האתר בוורדפרס נפרץ? סדר הפעולות לשעה הראשונה

זה מתגלה בדרך כלל בערב, והתסמין נשמע בערך ככה: "האתר שלנו מפנה לאיזה אתר הימורים ביפנית". או "גוגל כותב שהאתר מסוכן". או, הגרסה השקטה והמסוכנת יותר: "האתר נראה בסדר, אבל משהו מוזר בתוצאות החיפוש".

אז לפני הכל: זה קורה להרבה אתרים, זה כמעט תמיד לא אישי, וברוב המקרים אפשר לתקן. אבל סדר הפעולות משנה, כי חלק מהתגובות האינסטינקטיביות דווקא מקשות על הניקוי.

שלושה דברים שלא לעשות

אל תמחקו את האתר. הפיתוי מובן — למחוק הכל ולהתחיל נקי. אבל מחקתם גם את הראיות: איזה קובץ השתנה ומתי, ואיך בדיוק נכנסו. בלי זה תסגרו את החור הנוכחי ותישארו עם אותו חור בפעם הבאה.

אל תשחזרו גיבוי ותחזרו לשגרה. שחזור מחזיר אתכם לנקודה שבה החולשה עדיין קיימת. אם לא עדכנתם ולא סגרתם את דרך הכניסה, תיפרצו שוב — לפעמים תוך ימים.

אל תניחו שזה רק ויזואלי. פריצה שרואים היא הסוג הפחות מסוכן. הגרסה שכדאי לחשוש ממנה היא זו שלא רואים: קוד שמזריק קישורים לגולשים מגוגל בלבד, או משתמש מנהל חדש שיושב בשקט.

סדר הפעולות

1. להעביר את האתר למצב תחזוקה, לא להוריד אותו

מצב תחזוקה עוצר את הנזק לגולשים ומשאיר לכם גישה לעבוד. הורדה מוחלטת פוגעת גם בתנועה, גם בגוגל, וגם ביכולת שלכם לבדוק מה קורה.

2. להחליף סיסמאות — כולן, לא רק את של האתר

מנהלי וורדפרס, משתמש בסיס הנתונים, חשבון האחסון, ה-FTP/SSH, וגם המייל שאליו מחוברת שחזור הסיסמה. הרבה פריצות מתחילות דווקא במייל או במחשב מקומי נגוע, לא באתר.

3. לבדוק מי המשתמשים

ברשימת המשתמשים בוורדפרס — יש מנהל שאתם לא מכירים? נוצר בתאריך מוזר? זה הסימן הכי שכיח. מוחקים, ואז בודקים גם משתמשים שנראים מוכרים אבל שינו תפקיד.

4. לזהות מה נדבק

הכי מהיר: להשוות מול מקור נקי. ליבת וורדפרס והתוספים מהמאגר הרשמי ניתנים להורדה מחדש — כל קובץ ליבה ששונה הוא חשוד מיידי. מה שדורש עין אנושית זה wp-config.php, תיקיית uploads (שלא אמורה להכיל קבצי PHP בכלל), וקבצי התבנית.

5. לנקות — או להחליף

בקוד ליבה ותוספים: מוחקים ומתקינים מחדש מגרסה רשמית. זה מהיר יותר ובטוח יותר מלנקות ידנית. את התבנית ואת התוכן צריך לבדוק לגופם. וכל תוסף שכבר לא בשימוש או שהוסר מהמאגר — מוחקים לגמרי, לא רק מכבים. תוסף מכובה עדיין קיים על השרת.

6. לעדכן הכל, ואז לסגור את הדלת

עדכון ליבה, תבנית ותוספים לגרסאות האחרונות. אחר כך: אימות דו-שלבי למנהלים, הגבלת ניסיונות התחברות, והרשאות קבצים תקינות.

7. לבדוק מה גוגל חושב

ב-Search Console יש דוח "בעיות אבטחה". אם האתר סומן, אחרי הניקוי מגישים בקשה לבדיקה חוזרת. שווה גם לחפש site: ולראות אם צצו עמודים שלא יצרתם — זו הדרך הכי מהירה לגלות ספאם שהוזרק. הסברתי איך קוראים את זה במדריך על אינדוקס בגוגל.

אתר נקי שלא עודכן הוא לא אתר מאובטח — הוא אתר שעדיין לא נפרץ שוב.

למה זה קרה

כמעט תמיד אחת מארבע:

1. תוסף או תבנית שלא עודכנו. הרוב המכריע. חולשה מתפרסמת, וסריקות אוטומטיות מוצאות אתרים שלא עדכנו — לא כי בחרו בכם, אלא כי סרקו את כולם.
2. תוסף נטוש שכבר לא מקבל עדכוני אבטחה בכלל.
3. סיסמה חלשה או שחוזרת על עצמה במקומות אחרים.
4. אחסון משותף לא מופרד, שבו אתר נגוע אחד מדביק את השכנים.

שימו לב מה לא ברשימה: "וורדפרס לא בטוח". וורדפרס מריץ חלק ניכר מהאינטרנט ומקבל עדכוני אבטחה בקצב טוב. מה שנפרץ זה כמעט תמיד מה שסביבו, ומה שלא עודכן.

מה עושים כדי שזה לא יחזור

• עדכונים שוטפים, בקצב קבוע. לא "כשנזכרים".
• גיבוי אוטומטי שיושב מחוץ לשרת — גיבוי על אותו שרת נדבק יחד איתו.
• פחות תוספים. כל תוסף הוא עוד דלת.
• אימות דו-שלבי לכל מי שיש לו הרשאת ניהול.
• מעקב פשוט שמתריע כשקובץ ליבה משתנה.

זה בדיוק מה שנכנס לטיפול בתקלות ותחזוקה שוטפת, וזה גם ההבדל בין אתר שנופל פעם בשנה לאתר שלא נופל.

רבע שעה בחודש שחוסכת את כל המאמר הזה

מי שמתחזק לבד — הנה השגרה החודשית המינימלית. קבעו תזכורת, זה באמת רבע שעה:

1. עדכונים (5 דק'): ליבה, תבנית, תוספים. קודם גיבוי, אחר כך עדכון.
2. בדיקת גיבוי (3 דק'): לא רק שהגיבוי רץ — שאפשר לפתוח אותו. גיבוי שלא נבדק הוא תקווה, לא גיבוי.
3. רשימת משתמשים (2 דק'): יש מנהל שלא מזוהה? תפקיד שהשתנה?
4. סריקה מהירה (3 דק'): site: בגוגל לראות שלא צצו עמודים זרים, והצצה בדוח האבטחה ב-Search Console.
5. מחיקת מה שלא בשימוש (2 דק'): תוסף כבוי שכבר חודשיים לא חוזר לשימוש — נמחק. כל תוסף הוא דלת.

זה לא מחליף תחזוקה מקצועית לאתר עסקי שמכניס כסף — אבל זה ההבדל בין אתר שמישהו שם לב אליו לאתר שמחכה בשקט לסריקה האוטומטית הבאה.

שורה תחתונה

פריצה היא לא סוף העולם, אבל היא כן שיחת השכמה: היא אומרת שמשהו במערך התחזוקה לא עבד. הניקוי הוא החלק הקצר. החלק שקובע אם זה יקרה שוב הוא מה שעושים בשבוע שאחרי.

האתר שלכם נפרץ עכשיו, או שאתם לא בטוחים? שלחו לי הודעה — אעבור עליו, אגיד לכם מה נגוע ומה נקי, ואם צריך אנקה ואקשיח מקצה לקצה.