Jeśli Google pokazuje pod Twoją domeną obce oferty, nieznane podstrony albo chińskie i japońskie znaki, potraktuj to jako podejrzenie spamu SEO po włamaniu. Najpierw sprawdź, czy witryna nadal zwraca te treści, czy widzisz już tylko historyczny ślad w indeksie. Zabezpiecz aktualne pliki, bazę i logi, usuń mechanizm infekcji oraz zamknij drogę ponownego dostępu. Dopiero potem porządkuj adresy w Google. Samo ukrycie wyników nie naprawia WordPressa.
W sklepie dochodzi jeszcze jeden warunek: naprawa nie może cofnąć opłaconych zamówień ani uruchomić ponownie faktur, wiadomości i integracji. Dlatego przywrócenie przypadkowej starszej kopii całej bazy nie powinno być pierwszą czynnością.
Strona wygląda normalnie. Czy mimo to może być zainfekowana?
Tak. Złośliwa zawartość może być podawana tylko pod określonymi adresami lub w innych warunkach niż Twoja zwykła wizyta. Dlatego ocena samej strony głównej nie wystarcza. Z drugiej strony obce zapytania w historycznym raporcie Search Console nie dowodzą, że szkodliwy kod działa dzisiaj.
Zbierz kilka konkretnych adresów z wyników Google, datę zauważenia problemu i komunikaty z raportów „Problemy dotyczące bezpieczeństwa” oraz „Ręczne działania”. Porównaj stan znany Google z bieżącą odpowiedzią serwera. Nie otwieraj podejrzanych pobrań; techniczną analizę nieznanych stron powierz osobie przygotowanej do bezpiecznego badania ich odpowiedzi. Raport bezpieczeństwa Google opisuje także przypadki treści ukrywanych przed właścicielem.
Co przygotować w pierwszej kolejności?
- Przykłady problemu: obce adresy, tytuły, przekierowania i moment ich zauważenia. Zachowaj materiał przed usuwaniem.
- Aktualną kopię: pliki i bazę, nawet jeśli zawierają infekcję. To materiał do analizy i zabezpieczenie najnowszych danych, nie kopia uznana za czystą.
- Zakres dostępów: administratorzy WordPressa, hosting, SFTP/SSH oraz konta osób, które utrzymują witrynę. Podejrzane dostępy trzeba zabezpieczyć.
- Plan ciągłości: czy można bezpiecznie przyjmować zamówienia, które integracje pracują w tle i kto podejmuje decyzję o przerwie technicznej.
Wybór kopii do odtworzenia wymaga sprawdzenia jej zawartości. Data sprzed zauważenia objawów nie daje pewności, że włamania jeszcze wtedy nie było. Taką kolejność zabezpieczenia i czyszczenia opisuje również dokumentacja WordPressa.
Usunięcie obcych stron to dopiero część naprawy
W Panther możemy porównać pliki z zaufanymi wersjami, przejrzeć bazę, użytkowników, reguły przekierowań i zadania uruchamiane w tle. Szukamy zarówno widocznej podmiany, jak i sposobu jej odtworzenia. Wymiana podstawowych plików WordPressa nie sprawdza automatycznie własnych wtyczek, katalogu uploads ani zawartości bazy.
Nie przypisujemy włamania najstarszej znalezionej wtyczce tylko dlatego, że wymaga aktualizacji. Przyczyną może być podatność, przejęty dostęp lub inny element środowiska. Ustalenie konkretnej drogi wejścia wymaga dowodów, na przykład powiązania logów z nieautoryzowaną zmianą. Gdy materiał jest niepełny, rozdzielamy potwierdzone ustalenia od hipotez i wskazujemy, czego nie udało się rozstrzygnąć.
Zakres prac może obejmować usunięcie nieuprawnionych zmian, aktualizacje po testach, uporządkowanie uprawnień i kontrolę ponownego pojawienia się objawów. Celem jest działająca witryna z zamkniętą drogą powrotu infekcji, nie tylko zielony wynik jednego skanera.
WooCommerce: jak nie stracić zamówień podczas czyszczenia?
Przykład hipotetyczny: ostatnia sprawdzona kopia plików pochodzi z piątku, a sklep przyjmował płatności przez weekend. Odtworzenie piątkowej bazy mogłoby cofnąć zapis późniejszej sprzedaży. Najpierw ustalamy, które dane są aktualne i wiarygodne oraz jak sprawdzić zgodność z operatorem płatności i systemem ERP.
Możliwą ścieżką jest wykorzystanie zweryfikowanych plików i oczyszczonej bieżącej bazy, jeśli ich wersje są zgodne. W innym przypadku potrzebne jest kontrolowane odtworzenie danych i uzgodnienie różnic. To decyzja po analizie, a nie uniwersalna instrukcja „wgraj starą kopię”. Testy wykonujemy w odizolowanym środowisku, bez rzeczywistych płatności, wysyłek i automatycznego ponawiania operacji.
Znaczenie takich zależności pokazuje realizacja ZUT Uszczelnienia: WooCommerce współpracuje tam z Comarch ERP Optima przez OptimaSync. To przykład złożonego obiegu danych, nie opis infekcji u tego klienta.
Jak usunąć spamowe adresy z Google?
Najpierw rozdziel adresy należące do Twojej oferty od tych utworzonych przez atakującego. Prawidłowe strony powinny zachować swoją treść i dostępność. Dla usuniętej obcej strony bez odpowiednika właściwą odpowiedzią jest HTTP 404 lub 410. Nie przekierowuj całego spamu na stronę główną. Google opisuje takie rozróżnienie w zasadach obsługi usuniętych adresów.
Narzędzie „Usunięcia” w Search Console pozwala czasowo ukryć adres, ale nie usuwa plików i nie zamyka dostępu napastnikowi. To działanie pomocnicze, a trwały efekt wymaga poprawnej obsługi adresu na serwerze. Google wyraźnie rozdziela ukrycie tymczasowe od trwałego usunięcia.
Jeśli raport bezpieczeństwa wykazuje problem, wniosek o sprawdzenie składa się po jego usunięciu. Nie obiecujemy terminu oczyszczenia wyników ani odzyskania pozycji. Historyczne raporty mogą nadal zawierać dawne adresy. Dalszą kontrolę prawidłowych stron opisuje nasz poradnik audytu technicznego SEO.
Po czym poznać, że naprawa jest gotowa do odbioru?
- Sprawdzone podejrzane adresy nie zwracają już obcych treści ani niepożądanych przekierowań.
- Kontrola obejmuje pliki, bazę i dostępy; raport nazywa usunięte mechanizmy oraz nierozstrzygnięte kwestie.
- Właściwe strony, formularze i zakup działają zgodnie z uzgodnionymi scenariuszami testowymi.
- Aktualne zamówienia i płatności zostały uzgodnione, bez ponownego wysyłania wiadomości lub dokumentów.
- Ustalono kopie, odpowiedzialność za aktualizacje i sposób reagowania na powrót objawów.
Potrzebujesz pomocy z podejrzanymi wynikami Google lub zainfekowanym WordPressem? W ramach administracji IT i opieki technicznej Panther możemy przeanalizować problem i uzgodnić zakres naprawy. Prześlij adres witryny i opis objawów — bez haseł i danych klientów w formularzu.
