וורדפרס נפרץ? מדריך לשחזור אתר שנפרץ

איך יודעים שהאתר נפרץ?

לפני שממהרים לפעול, כדאי לוודא שמדובר באמת בפריצה ולא בתקלה טכנית רגילה. הסימנים הנפוצים לאתר וורדפרס פרוץ ברורים למדי: הדפדפן מציג אזהרת "האתר עלול להזיק למחשב שלך", גוגל מסמן את האתר כלא בטוח בתוצאות החיפוש, מופיעות הפניות אוטומטיות לאתרים זרים או לפרסומות של הימורים ותרופות, נוספו עמודים או משתמשי מנהל שלא יצרתם, או שהאתר פשוט איטי בצורה חריגה. לעיתים חברת האחסון היא שמודיעה לכם, אחרי שזיהתה שליחת ספאם מהשרת. אם זיהיתם אחד מהסימנים האלה, הניחו שהאתר נפרץ ופעלו בהתאם.

שלב 1: העבירו את האתר למצב תחזוקה

הצעד הראשון הוא לצמצם נזק. אם האתר מפיץ נוזקה או מפנה מבקרים לאתרים זדוניים, אתם רוצים לעצור את זה מיד, גם כדי להגן על הגולשים וגם כדי שגוגל לא ימשיך לצבור סימונים שליליים. הדרך הפשוטה ביותר היא להפעיל מצב תחזוקה או להשבית זמנית את האתר דרך לוח הבקרה של האחסון. אם האתר מסוכן במיוחד, בקשו מחברת האחסון להשעות אותו זמנית עד שתסיימו את הטיפול. השבתה קצרה עדיפה בהרבה על אתר פעיל שמזיק לגולשים.

שלב 2: החליפו את כל הסיסמאות

ברגע שהאתר מבודד, החליפו מיד את כל הסיסמאות הקשורות אליו, בהנחה שכולן נחשפו. זה כולל את סיסמת המנהל בוורדפרס, סיסמת ה-FTP או SFTP, סיסמת בסיס הנתונים (ואת פרטיה בקובץ wp-config.php), וסיסמת הכניסה ללוח הבקרה של האחסון. אל תשתמשו שוב בסיסמאות ישנות. הכי בטוח לייצר סיסמה אקראית וארוכה לכל שירות בעזרת מחולל הסיסמאות שלנו, שרץ מקומית בדפדפן ולא שולח דבר לשרת. אם יש משתמשים נוספים באתר, אפסו גם את הסיסמאות שלהם.

שלב 3: סרקו את האתר וזהו את היקף הנזק

עכשיו צריך להבין מה בדיוק נפגע. התקינו תוסף אבטחה עם סורק קבצים, כמו Wordfence או Sucuri Security, והריצו סריקה מלאה. הסורק משווה את קבצי הליבה, התבנית והתוספים לגרסאות המקוריות ומסמן קבצים ששונו, קוד זדוני מוזרק וקבצים חשודים שנוספו. שימו לב במיוחד לקבצים עם שמות אקראיים בתיקיית uploads, ולקוד מעורפל בראש קבצי php. רשמו לעצמכם רשימה של כל מה שהתגלה, היא תשמש אתכם בשלב הניקוי.

שלב 4: שחזרו מגיבוי נקי

אם יש לכם גיבוי מלא מהתקופה שלפני הפריצה, זו הדרך המהירה והבטוחה ביותר לחזור לאוויר. שחזרו את האתר מהגיבוי הנקי האחרון, ורק ודאו שאתם יודעים בערך מתי הפריצה קרתה כדי לא לשחזר עותק שכבר נגוע. אחרי השחזור המשיכו ישר לשלב העדכונים וההקשחה, אחרת אותה פרצה שאפשרה את הפריצה עדיין פתוחה. אם אין לכם גיבוי, זו נורת אזהרה שחייבים לתקן לתמיד. קראו את מדריך הגיבוי לוורדפרס והגדירו גיבוי אוטומטי ברגע שהאתר יחזור לפעול.

