WordPress · bezpieczeństwo
Zainfekowaną stronę najczęściej rozpoznaje się po skutkach: odwiedzający z Google trafiają na obcy serwis, przeglądarka pokazuje czerwony ekran ostrzeżenia, a wiadomości z firmowej domeny zaczynają trafiać do spamu. Czyszczenie plików to jednak dopiero połowa pracy – druga to ustalenie drogi wejścia i jej zamknięcie.
Zakres
Każdą infekcję analizuję indywidualnie, ale procedury bezpieczeństwa zachowuję w stałej kolejności – to one gwarantują, że infekcja nie wróci. Największą wartość ma ostatni punkt: raport, dzięki któremu wiesz, co się właściwie stało.
Porównuję pliki rdzenia WordPressa, motywu i wtyczek z oryginalnymi wersjami – każda różnica jest podejrzana. W bazie szukam wstrzykniętych skryptów w treściach, w opcjach i w tabeli użytkowników. Zainfekowane pliki zastępuję czystymi kopiami z oryginalnych źródeł.
Usuwam przekierowania podstawiane odwiedzającym z wyników Google, ukryte strony ze spamem, doklejone skrypty w plikach szablonu i zadania cron uruchamiające infekcję na nowo. Sprawdzam też katalogi poza WordPressem – infekcja rzadko zostaje w jednym miejscu.
Usunięcie wirusa bez załatania luki oznacza powrót problemu w ciągu kilku dni. Ustalam, którędy nastąpił atak: podatna wtyczka, słabe hasło, przejęte konto FTP. Aktualizuję albo usuwam podatny komponent i wymieniam wszystkie hasła oraz klucze uwierzytelniające.
Kiedy Google oznaczy domenę jako niebezpieczną, przeglądarki pokazują czerwony ekran, a wiadomości z Twojej domeny lądują w spamie. Po oczyszczeniu składam wniosek o ponowną weryfikację w Search Console i pilnuję wypisu z czarnych list antyspamowych.
Ograniczam próby logowania, blokuję wykonywanie kodu PHP w katalogu z plikami wysyłanymi przez użytkowników, porządkuję uprawnienia plików i kont administratorów. Konfiguruję sprawdzoną wtyczkę bezpieczeństwa, a przy poważniejszych przypadkach firewall aplikacyjny.
Dostajesz listę zainfekowanych plików, opis podstawionego kodu, ustaloną drogę wejścia i wykaz wprowadzonych zabezpieczeń. To dokument, który przyda się także wtedy, gdy incydent trzeba komuś zgłosić albo wyjaśnić klientom.
Najpoważniejsza sprawa, jaką prowadziłem, to sklep z podstawionym kontem administratora i skryptem przechwytującym dane kart płatniczych na stronie płatności – opis tego przypadku, bez nazwy klienta, znajdziesz w sekcji realizacji.
Etapy
Usunięcie infekcji na stronie WordPress kosztuje 700 zł netto, w sklepie WooCommerce – 1200 zł netto. Cena obejmuje pełną procedurę opisaną niżej. Środkowy etap przesądza o trwałości efektu: jeśli nie ustalę drogi wejścia, infekcja wraca w ciągu kilku dni.
Zanim usunę cokolwiek, robię kopię zainfekowanej strony i bazy danych. To zabezpieczenie na wypadek, gdyby czyszczenie usunęło coś potrzebnego.
Wymieniam zainfekowane pliki, czyszczę bazę danych, przeglądam konta administratorów i zadania cron. Równolegle czytam logi dostępu z serwera – z nich wynika, kiedy i przez co doszło do ataku. Bez tego kroku czyszczenie jest tylko odsunięciem problemu w czasie.
Aktualizuję podatne komponenty, wymieniam hasła i klucze, wzmacniam konfigurację, a potem składam wniosek o zdjęcie ostrzeżeń. Przez kolejne dni obserwuję stronę, żeby wychwycić ewentualny powrót infekcji – i dopiero wtedy zamykam zgłoszenie.
Start współpracy
Przy infekcji liczy się czas, więc im szybciej dostanę dostępy, tym mniej odwiedzających zobaczy ostrzeżenie. Sam panel WordPressa zwykle nie wystarczy.
