Site-ul WordPress a fost spart: ce faci, pas cu pas

Ce vei reuși

• oprești paguba fără să pierzi dovezile;
• readuci site-ul la o stare curată, din backup sau prin reinstalare;
• schimbi tot ce putea fi furat: parole, chei, utilizatori;
• ceri scoaterea avertismentului Google, dacă a apărut.

Înainte să începi

• Scrie-ne de la început. Restaurarea dintr-o copie din ultimele 7 zile e gratuită, iar noi avem și copia de pe spațiul de stocare separat. Spune-ne domeniul și de când ai observat problema.
• Notează ce vezi: adresa paginii ciudate, unde te trimite site-ul, mesajul Google, ora. Fă capturi de ecran.
• Lucrează de pe un calculator curat, cu sistemul și browserul la zi. Dacă parola a fost furată de pe calculatorul tău, o schimbi degeaba de pe același calculator.
• Denumirile din Enhance sunt în engleză, exact cum apar pe ecran. Dacă panoul ți se deschide în română, îl treci pe engleză din dreapta sus: „My account” » „Language”.

Pașii

A. Oprești paguba și păstrezi o copie

1. În Enhance, deschide „Websites”, apoi site-ul, fila „Apps” și pagina WordPress a site-ului. La „General”, pornește „Maintenance mode”: vizitatorii văd o pagină de lucru în loc de site-ul infectat.
2. Fă o copie a stării de acum, chiar dacă e infectată: fila „Backups” » „Create backup” (pe „English (US)”, „Backup now”), cu nota „infectat, înainte de curățare”. Ne ajută să aflăm pe unde a intrat atacatorul.
3. Schimbă imediat parola Enhance (vezi Parola Enhance și autentificarea în doi pași). Dacă atacatorul are acces la panou, orice curățare e inutilă.

B. Afli de când e spart

4. În fila „Files”, uită-te după fișiere modificate recent acolo unde n-ai lucrat tu: .htaccess, index.php, wp-config.php și folderul wp-content. Data modificării o vezi cu clic dreapta » „Get info”.
5. În WordPress, la Utilizatori (Users), caută administratori pe care nu i-ai creat tu. Nu-i șterge încă: notează-le numele și data.
6. Alege ziua de dinaintea primului semn. Aceea e copia „curată” din care restaurezi.

C. Readuci site-ul la o stare curată

7. Dacă problema e mai nouă de 7 zile, restaurează site-ul din copia zilei curate: fila „Backups”, la copia aleasă, „Restore” » „Full website” (pașii sunt în Backup și restaurare din Enhance). Ce ai schimbat pe site după ora copiei se pierde, deci notează-ți înainte comenzile sau articolele noi.

8. Dacă e mai veche sau nu știi de când e, nu există o copie curată sigură. Curățarea se face pe bucăți:

   • nucleul WordPress: în WordPress, Panou control » Actualizări (Dashboard » Updates), butonul de reinstalare a versiunii curente (Re-install version …). Înlocuiește fișierele WordPress, fără să atingă conținutul tău;
   • pluginurile și temele: șterge-le pe toate cele pe care nu le folosești, iar pe celelalte reinstalează-le din sursa oficială (WordPress.org sau site-ul producătorului), nu dintr-o copie de-a ta;
   • folderul wp-content/uploads: aici stau pozele, nu cod. Orice fișier .php găsit acolo e suspect;
   • wp-config.php și .htaccess: compară-le cu ce știi că trebuie să conțină și scoate liniile pe care nu le recunoști.

   Partea asta cere atenție. Dacă nu ești sigur ce e cod bun și ce nu, scrie-ne înainte să ștergi.

D. Închizi ușa

9. Actualizează tot: WordPress, pluginurile, tema (vezi Actualizări și securitate WordPress în Enhance). Cel mai des, atacatorul intră printr-un plugin vechi cu o breșă cunoscută.
10. Șterge utilizatorii străini găsiți la pasul 5. La ștergere, WordPress te întreabă cui atribuie conținutul lor; alege-te pe tine.
11. Schimbă toate parolele, nu doar pe cea de WordPress (lista completă e în Parole sigure și autentificarea în doi pași, peste tot):
    • toți administratorii WordPress;
    • utilizatorul bazei de date, în fila „Databases” din Enhance. Pune apoi aceeași parolă nouă în wp-config.php, la DB_PASSWORD, altfel site-ul arată „Error establishing a database connection”;
    • conturile FTP și adresele de email ale domeniului.
12. Schimbă cheile de securitate WordPress. În wp-config.php sunt opt rânduri care încep cu define( 'AUTH_KEY', SECURE_AUTH_KEY și așa mai departe. Înlocuiește-le cu un set nou, generat de WordPress la https://api.wordpress.org/secret-key/1.1/salt/. Toți utilizatorii conectați sunt scoși afară, inclusiv atacatorul.
13. Oprește „Maintenance mode” și verifică site-ul dintr-o fereastră privată, pe calculator și pe telefon. Unele infecții se văd doar pe telefon sau doar când vii de pe Google.

E. Scoți avertismentul Google

14. Dacă Google a marcat site-ul ca periculos, intră în Search Console, la Securitate și acțiuni manuale » Probleme de securitate (Security & Manual Actions » Security issues). Vezi exact ce a găsit Google (vezi Google Search Console: îți legi site-ul de Google).
15. După curățare, apasă acolo Solicită o examinare (Request review) și scrie pe scurt ce ai făcut. Examinarea poate dura câteva zile.

Ca să nu se repete

• Ține WordPress, pluginurile și tema la zi, cu actualizările automate pornite (vezi Actualizări și securitate WordPress în Enhance).
• Folosește doar pluginuri din surse oficiale. Pluginurile și temele „premium” descărcate gratuit de pe alte site-uri vin des cu cod ascuns (vezi Pluginurile de care are nevoie un site WordPress).
• Un cont separat pentru fiecare om care lucrează pe site, cu rolul minim de care are nevoie (vezi Utilizatorii WordPress: roluri, acces și curățenie).
• Autentificarea în doi pași pe Enhance și pe WordPress.
• Permisiunile corecte la fișiere și fără PHP în uploads (vezi Permisiunile fișierelor: 644, 755 și ce nu pui niciodată).

Dacă ceva nu merge

• După restaurare, infecția revine în câteva ore sau zile. Ușa a rămas deschisă: un plugin vechi, o parolă nechimbată sau un utilizator străin rămas. Reia secțiunea D. Dacă se repetă, scrie-ne.
• Nu poți intra în WordPress. Parola a fost schimbată de atacator. În Enhance, pe pagina WordPress, la „WordPress users”, folosește „Change password” pe contul tău.
• Site-ul trimite spam pe email. Limita de 200 de mesaje pe oră se atinge repede și mesajele sunt oprite. Scrie-ne: verificăm de unde pleacă și curățăm coada de trimitere.
• Google arată încă pagini străine în rezultate, după curățare. Rezultatele vechi dispar treptat. Paginile care acum dau 404 le poți scoate mai repede din Search Console, cu Eliminări (Removals).