluídos muito tempo atrás, alguns desde 2021.
• Outro administrador acordou com mais de duas dúzias de notificações, e descreveu que "cada um dos avisos estava errado": todos os usuários citados já eram proprietários existentes.
• Um terceiro resumiu a desconfiança de forma direta: "Ou isso é uma campanha de phishing fantástica, ou o Google está fumando crack de novo."

Schwartz não afirma categoricamente a causa, mas conclui: "Deve ser algum tipo de bug." Não há, até o fechamento da fonte, confirmação oficial do Google sobre a origem do problema.

Por que isso importa para quem administra sites

O detalhe que transforma um bug chato em risco real é o contexto. Notificação de novo proprietário no Search Console é exatamente o tipo de alerta legítimo que ninguém deveria ignorar. Quando um invasor consegue verificar-se como proprietário de uma propriedade, ele passa a enxergar dados de performance, consegue remover URLs do índice, submeter sitemaps maliciosos e, em cenários piores, usar o acesso como ponto de apoio para sequestrar a presença do site na busca.

Ou seja: o GSC ensinou (com razão) todo mundo a reagir a esse e-mail. Agora, ao disparar dezenas de alertas falsos, ele corre o risco de produzir o efeito contrário, o da fadiga de alerta. Quem recebe 24 notificações erradas em uma manhã tende a marcar tudo como ruído e, na próxima vez, pode ignorar o e-mail que for verdadeiro.

Para o administrador brasileiro, que muitas vezes cuida de dezenas de propriedades de clientes, o problema se multiplica. Um bug desses vira uma enxurrada de mensagens de clientes assustados perguntando se o site foi invadido, e horas de trabalho de suporte para explicar que não.

Bug ou phishing: como separar os dois

O ponto mais delicado é que golpistas adoram exatamente esse tipo de janela. Uma onda conhecida de e-mails legítimos e confusos é o ambiente perfeito para injetar mensagens falsas que imitam o layout do Google e levam a páginas de login clonadas. Por isso, o reflexo correto não é confiar no e-mail nem ignorá-lo, e sim verificar dentro da própria ferramenta.

O caminho seguro:

1. Não clique no link do e-mail. Abra o search.google.com/search-console digitando no navegador ou pelo favorito.
2. Vá em Configurações → Usuários e permissões na propriedade citada.
3. Confira se a lista de proprietários bate com o esperado. Se aparecer alguém desconhecido com papel de proprietário, aí sim há incidente real.
4. Se o usuário nomeado no e-mail já constava na lista há anos, é o bug, não um comprometimento.

Um sinal técnico útil: cheque o remetente e os cabeçalhos. E-mails legítimos do GSC passam por autenticação SPF, DKIM e DMARC dos domínios do Google. Mensagem que falha nessas checagens ou que aponta para domínio estranho no link é candidata forte a phishing, independentemente do bug.

O que fica em aberto

O Google ainda não explicou o que disparou os avisos. As hipóteses mais plausíveis, dado o padrão dos relatos, envolvem algum reprocessamento no backend↳Back-end49 conteúdosIntegração front-end com backend: 7 decisões que evitam caos entre APIs, BFF e GraphQLDev (Back & Front) · abr 2026Como criar uma FAKE API REST para testes — JSONPlaceholderDev (Back & Front) · set 2025Construindo um aplicativo de bate-papo de IA simples com Spring AI e AngularDev (Back & Front) · jul 2025Ver tudo em Dev (Back & Front) → de permissões (uma migração de dados ou reindexação da tabela de proprietários) que reemitiu eventos antigos como se fossem novos. É o tipo de efeito colateral clássico de quando um sistema trata um registro reprocessado como um evento inédito.

Enquanto não há posição oficial, a orientação prática é conservadora: trate cada alerta como potencialmente verdadeiro até confirmar pela interface, mas não entre em pânico com o volume. Se todos os nomes citados já eram conhecidos, o mais provável é que você esteja diante do mesmo bug que atingiu a comunidade global em 24 de agosto.

Vale também documentar o episódio para os clientes antes que eles perguntem. Um aviso curto explicando que houve uma falha conhecida do Search Console, que nenhum acesso novo foi realmente concedido e que a equipe verificou as permissões costuma poupar muito ruído, além de reforçar que a agência está monitorando alertas de segurança de verdade, e não só quando o e-mail chega.

Fonte: Search Engine Roundtable