سایت هک شده؛ از اولین نشانه تا برداشتن هشدار گوگل، قدم‌به‌قدم
سایتت به سایت دیگری می‌رود یا گوگل زیرش نوشته هک شده؟ نشانه‌ها، کارهای ساعت اول، پاکسازی، درخواست بررسی گوگل و اینکه کی ساختن از نو می‌ارزد.
صبح سایتت را باز می‌کنی و سر از یک سایت شرط‌بندی درمی‌آوری. یا مشتری پیام می‌دهد که کروم یک صفحه‌ی قرمز نشانش داده. یا اسم کسب‌وکارت را در گوگل می‌زنی و زیرش نوشته «این سایت ممکن است هک شده باشد». اولین حس معمولاً ترس است. ولی سایت هک شده قابل برگشت است، به شرط اینکه کارها را به ترتیب جلو ببری.
نفس عمیق بکش. راهنمای رسمی وردپرس برای سایت‌های هکشده هم قدم اولش را همین گذاشته: آرام بمان. چیزی که کار را خراب‌تر میکند معمولاً خود هک نیست، عجله‌ی بعد از آن است. مثلاً پاک کردن فایل‌ها بدون نسخهی پشتیبان، یا درخواست بررسی از گوگل پیش از تمام شدن کار.
این راهنما به همان ترتیبی جلو می‌رود که باید کار کنی. اول مطمئن می‌شویم واقعاً هک شده. بعد می‌رسیم به کارهای ساعت اول، بستن دسترسی‌ها، پاکسازی و برداشتن هشدار گوگل. آخر سر هم می‌گوییم کجا وصله‌کاری دیگر نمی‌ارزد. هر قدم به راهنمای رسمی گوگل یا وردپرس تکیه دارد، نه به حدس.
نشانه‌های سایت هک شده؛ از تغییر مسیر تا هشدار قرمز مرورگر
هک همیشه با صفحه‌ی سیاه و پیام تهدید نمی‌آید. بیشتر وقت‌ها هکر میخواهد دیده نشود، چون سایتت برایش ابزار پول درآوردن است؛ برای اسپم، دزدیدن اطلاعات یا پخش بدافزار. این نشانه‌ها را جدی بگیر:
- تغییر مسیر: بازدیدکننده سایتت را باز میکند و سر از سایت دیگری درمی‌آورد، اغلب سایت قمار، دارو یا جنس تقلبی.
- صفحه‌های اسپم در گوگل: صفحه‌هایی با عنوان بی‌ربط یا حتی متن ژاپنی که تو هرگز نساخته‌ای. اسم این یکی هک کلمات کلیدی ژاپنی است.
- برچسب «این سایت ممکن است هک شده باشد» زیر نتیجه‌ی سایتت در گوگل.
- صفحه‌ی تمام‌قرمز «سایت خطرناک» در کروم.
- ترافیک عجیب: بازدید از جست‌وجوهایی که هیچ ربطی به کارت ندارند.
- حساب مدیر ناشناس: کاربری در پیشخوان سایت که تو نساخته‌ای.
- گزارش مشتری‌ها: کسی می‌گوید آنتی‌ویروسش موقع باز کردن سایتت هشدار داده.
- ایمیل‌هایت ناگهان به پوشه‌ی هرزنامه می‌روند. در میزبانی اشتراکی ممکن است نشانی آی‌پی سرور به فهرست سیاه ایمیل رفته باشد.
برچسب گوگل و صفحه‌ی قرمز کروم از کجا می‌آیند؟ طبق راهنمای جست‌وجوی گوگل، وقتی گوگل تشخیص بدهد هکر صفحه‌ای را عوض کرده یا صفحه‌ی اسپم ساخته، همین پیام را زیر نتیجه میگذارد. هشدار کروم هم طبق راهنمای خود کروم برای سایت‌هایی است که در آنها فیشینگ، بدافزار، نرم‌افزار ناخواسته یا مهندسی اجتماعی پیدا شده.
هر رفتار عجیبی هک نیست؛ اول مطمئن شو
پیش از اینکه همه‌ی رمزها را عوض کنی و به میزبان زنگ بزنی، ده دقیقه وقت بگذار و مطمئن شو. سایتی که کند شده، صفحه‌ای که خطای ۵۰۰ می‌دهد یا ظاهری که بعد از یک به‌روزرسانی به هم ریخته، معمولاً خرابی فنی است، نه هک.
سه بررسی ساده جواب روشن‌تری می‌دهد:
- گزارش مشکلات امنیتی در سرچ کنسول گوگل: معتبرترین منبع همین است. سه دسته دارد: محتوای هکشده، بدافزار و نرم‌افزار ناخواسته، و مهندسی اجتماعی مثل فیشینگ. نمونه‌ی نشانی‌های آلوده هم همان‌جاست.