שלב 5: נקו את הנוזקה

אם אין גיבוי מתאים, צריך לנקות ידנית. הדרך הבטוחה ביותר היא להחליף את כל מה שאפשר בקבצים מקוריים: מחקו את קבצי הליבה של וורדפרס והעלו גרסה טרייה מהאתר הרשמי wordpress.org, ומחקו כל תוסף ותבנית והתקינו אותם מחדש מגרסה נקייה. אל תסתמכו על "עריכה" של קובץ נגוע, קל לפספס שורה מוסתרת. את הקבצים שאי אפשר להחליף, כמו wp-config.php ותיקיית uploads, בדקו ידנית מול ממצאי הסורק ונקו רק את מה שזוהה. אם אתם לא בטוחים, שירות ניקוי מקצועי של Sucuri או Wordfence שווה את המחיר.

שלב 6: עדכנו הכול

פריצות מנצלות כמעט תמיד גרסאות ישנות עם חולשות ידועות. לכן, מיד אחרי הניקוי, עדכנו את ליבת וורדפרס, את כל התוספים ואת התבנית לגרסה האחרונה. מחקו כל תוסף או תבנית שאינם בשימוש, כי גם קוד לא פעיל יכול להיות שער כניסה. אם תוסף מסוים לא מקבל עדכונים כבר שנים, זה הזמן להחליף אותו בחלופה מתוחזקת.

שלב 7: בדקו משתמשים והרשאות

תוקפים אוהבים להשאיר לעצמם דלת אחורית. היכנסו לרשימת המשתמשים בלוח הבקרה ובדקו אם נוסף משתמש מנהל שלא אתם יצרתם. מחקו כל חשבון חשוד, והורידו הרשאות שאינן נחוצות. בדקו גם את טבלת המשתמשים בבסיס הנתונים ישירות, כי לפעמים משתמש זדוני מוסתר מהממשק הרגיל. ודאו שרק אנשים שאתם סומכים עליהם מחזיקים בהרשאת מנהל.

שלב 8: הקשיחו כדי שזה לא יקרה שוב

אתר נקי הוא רק חצי מהעבודה. עכשיו סוגרים את הפרצה. הפעילו אימות דו-שלבי (2FA) לכל המנהלים, הגבילו ניסיונות התחברות, ודאו שיש תעודת SSL תקפה, והוסיפו את השורה define('DISALLOW_FILE_EDIT', true); לקובץ wp-config.php כדי לחסום עריכת קבצים מהממשק. עברו על המדריך המלא לאבטחת וורדפרס ובצעו את כל הצעדים, זו הדרך הטובה ביותר למנוע פריצה חוזרת. כדאי גם לוודא שקובץ robots.txt שלכם אינו חושף נתיבים רגישים.

שלב 9: בקשו מגוגל לבדוק מחדש

אם גוגל סימן את האתר כלא בטוח, הכניסה אליו תציג אזהרה מפחידה שמבריחה מבקרים. אחרי שהאתר נקי ומעודכן, היכנסו ל-Google Search Console, אל דוח בעיות האבטחה, ובקשו בדיקה חוזרת. בדרך כלל תוך יום עד כמה ימים גוגל מסיר את הסימון והאתר חוזר להופיע כרגיל בתוצאות. במקביל, בקשו סריקה מחדש של העמודים החשובים כדי לזרז את החזרה לאינדקס.

הלקח החשוב מכל פריצה: מניעה זולה בהרבה משחזור. גיבוי אוטומטי, עדכונים שוטפים וסיסמאות חזקות היו חוסכים את כל התהליך הזה.

אחרי שהאתר חזר לפעול, השקיעו קצת בביצועים ובחוסן. מדריך האצת האתר יעזור לכם לזהות תוספים כבדים ומיותרים, ובחירת אחסון איכותי מקטינה מראש את הסיכון לפריצה. אבטחה טובה היא הרגל, לא אירוע חד-פעמי.