Что делать, есть ваш WordPress-сайт взломали хакеры

Что вы чувствуете, когда вдруг вам приходить письмо о том, что ваш сайт взломали и теперь требуют некую сумму денег, чтобы вернуть всё на свои места? Гораздо хуже, если вы об этом не знаете, а открыв сайт поутру, видите, что какая-нибудь сирийская кибер-армия вместо главной страницы вывесила свои политические лозунги или странные баннеры на вашем сайте.

Чтобы избежать подобных неприятностей и дополнительных затрат, советую вам прочесть эту статью. В посте будет несколько групп советов для пользователей с разным уровнем подготовки и разными навыками для администрирования собственных сайтов на движке wordpress.

Смотрите также:

• 10 популярных плагинов для безопасности WordPress
• Как «поломать» установленный WordPress и починить его обратно
• Как найти и удалить вредоносный код со взломанного WordPress сайта
• Угрозы безопасности WordPress, на которые стоит обратить внимание
• Как найти взломанные хакерами файлы WordPress и защитить сайт от атаки

Общие уязвимости

Для среднестатистического пользователя WordPress есть ряд общих уязвимостей, которые на самом деле не связаны с работой самого движка WordPress.

Проблемы могут быть:

1. в вашей локальной сети или в вашем компьютере
2. в работе вашего хостинг-провайдера

Работа личного ПК или локальной сети: в этом случае надо очистить локальный ноутбук, ПК или сеть от ошибок, вирусов и других проблем. Устанавливайте регулярно свежие антивирусы, удаляйте вредоносное ПО и настройте правильно ваш роутер. Если вы не совсем уверены в том, что вам хватит навыков для борьбы с вирусами и вредоносным ПО в вашей локальной сети, не поскупитесь на хороший сетевой брандмауэр.

Работа хостинг-провайдера: проверьте, адекватно ли работает ваш провайдер хостинговых услуг. Взлом может касаться не только вашего, но и множества других сайтов, размещенных на серверах вашего провайдера. Если так произошло, то работа всех сайтов может быть нарушена. Возможно, стоит удалить какой-то плагин или отключить определенные настройки на сервере. В крайнем случае, оперативно смените хостинг-провайдера.

В самом крайнем (и неприятном) случае вам придется переустанавливать сайт. Вот для чего надо регулярно делать резервные копии и сохранять файлы базы данных сайта и ключевых его настроек. В случае неприятностей сайт из резервной копии можно будет развернуть на новом хостинге.

Уязвимости в безопасности WordPress

Есть множество способов атаковать WordPress, но следующие 4 пункта являются наиболее типичными способами для взлома сайтов:

1. Слабые пароль и логин
2. Уязвимости в темах оформления и плагинах
3. Устаревшее ядро и версия WordPress
4. Работа хакера исключительно по WordPress-сайтам

Слабые пароль и логин: вы наверняка заметили, что встроенный механизм защиты сайтов подсказывает вам, когда выбранный вами логин и пароль недостаточно сильны, чтобы защитить ваш сайт. В идеале ваш пароль должен содержать цифры, буквы и разный регистр для букв, чтобы максимально защитить ваш веб-ресурс от взлома. Если вы не можете запомнить слишком сложный пароль, лучше запишите его где-нибудь. Запомните простую истину: чем короче и проще пароль, тем быстрее он взламывается простым перебором.

Уязвимости тем и плагинов: даже у популярных платных плагинов бывают уязвимости. Именно поэтому просто почитайте отзывы о плагинах, которые собираетесь использовать, прежде чем что-либо устанавливать. Избегайте плагинов и тем, которые не размещены в официальной библиотеке WordPress.org. Ориентируйтесь на рейтинги и отзывы других пользователей, чтобы не установить себе вредоносное или поддельное ПО.

Устаревшая версия WordPress: если регулярно и своевременно не обновлять сайты, то можно столкнуться с многочисленными проблемами. С выходом нового релиза WordPress лучше всего незамедлительно обновить все свои сайты по одной простой причине: с выходом новой версии публикуется список найденных и исправленных ошибок в предыдущих версиях, что становится оружием в руках хакеров для взлома старых версий WordPress.

Умелые WordPress-хакеры: помните, что такие хакеры всегда могут найти уязвимость, а потому регулярно всё обновляйте и следуйте рекомендациям, которые прочтете ниже.

Что делать, если сайт все-таки взломали

В случае, если сайт взломан, сделайте следующее:

1. Оставайтесь спокойны: взлом уже произошел, так что надо теперь взять себя в руки и найти путь для решения проблемы.
2. Для начала проверьте локальный ПК или ноутбук на предмет вирусов или вредоносов, обновите все программы и антивирусную базу.
3. Войдите в свой аккаунт на хостинге и проверьте, что там происходит. Если вас взломали, наверняка в панели администратора на хостинге будет уведомление о попытке несанкционированного доступа к вашей учетной записи.
4. Смените все пароли для FTP/SFTP/MySQL и для всех пользователей, у которых есть доступ к вашему сайту.
5. Воссоздайте сайт из резервной копии. Для резервного копирования и восстановления можно использовать BackWPup.
6. Закройте любые уязвимости, которые могут пригодиться хакерам, и защитите файл wp-config.php.
7. Обновите всё.
8. Подумайте о том, что стоит перейти на премиум-хостинг классом повыше или воспользуйтесь Sucuri либо ManageWP, если всё равно будете использовать shared-хостинг и дальше.
9. В будущем следуйте всем рекомендациям из этой статьи.

Лучшие советы по безопасности WordPress

На будущее постарайтесь избегать возможных хакерских атак и попыток взлома. Это не так уж и сложно, просто не забывайте следующие правила:

1. Регулярно обновляйте ядро движка, все темы и плагины на сайте.
2. Постоянно делайте резервные копии всего на сайте — от ядра до плагинов, тем и всего контента. Есть масса плагинов для этих целей: VaultPress, BackupBuddy, BackWPup, BlogVault.
3. Никогда не пользуйтесь паролем и логином, которые устанавливаются на сайте по умолчанию.
4. Выбирайте пароль, который трудно подобрать или угадать, используйте буквы и цифры, различные символы. Случайный разброс символов защитит вас лучше, чем пароль, который легко подобрать.
5. Защитите файл wp-config.php.
6. Скройте свое имя пользователя.
7. Скройте на сайте текущую версию WordPress.
8. Ограничьте число попыток для авторизации пользователя.
9. Отключите редактирование файлов из панели управления, добавив строку в файле wp-config.php: define(‘DISALLOW_FILE_EDIT’, true);
10. Установите WordPress File Monitor для получения уведомлений от вашего сайта каждый раз, когда происходит редактирование файлов на вашем сайте.
11. Всегда используйте SFTP для соединения через FTP-клиент.
12. Используйте платные плагины для защиты сайта.
13. Также не забудьте о самостоятельных подручных способах защиты, для знакомства с которыми прочтите это руководство по WordPress.

И еще пару советов

Нанимайте профессионалов для работы по настройке и оформлению вашего сайта. Не доверяйте случайным разработчикам. Не используйте сомнительный хостинг или бесплатные решения, о которых ничего не знаете. Наймите человека, который будет отвечать за безопасность вашего сайта.

Платные сервисы в значительной мере снижают риск того, что сайт будет взломан, домен — угнан, а вашему проекту будет нанесен ущерб.

Источник: elegantthemes.com

Алексей Шевченко

редактор wpcafe

Изучает сайтостроение с 2008 года. Практикующий вебмастер, специализирующий на создание сайтов на WordPress. Задать вопрос Алексею можно на https://profiles.wordpress.org/wpthemeus/