- جست‌وجوی دامنه در گوگل: عبارت
site:را بنویس و بدون فاصله نام دامنه‌ات را جلویش بگذار. بعد نتیجه‌ها را ورق بزن. صفحه‌ی ناآشنا، عنوان بی‌ربط یا متن به زبانی دیگر نشانه‌ی جدی است. - بازرسی نشانی در سرچ کنسول: صفحه را همان‌طور نشانت می‌دهد که خزنده‌ی گوگل می‌بیند. اگر آن‌جا چیزی هست که تو در مرورگر نمی‌بینی، محتوای پنهان در کار است.
راهنمای گوگل برای تشخیص هک هم از همین گزارش و همین جست‌وجو شروع میکند. اگر هیچ‌کدام چیزی نشان نداد، احتمالاً با یک خرابی معمولی طرفی. ولی اگر یکی از آنها نشانه‌ی هک داشت، معطل نکن و برو سراغ قدم‌های بعدی.
چرا تو چیزی نمی‌بینی ولی گوگل می‌بیند؟ پنهان‌کاری و تغییر مسیر فقط روی گوشی
این گیج‌کننده‌ترین بخش ماجراست. سایت را روی رایانه‌ی خودت باز می‌کنی و همه‌چیز سالم است. ولی مشتری از گوشی، با کلیک روی نتیجه‌ی گوگل، سر از سایت دیگری درمی‌آورد. جمله‌ی «من که مشکلی نمی‌بینم» این‌جا زیاد شنیده میشود.
دلیلش این است که کد آلوده انتخابی رفتار میکند. سیاست اسپم گوگل صریح می‌گوید تغییر مسیر هکشده گاهی فقط برای بعضی کاربرها اجرا میشود؛ بسته به اینکه از کجا آمده‌اند، با چه مرورگری و روی چه دستگاهی. پس ممکن است فقط کاربر گوشی، یا فقط کسی که از گوگل آمده، جای دیگری برود. تو که نشانی را مستقیم تایپ می‌کنی، چیزی نمی‌بینی.
اسم این ترفند پنهان‌کاری است: نشان دادن محتوای متفاوت به آدم‌های مختلف. ممکن است تو یک صفحه‌ی معمولی ببینی و خزنده‌ی گوگل صدها لینک اسپم. راهنمای گوگل برای هک ژاپنی هشدار می‌دهد که اگر روی نتیجه‌ی اسپم کلیک کردی و خطای ۴۰۴ دیدی، فریب نخور؛ صفحه هنوز آلوده است.
هشدار کروم هم همین‌طور است. گوگل در راهنمای گزارش مشکلات امنیتی می‌گوید هشدارهای مرور ایمن به شرایط مرور هر کاربر بستگی دارند و شاید برای تو تکرار نشوند. پس ندیدن هشدار دلیل سالم بودن نیست. معیار درست خود گزارش سرچ کنسول است.
برای دیدن رفتار واقعی سایت، آن را روی گوشی و از روی نتیجه‌ی جست‌وجوی گوگل باز کن، نه با تایپ مستقیم نشانی.
ساعت اول: مستندسازی، قرنطینه و تماس با میزبان
حالا که مطمئنی، ترتیب کارها از سرعتشان مهمتر است. این سه کار را پیش از هر پاکسازی انجام بده.
۱. هرچه می‌بینی ثبت کن
از صفحه‌ی آلوده، هشدار کروم، پیام سرچ کنسول و نتیجه‌های اسپم عکس بگیر. کنارش بنویس کی دیدی و چه کردی. راهنمای وردپرس هم دقیقاً همین را میخواهد. این یادداشت بعداً دو جا به کارت میآید: برای متخصصی که سایت را بررسی میکند، و برای متنی که در درخواست بررسی برای گوگل می‌نویسی.
۲. سایت را قرنطینه کن
اگر سایت بازدیدکننده را به جای خطرناکی می‌فرستد یا بدافزار پخش میکند، هر ساعتی که باز می‌ماند به مشتری‌هایت آسیب می‌زند. راهنمای قرنطینه‌ی گوگل دو راه پیش پایت میگذارد: سایت را آفلاین کن، یا دامنه را به یک صفحه‌ی ساده روی سرور دیگری بفرست که کد ۵۰۳ برمی‌گرداند. این کد یعنی «موقتاً در دسترس نیستم».
بستن سایت با فایل ربات‌ها (robots.txt) کافی نیست. این فایل فقط جلوی خزنده‌ها را میگیرد و آدم‌ها هنوز وارد سایت آلوده می‌شوند.
