Website WordPress diretas: langkah demi langkah

Yang akan Anda capai

• menghentikan kerusakan tanpa menghilangkan bukti;
• mengembalikan website ke kondisi bersih, dari backup atau dengan instal ulang;
• mengganti semua yang mungkin dicuri: password, kunci, pengguna;
• meminta Google mencabut peringatan, jika sempat muncul.

Sebelum memulai

• Hubungi kami sejak awal. Restore dari backup 7 hari terakhir gratis, dan kami juga punya salinan di penyimpanan terpisah. Sebutkan domain dan sejak kapan Anda melihat masalahnya.
• Catat apa yang Anda lihat: alamat halaman yang aneh, ke mana website mengarahkan Anda, pesan dari Google, jamnya. Ambil tangkapan layar.
• Bekerjalah dari komputer yang bersih, dengan sistem operasi dan browser yang sudah di-update. Jika password dicuri dari komputer Anda, menggantinya dari komputer yang sama tidak ada gunanya.
• Nama menu di Enhance ditulis dalam bahasa Inggris, persis seperti di layar. Jika panel terbuka dalam bahasa lain, ubah ke bahasa Inggris dari kanan atas: “My account” » “Language”.

Langkah-langkah

A. Hentikan kerusakan dan simpan salinan

1. Di Enhance, buka “Websites”, lalu website Anda, tab “Apps”, dan halaman WordPress website tersebut. Di “General”, aktifkan “Maintenance mode”: pengunjung melihat halaman pemeliharaan, bukan website yang terinfeksi.
2. Buat salinan kondisi saat ini, meskipun terinfeksi: tab “Backups” » “Create backup” (di antarmuka “English (US)”, “Backup now”), dengan catatan “terinfeksi, sebelum dibersihkan”. Ini membantu kami mengetahui dari mana penyerang masuk.
3. Segera ganti password Enhance (lihat Password Enhance dan verifikasi dua langkah). Jika penyerang punya akses ke panel, pembersihan apa pun sia-sia.

B. Cari tahu sejak kapan website diretas

4. Di tab “Files”, cari file yang baru diubah di tempat yang tidak Anda sentuh: .htaccess, index.php, wp-config.php, dan folder wp-content. Tanggal perubahan bisa dilihat dengan klik kanan » “Get info”.
5. Di WordPress, pada Pengguna (Users), cari administrator yang tidak Anda buat. Jangan dihapus dulu: catat nama dan tanggalnya.
6. Pilih hari sebelum tanda pertama muncul. Itulah salinan “bersih” yang dipakai untuk restore.

C. Kembalikan website ke kondisi bersih

7. Jika masalahnya kurang dari 7 hari, restore website dari salinan hari yang bersih: tab “Backups”, pada salinan yang dipilih, “Restore” » “Full website” (langkah-langkahnya ada di Backup dan restore di Enhance). Perubahan di website setelah waktu salinan akan hilang, jadi catat dulu pesanan atau artikel baru.

8. Jika lebih lama atau Anda tidak tahu sejak kapan, tidak ada salinan yang pasti bersih. Pembersihan dilakukan per bagian:

   • inti WordPress: di WordPress, Dasbor » Pembaruan (Dashboard » Updates), tombol untuk memasang ulang versi saat ini (Re-install version …). Tombol ini mengganti file WordPress tanpa menyentuh konten Anda;
   • plugin dan tema: hapus semua yang tidak dipakai, dan instal ulang sisanya dari sumber resmi (WordPress.org atau website pembuatnya), bukan dari salinan milik Anda;
   • folder wp-content/uploads: di sini tersimpan foto, bukan kode. Setiap file .php yang ditemukan di sana patut dicurigai;
   • wp-config.php dan .htaccess: bandingkan dengan isi yang seharusnya dan hapus baris yang tidak Anda kenali.

   Bagian ini butuh ketelitian. Jika Anda tidak yakin mana kode yang baik dan mana yang tidak, hubungi kami sebelum menghapus.

D. Tutup celahnya

9. Update semuanya: WordPress, plugin, tema (lihat Update dan keamanan WordPress di Enhance). Paling sering, penyerang masuk lewat plugin lama dengan celah keamanan yang sudah diketahui.
10. Hapus pengguna asing yang ditemukan di langkah 5. Saat menghapus, WordPress menanyakan kepada siapa konten mereka dialihkan; pilih diri Anda sendiri.
11. Ganti semua password, bukan hanya password WordPress (daftar lengkapnya ada di Password yang aman dan verifikasi dua langkah, di mana saja):
    • semua administrator WordPress;
    • pengguna database, di tab “Databases” di Enhance. Lalu masukkan password baru yang sama ke wp-config.php, pada DB_PASSWORD; jika tidak, website akan menampilkan “Error establishing a database connection”;
    • akun FTP dan alamat email di domain tersebut.
12. Ganti kunci keamanan WordPress. Di wp-config.php ada delapan baris yang diawali define( 'AUTH_KEY', SECURE_AUTH_KEY, dan seterusnya. Ganti dengan set baru yang dibuat WordPress di https://api.wordpress.org/secret-key/1.1/salt/. Semua pengguna yang sedang login akan dikeluarkan, termasuk penyerang.
13. Matikan “Maintenance mode” dan periksa website dari jendela private, di komputer dan di ponsel. Sebagian infeksi hanya terlihat di ponsel atau hanya saat datang dari Google.

E. Cabut peringatan Google

14. Jika Google menandai website Anda berbahaya, buka Search Console, pada Keamanan & Tindakan Manual » Masalah keamanan (Security & Manual Actions » Security issues). Di sana terlihat persis apa yang ditemukan Google (lihat Google Search Console: menghubungkan website Anda ke Google).
15. Setelah dibersihkan, klik Minta peninjauan (Request review) di sana dan tulis singkat apa yang sudah Anda lakukan. Peninjauan bisa memakan waktu beberapa hari.

Agar tidak terulang

• Selalu update WordPress, plugin, dan tema, dengan update otomatis aktif (lihat Update dan keamanan WordPress di Enhance).
• Gunakan hanya plugin dari sumber resmi. Plugin dan tema “premium” yang diunduh gratis dari website lain sering membawa kode tersembunyi (lihat Plugin yang dibutuhkan website WordPress).
• Akun terpisah untuk setiap orang yang mengerjakan website, dengan peran seminimal yang dibutuhkan (lihat Pengguna WordPress: peran, akses, dan pembersihan).
• Verifikasi dua langkah di Enhance dan di WordPress.
• Izin file yang benar dan tanpa PHP di uploads (lihat Izin file: 644, 755, dan yang tidak boleh dipakai).

Jika ada kendala

• Setelah restore, infeksi kembali dalam beberapa jam atau hari. Celahnya masih terbuka: plugin lama, password yang belum diganti, atau pengguna asing yang tertinggal. Ulangi bagian D. Jika terus terulang, hubungi kami.
• Anda tidak bisa masuk ke WordPress. Password-nya diganti oleh penyerang. Di Enhance, di halaman WordPress, pada “WordPress users”, gunakan “Change password” pada akun Anda.
• Website mengirim spam lewat email. Batas 200 pesan per jam cepat tercapai dan pesan-pesan itu dihentikan. Hubungi kami: kami periksa dari mana email dikirim dan membersihkan antrean pengiriman.
• Setelah dibersihkan, Google masih menampilkan halaman asing di hasil pencarian. Hasil lama hilang bertahap. Halaman yang sekarang menampilkan 404 bisa dihapus lebih cepat dari Search Console, dengan Penghapusan (Removals).