Сайтът ми е хакнат: какво да правя

Отваряте сайта си и виждате чужди страници, пренасочване към съмнителен магазин или предупреждение „Този сайт може да е хакнат“. Всеки час в това състояние ви коства посетители, позиции в Google и доверие, а колкото по-дълго чакате, толкова по-дълбоко се окопава зловредният код. Добрата новина: повечето хакнати сайтове се възстановяват напълно, ако действате по правилния ред. Ето го, стъпка по стъпка.

Краткият отговор: 7 стъпки по ред

1. Сменете всички пароли: WordPress администратори, хостинг панел, FTP, база данни, имейлът за възстановяване.
2. Свържете се с хостинга: поискайте сканиране, логове за достъп и датата на първата поява на чужди файлове.
3. Изолирайте сайта: включете режим на поддръжка, за да не пращате посетители към заразени страници.
4. Запазете копие на заразения сайт: то показва откъде е влязъл атакуващият.
5. Почистете: възстановете чист бекъп отпреди пробива или изчистете файловете ръчно.
6. Обновете всичко: WordPress, тема, плъгини, и изтрийте неизползваните.
7. Поискайте преглед в Google Search Console, за да падне предупреждението.

Как да разберете, че сайтът е хакнат

Най-честите симптоми, които виждаме при клиенти, са четири.

Пренасочвания. Отваряте сайта, а той ви прехвърля към чужд магазин или страница с реклами. Понякога само от телефон или само през Google, за да го забележите по-късно.

Чужди страници в Google. Напишете site:вашдомейн.bg в търсачката. Виждали сме фирмен сайт, чиито резултати изведнъж се напълниха със стотици страници за хапчета и казина на чужд език, докато самият сайт изглеждаше нормално.

Предупреждение в браузъра. Червен екран „Измамнически сайт“ или бележка „Този сайт може да е хакнат“ под резултата в Google.

Писмо от хостинга. Хостинг компаниите сканират сървърите си и често ви уведомяват, а понякога спират сайта, преди вие да сте забелязали каквото и да е.

Първите 30 минути

Първото действие е смяна на паролите, защото докато атакуващият има достъп, всяко чистене е безсмислено: влиза отново и връща кода си. Сменете паролите на всички администратори в WordPress, на хостинг панела, на FTP и на имейла, свързан с акаунтите.

Второто е обаждане или тикет към хостинга. Поискайте сканиране и логове: те показват кога е станал пробивът, а тази дата ви трябва, за да изберете чист бекъп.

Третото е изолация: режим на поддръжка или временно спиране на сайта. По-добре ден затворен сайт, отколкото седмица, в която пращате клиентите си към зловредни страници. Не изтривайте нищо на този етап: заразените файлове са уликата откъде е влязъл атакуващият.

Почистване: кога сами и кога със специалист

Решението зависи основно от едно: имате ли чист бекъп отпреди пробива.

Пример от практиката ни: клиент възстановил бекъп от предишния ден и три дни по-късно редиректите се върнали, защото самият бекъп вече съдържал заразата. Затова датата на пробива от логовете на хостинга е решаваща. Ако нямате човек за тази работа, нашата услуга за поддръжка на сайт покрива и реакция при пробив, изцяло онлайн.

Предупреждението в Google и как се маха

Ако Google е маркирал сайта, предупреждението не изчезва само с почистването. Влезте в Google Search Console и отворете раздела „Проблеми със сигурността“: там пише какво точно е открито и на кои адреси.

След като сайтът е чист, натиснете „Заявка за преглед“ и опишете накратко какво сте направили: смяна на пароли, премахнати файлове, обновени компоненти. Прегледът обикновено отнема от няколко дни до около седмица. Червеният екран в браузърите пада след одобрението.

Проверете в Search Console и раздела с индексирани страници: чуждите спам страници се махат от резултатите с известно закъснение, след като вече връщат грешка 404.

Как да не се повтори

Почти всички пробиви, които сме чистили, минават през стар плъгин, стара тема или слаба парола. Превенцията затова е кратка: редовни ъпдейти на WordPress, темата и плъгините, двуфакторно влизане за администраторите, автоматични бекъпи, съхранявани извън хостинга, и минимален брой плъгини, защото всеки инсталиран е потенциална врата.

Ако не искате да мислите за това всеки месец, поддръжката ни започва от 30 EUR на месец и включва ъпдейтите и бекъпите. А за подробния поглед върху защитата сме писали отделно в статията за сигурност на WordPress сайт.

Често задавани въпроси

Колко струва почистването на хакнат сайт?

Зависи от дълбочината на заразата: възстановяване от чист бекъп е часове работа, ръчното чистене на магазин може да е дни. При нас еднократните случаи се оценяват след преглед, а клиентите на абонаментната поддръжка са покрити.

Ще загубя ли позициите си в Google?

При бърза реакция обикновено не задълго. Позициите страдат, докато стои предупреждението и спам страниците, и в повечето случаи се възстановяват след успешния преглед в Search Console.

Не е ли по-лесно да изтрия всичко и да започна наново?

Рядко. Губите съдържание, история и позиции, а ако не разберете откъде е влязъл атакуващият, новият сайт със същите пароли и плъгини ще бъде пробит по същия начин.

Защо хакнаха точно моя малък сайт?

Не са ви избрали лично. Атаките са автоматични: ботове обхождат хиляди сайтове и пробват известни дупки в стари плъгини. Малкият сайт с пропуснати ъпдейти е по-лесна цел от голям, поддържан сайт.

Хостингът не е ли длъжен да оправи сайта?

Хостингът отговаря за сървъра, не за вашия WordPress. Ще ви даде сканиране, логове и бекъпи, но чистенето на самия сайт е ваша грижа или грижа на човека, който го поддържа.