Po oczyszczeniu trzeba zmienić wszystkie hasła – także te używane w innych miejscach. Kto miał dostęp do plików, mógł odczytać dane logowania zapisane w pliku konfiguracyjnym WordPressa.
Powiązane usługi
Uporządkowanie strony po włamaniu ma sens tylko wtedy, gdy potem ktoś pilnuje aktualizacji. Te trzy usługi najczęściej idą w parze z usuwaniem infekcji.
Przegląd techniczny, wydajności, bezpieczeństwa i SEO – z listą napraw uporządkowaną według priorytetu i szacowanego kosztu.
Aktualizacje, kopie zapasowe, monitoring dostępności i godziny prac na bieżące zmiany. Trzy pakiety od 200 zł netto miesięcznie.
Biały ekran, błąd krytyczny, konflikt wtyczek, formularz który przestał wysyłać maile. Analiza i naprawa zwykle w 24–48 godzin.
Jeśli po infekcji strona działa wolno albo pokazuje błędy, zajrzyj też do optymalizacji. Pełną listę usług znajdziesz na stronie usług WordPress.
FAQ
Odpowiedzi na to, o co pytają właściciele stron w pierwszej godzinie po odkryciu problemu.
Większość zleceń zamykam w ciągu 24 godzin od otrzymania dostępów. Dłużej trwają przypadki, w których infekcja obejmuje bazę danych, zadania cron i w katalogach poza WordPressem albo gdy zainfekowanych jest kilka serwisów na jednym koncie hostingowym – wtedy praca może zająć do 3 dni roboczych. Termin podaję po pierwszym skanie, zanim zacznę czyszczenie.
Usunięcie infekcji na stronie WordPress kosztuje 700 zł netto, w sklepie WooCommerce – 1200 zł netto, niezależnie od tego, ile plików trzeba wymienić. W cenie mieści się też zamknięcie drogi wejścia i 30 dni gwarancji – jeśli w tym czasie infekcja wróci, usuwam ją bezpłatnie.
Z tego, że oprócz usunięcia kodu zamykam drogę wejścia: aktualizuję albo usuwam podatny komponent, wymieniam wszystkie hasła i klucze uwierzytelniające, porządkuję konta administratorów. Na oczyszczenie daję 30 dni gwarancji – jeśli w tym czasie infekcja wróci, usuwam ją bezpłatnie.
Nie automatycznie. Po oczyszczeniu składam w Search Console wniosek o ponowną weryfikację i Google sprawdza stronę zwykle w ciągu 24 do 72 godzin. Wypis z czarnych list antyspamowych bywa wolniejszy, a reputacja domeny w poczcie odbudowuje się jeszcze kilka dni – dlatego zaraz po incydencie nie warto planować dużej wysyłki mailowej.
Dostajesz raport techniczny: jakie pliki były zainfekowane, jaki kod się tam znajdował, od kiedy działał i do czego miał dostęp. To materiał, którego potrzebujesz, żeby ocenić skalę zdarzenia – przy naruszeniu danych osobowych zgłoszenie do organu nadzorczego bywa obowiązkowe i ma krótki termin. Oceny prawnej nie robię, ale mówię wprost, kiedy sprawa na to wygląda.
Konto administratora WordPressa, a przy przejętym panelu dostęp FTP lub SSH, dane do panelu hostingu – logi dostępu i błędów są w tej pracy najważniejsze – oraz dostęp do bazy danych. Jeśli domena dostała już ostrzeżenie, potrzebuję także dostępu do Google Search Console. Przydaje się informacja, kto ma konta administratora i kiedy pojawiły się pierwsze objawy.
Tak i tak kończy się większość zleceń. Po oczyszczeniu serwis jest w stanie, od którego da się zacząć stałą opiekę: regularne aktualizacje, kopie zapasowe poza serwerem, monitoring dostępności, certyfikatu SSL i bezpieczeństwa oraz czarnych list spamowych. U klienta z opieką nad stroną WordPress kolejne usunięcie wirusa jest bezpłatne, a przy opiece nad sklepem – od pakietu OneNet Admin Sklep Plus, od 2. pełnego miesiąca. Zakres opisuję na stronach opieki nad stronami WordPress i opieki nad sklepami WooCommerce.
