Site WordPress virusat: ghidul complet de curățare, pas cu pas, fără să strici tot

Intri pe propriul site și ești redirecționat brusc către o pagină de pariuri. Sau cauți firma pe Google și vezi sub rezultat eticheta „Acest site poate fi spart". Sau găzduirea îți trimite un email sec: serverul tău trimite spam, contul a fost limitat. Oricare ar fi semnalul, concluzia e aceeași: WordPress-ul tău e infectat și prima tentație e să ștergi tot și să o iei de la capăt.

Nu face asta. Curățarea în panică e exact felul în care oamenii pierd singurul backup curat sau lasă în urmă un backdoor care reinfectează site-ul în câteva zile. Vei vedea mai jos cum confirmi infecția, cum cureți site-ul în ordinea care chiar funcționează și cum scoți avertismentul din Google, fără să strici ce a mai rămas bun.

Cum confirmi că site-ul chiar e infectat

Nu orice ciudățenie înseamnă virus, dar câteva semne sunt clare. Avertismentul „Acest site poate fi spart" afișat de Google în rezultatele căutării, redirecturile automate către alte site-uri (mai ales pentru vizitatorii care vin de pe telefon sau din căutări) și paginile de spam apărute brusc pe domeniul tău sunt indicii greu de confundat. La fel sunt fișierele noi pe care nu le-ai pus tu, utilizatorii administratori pe care nu i-ai creat sau notificarea de la găzduire că serverul trimite spam.

Cea mai sigură verificare o ai în Google Search Console, la secțiunea „Probleme de securitate". Acolo Google îți spune negru pe alb dacă a detectat conținut spart și, deseori, îți dă exemple concrete de pagini afectate, o listă pe care o vei folosi mai târziu drept checklist. Pentru lista completă de simptome, vezi ghidul despre semnele că site-ul tău a fost spart.

Înainte să atingi ceva, notează-ți tot ce vezi și la ce oră: ce simptome ai, ce ai instalat sau modificat recent, ce ți-a semnalat găzduirea. Documentarea incidentului e recomandată chiar de WordPress.org ca prim pas, fie că rezolvi singur, fie că aduci un specialist.

Nu șterge tot. Lucrează în ordine

Reacția instinctivă este să ștergi fișiere la întâmplare sau să suprascrii imediat un backup. Ambele pot face mai mult rău. Ștergerea oarbă îți distruge proba care arată pe unde a intrat atacatorul, iar suprascrierea grăbită poate acoperi tocmai singurul backup curat care îți mai rămăsese. Dacă nu înțelegi pe unde a intrat, închizi o ușă fără să știi care era, iar peste câteva zile ești infectat din nou prin aceeași breșă.

Curățarea, pas cu pas

Ordinea contează mai mult decât viteza. Parcurge pașii în succesiunea de mai jos: fiecare îl pregătește pe următorul, iar sărirea peste unul e fix motivul pentru care multe site-uri „curățate" se reinfectează a doua zi.

Renunță definitiv la pluginurile și temele piratate

Pluginurile și temele „nulled" (piratate) sunt una dintre cele mai frecvente cauze de infectare. Variantele nulled conțin aproape mereu cod ascuns și backdoor-uri, familia WP-VCD fiind cazul clasic. Odată rulat, acel cod deschide o ușă pentru atacator care rămâne deschisă chiar și după ce ștergi pluginul, iar malware-ul e de obicei împrăștiat în mai multe locuri, deci e foarte greu de curățat de încredere. În plus, nu primesc actualizări de securitate, așa că rămân vulnerabile. Regula e simplă: nu le folosi niciodată și instalează doar din surse oficiale.

Cum scoți avertismentul „Acest site poate fi spart" din Google

Dacă Google a marcat site-ul, eticheta nu dispare singură după curățare: trebuie să ceri o reexaminare, și doar după ce ești sigur că tot site-ul e curat. Intri în Search Console, la secțiunea „Probleme de securitate", și apeși pe cererea de examinare. Google se așteaptă să explici concret problema, pașii pe care i-ai făcut ca s-o repari și rezultatul: ce ai curățat, ce ai reinstalat, ce ai actualizat și securizat.

Examinarea durează de regulă de la câteva zile la câteva săptămâni. Nu trimite cereri repetate: o cerere depusă înainte ca problema să fie cu adevărat rezolvată doar prelungește timpul de răspuns. Pentru tot lanțul de recuperare a pozițiilor în Google, vezi ghidul despre recuperarea unui site spart și penalizat în Google.

Când și cui raportezi

Poți raporta incidentul la DNSC, Directoratul Național de Securitate Cibernetică, la numărul 1911, apelabil din orice rețea la tarif normal (nu este un număr gratuit). Operatorii îți dau îndrumare tehnică imediată. Dacă prin site s-au scurs date personale, nume, emailuri, parole sau date de card ale clienților ori angajaților, intervine o obligație legală: notificarea ANSPDCP în maximum 72 de ore de la momentul în care afli de breșă, conform articolului 33 din GDPR. Dacă nu reușești în 72 de ore, notificarea trebuie însoțită de o explicație motivată.

Preventie: cum eviți runda a doua

Un site infectat o dată e foarte des infectat și a doua oară, fiindcă atacatorii revin pe aceeași ușă. Prevenția nu e un lux, ci partea care îți economisește cei mai mulți bani și nervi. Cele de mai jos sunt măsurile care contează cel mai mult.

Pentru lista completă de măsuri, în ordinea impactului, vezi ghidul despre cum protejezi un site WordPress de atacuri.