האתר שלי בוורדפרס נפרץ, מה עושים?

איך יודעים שהאתר באמת נפרץ

לא כל תקלה היא פריצה. מסך לבן, למשל, נגרם הרבה פעמים מתוסף שהתעדכן ונשבר. אבל יש סימנים שכמעט תמיד מעידים על פריצה:

• הפניות לאתר זר: גולשים שנכנסים מגוגל או מהנייד מועברים לאתר הימורים, תרופות או פרסומות, גם אם אצלך במחשב הכול נראה תקין.
• ספאם יפני או סיני בתוצאות החיפוש: כשמחפשים את האתר בגוגל מופיעים עמודים בשפה זרה שלא כתבת.
• אזהרה בדפדפן או בגוגל: הודעה שהאתר מסוכן או עלול לפגוע במחשב.
• משתמשי מנהל שאתה לא מכיר ברשימת המשתמשים.
• הודעה מחברת האחסון על קוד זדוני, שליחת דואר חריגה או השעיית האתר.
• קבצים חדשים ומוזרים בשרת, במיוחד קבצי PHP בתיקיית ההעלאות.

מה עושים מיד, לפני שמתחילים לנקות

1. לא מוחקים ולא משחזרים בלחץ. שחזור גיבוי בלי לסגור את הפרצה מחזיר את האתר לאותו מצב שממנו פרצו אליו, והפורץ חוזר.
2. שומרים עותק של המצב הנוכחי. גיבוי מלא של הקבצים ושל מסד הנתונים, גם אם הוא נגוע. הוא עוזר להבין מה קרה ומאיפה נכנסו.
3. מחליפים את כל הסיסמאות. לא רק לוורדפרס: גם לחשבון האחסון, ל-FTP או SFTP, למסד הנתונים ולתיבת המייל שמחוברת לאתר. משתמשים בסיסמאות חדשות וחזקות.
4. מוחקים משתמשים לא מוכרים ובודקים שלאף משתמש אין הרשאות גבוהות ממה שהוא צריך.
5. פונים לחברת האחסון. לרוב יש להם יומני גישה וכלי סריקה, והם יכולים לומר מתי ואיך נכנסו.

איך מנקים קוד זדוני מאתר וורדפרס

הניקוי צריך להיות יסודי, כי פורצים משאירים בדרך כלל יותר מדלת אחורית אחת.

קבצי הליבה של וורדפרס

מחליפים את התיקיות wp-admin ו-wp-includes בעותק נקי של אותה גרסה, שמורידים מהאתר הרשמי של וורדפרס. לא עורכים קבצים נגועים ידנית, מחליפים אותם.

תוספים ותבניות

• מוחקים כל תוסף ותבנית שלא בשימוש.
• מתקינים מחדש את כל השאר מהמקור הרשמי, בגרסה העדכנית.
• תבנית או תוסף "פרוצים" שהורדו בחינם מאתר לא רשמי הם אחד הגורמים הנפוצים לפריצות. אם יש כאלה באתר, מחליפים אותם בגרסה חוקית.

תיקיית ההעלאות וקבצי ההגדרות

בתיקיית uploads אמורות להיות תמונות ומסמכים, לא קבצי PHP. כל קובץ PHP שם חשוד. בודקים גם את wp-config.php ואת .htaccess: קוד מוזר, שורות ארוכות ומקודדות או הפניות לכתובות זרות הם סימן ברור.

מסד הנתונים

בספאם יפני ובהפניות, הרבה פעמים הקוד יושב בתוך מסד הנתונים: עמודים שנוצרו אוטומטית, סקריפטים שהוזרקו לתוכן או הגדרות שהשתנו. בודקים עמודים ופוסטים שלא אתה יצרת, ואת כתובת האתר בהגדרות.

סריקה

אחרי הניקוי הידני מריצים סריקה עם תוסף אבטחה כדי לתפוס מה שפספסת. אם אתה לא בטוח איזה לבחור, יש לנו מדריך לבחירת תוסף אבטחה.

שחזור מגיבוי: מתי זה עובד

אם יש לך גיבוי מלפני הפריצה, שחזור יכול לחסוך הרבה עבודה. אבל רק בשני תנאים: הגיבוי באמת נקי, ואחרי השחזור אתה מעדכן הכול ומחליף סיסמאות. אחרת הפרצה נשארת פתוחה.

אחרי הניקוי: גוגל והלקוחות

• Google Search Console: אם גוגל סימן את האתר כמסוכן, בודקים שם את דוח בעיות האבטחה ומבקשים בדיקה חוזרת אחרי הניקוי.
• עמודי ספאם באינדקס: מוחקים אותם מהאתר כך שיחזירו שגיאה, ואפשר לבקש הסרה זמנית מתוצאות החיפוש דרך אותו כלי.
• מידע אישי: אם באתר נשמרים פרטי לקוחות, ייתכן שיש לך חובות לפי חוק הגנת הפרטיות. קרא את המדריך על דליפת מאגר לקוחות. זה מידע כללי, לא ייעוץ משפטי, ובמקרה כזה כדאי להתייעץ עם עורך דין.

איך מונעים את הפריצה הבאה

• מעדכנים את וורדפרס, התוספים והתבנית באופן קבוע.
• מפעילים אימות דו-שלבי לכל משתמשי הניהול.
• מגדירים גיבויים אוטומטיים שנשמרים מחוץ לשרת של האתר.
• מצמצמים את מספר המשתמשים עם הרשאות מנהל.
• עוברים על הצ'קליסט המינימלי להגנה על האתר.

כדי להבין לעומק איך פורצים לאתרי וורדפרס, קרא את המדריך על פריצות לאתרי וורדפרס.

מתי לבקש עזרה

אם האתר נפרץ שוב אחרי ניקוי, אם אתה לא מוצא את מקור ההפניות, או אם אין לך גישה לשרת, כדאי לפנות לאיש מקצוע שמתמחה בחילוץ אתרי וורדפרס. בקש ממנו לא רק לנקות, אלא גם להסביר דרך איזו פרצה נכנסו ומה נסגר. ניקוי בלי סגירת הפרצה הוא פתרון זמני.

הצעד הבא

גם אם האתר שלך עוד לא נפרץ, זה הזמן לבדוק אותו. הרץ בדיקת חשיפה חינם במד חשיפה, תראה איפה האתר פגיע ותתחיל מהדברים הדחופים.