Ознаки, що сайт заражений
- У пошуку з’явилися чужі сторінки — казино, ліки, кредити. Перевірте запитом
site:вашдомен.ua. - Відвідувачів перекидає на інші сайти, особливо з мобільних чи з пошуку, а при прямому вході все виглядає нормально.
- Браузер показує попередження «Небезпечний сайт» або Google позначає сайт у результатах пошуку.
- Хостинг блокує сайт чи пише про розсилку спаму з вашого сервера.
- В адмінці нові адміністратори, яких ви не створювали, або невідомі плагіни.
- Сайт раптом сильно сповільнився чи навантажує сервер без причини.
Як перевірити сайт на віруси
1. Google Search Console
Розділ «Проблеми з безпекою» показує, якщо Google виявив шкідливий код, фішинг чи сторінки-дорвеї. У звіті «Сторінки» зверніть увагу на незнайомі адреси.
2. Онлайн-сканери
Сервіси на кшталт Sucuri SiteCheck чи VirusTotal перевіряють сайт ззовні: чужі скрипти, редиректи, присутність у чорних списках. Це швидка перевірка, але вона бачить лише те, що віддає сайт відвідувачу.
3. Перевірка файлів і бази
Найнадійніше — порівняти файли WordPress, теми й плагінів з оригіналами, знайти змінені нещодавно файли й підозрілий код у базі. Злам часто ховається в безневинних на вигляд файлах і з’являється лише для певних відвідувачів.
Що робити, якщо сайт зламали
- Не видаляйте все наосліп — збережіть копію файлів і бази: вона знадобиться, щоб зрозуміти, як зайшли.
- Змініть усі паролі: адмінки, хостингу, FTP, бази даних і пошти.
- Знайдіть і приберіть усі «чорні ходи» (бекдори) — інакше сайт заразять знову за кілька днів.
- Закрийте діру: оновіть ядро, тему й плагіни, видаліть «нульовані» платні теми з неперевірених джерел.
- Почистьте пошук: попросіть Google переглянути сайт у Search Console й приберіть дорвейні сторінки.
З практики: у більшості випадків, які я розбирав, сайт зламали не через «діру в коді», а через вкрадений пароль адміністратора чи застарілий плагін. Тому чистка без зміни паролів і оновлень майже завжди повторюється.
Як захистити сайт
- Регулярні оновлення WordPress, теми й плагінів.
- Складні унікальні паролі й двофакторний вхід в адмінку.
- Мінімум плагінів і лише з офіційних джерел.
- Автоматичні бекапи, які зберігаються окремо від сайту.
- Обмеження спроб входу й закритий список користувачів для сторонніх.
Часті запитання
Чи можна просто відновити сайт з бекапу?
Можна, якщо бекап зроблено до зламу. Але без зміни паролів і закриття вразливості сайт заразять знову, а сторінки-дорвеї ще довго висітимуть у пошуку.
Скільки часу Google прибирає попередження?
Після чистки й запиту на перегляд у Search Console — зазвичай від кількох днів до кількох тижнів.
Хто може почистити сайт?
Я лікую зламані сайти на WordPress: знаходжу всі бекдори, закриваю причину зламу й допомагаю повернути позиції — див. «Лікування сайту від вірусів». Для профілактики — супровід сайту з оновленнями й бекапами.