۳. به میزبان خبر بده
با پشتیبانی میزبانت تماس بگیر و بگو چه دیده‌ای. میزبان به گزارش‌های سرور و ابزارهایی دسترسی دارد که تو نداری. اگر میزبانی اشتراکی داری، بپرس نشانی آی‌پی سرور به فهرست سیاه ایمیل رفته یا نه؛ وردپرس صریحاً به این خطر اشاره کرده.
اگر رمز میزبان یا پنل دست طراح قبلی است و جوابت را نمی‌دهد، اول دسترسی‌ات را پس بگیر. قدم‌هایش را در مقاله‌ی وقتی طراح سایت جواب نمی‌دهد نوشته‌ایم.
بستن دسترسی‌ها: کدام رمزها و حساب‌ها را عوض کنی و چرا دو بار
هکر وقتی وارد شد، معمولاً یک در پشتی برای خودش باز میگذارد: حساب مدیر تازه، فایل پنهان یا رمزی که دزدیده. پس حالا وقت بستن همه‌ی درهاست.
از رایانه‌ی خودت شروع کن. گوگل در فهرست آسیب‌پذیری‌های رایج رایانه‌ی آلوده‌ی مدیر را هم آورده؛ مثلاً جاسوس‌افزاری که هرچه تایپ می‌کنی ثبت میکند. اگر راه نفوذ همین بوده، هر رمز تازه هم مستقیم به دست هکر می‌رسد. پس پیش از عوض کردن رمزها، رایانه‌ات را با یک آنتی‌ویروس معتبر اسکن کن.
بعد رمز این‌ها را عوض کن و برای هر کدام رمزی تازه و جدا بگذار:
- پیشخوان سایت و همه‌ی حساب‌های مدیر
- کنترل‌پنل میزبان
- حساب انتقال فایل (
FTPیاSFTP) - پایگاه داده
- ایمیلی که برای بازیابی رمز این حساب‌ها ثبت شده
- کلیدهای اتصال سایت به سرویس‌های بیرونی، مثل نرم‌افزار حسابداری یا سامانه‌ی پیامک
این آخری را خیلی‌ها فراموش می‌کنند. فروشگاهی مثل مقبول یدک که خودمان ساخته‌ایم و به نرم‌افزار حسابداری حسابفا وصل است، فقط چند صفحه و یک پیشخوان نیست؛ کلید اتصال به آن سرویس هم روی سرور نشسته. اگر سرور فروشگاهت آلوده شده، فرض را بر این بگذار که این کلیدها هم دیده شده‌اند و از پنل همان سرویس یا پشتیبانی‌اش کلید تازه بگیر.
هر کاربری را که نمی‌شناسی حذف کن و تأیید دومرحله‌ای را روشن کن تا رمز دزدیده‌شده به‌تنهایی کافی نباشد. اگر سایتت وردپرسی است، کلیدهای امنیتی فایل wp-config.php را هم نو کن. این کار همه را، از جمله هکر، از حساب‌ها بیرون می‌اندازد.
چرا دو بار؟ یک بار همین الان، تا هکر دسترسی‌اش را از دست بدهد. یک بار دیگر بعد از پاکسازی، چون اگر جایی از سایت یا رایانه‌ات هنوز آلوده بوده، رمز تازه هم ممکن است لو رفته باشد. راهنمای وردپرس هم همین ترتیب را می‌گوید.
پشتیبان سالم داری یا نه؟ سه مسیر پاکسازی
پیش از هر دست بردنی، یک کار به نظر عجیب میآید ولی لازم است: از همین سایت آلوده یک نسخهی کامل بگیر، هم فایل‌ها و هم پایگاه داده. اگر وسط پاکسازی چیزی خراب شد، این نسخه تنها راه برگشت است. متخصص هم از روی همین نسخه ردپای هکر را پیدا میکند.
بعد بسته به نسخهی پشتیبانی که داری، راهنمای پاکسازی گوگل یکی از این سه مسیر را پیشنهاد میکند.
پشتیبان سالم و تازه داری
بهترین حالت است. نسخه‌ای را برگردان که مطمئنی مال پیش از هک است. ولی حواست باشد که پشتیبان راه نفوذ را نمی‌بندد. اگر هکر از یک افزونهی قدیمی آمده بود، همان افزونه در پشتیبان هم هست و چند روز بعد همان آش است و همان کاسه.
پشتیبان سالم داری ولی قدیمی است
نسخهی قدیمی را برگردان، با نسخهی آلوده مقایسه کن و محتوای تازه‌ی این مدت را دستی منتقل کن؛ مقاله‌ها، محصول‌ها و هرچه بعد از آن اضافه شده. تک‌تک نگاهشان کن و کورکورانه کپی نکن، چون کد آلوده ممکن است لای همین محتوا باشد.
پشتیبان نداری
سخت‌ترین مسیر است. گوگل می‌گوید دو نسخه از سایت آلوده بگیر و پاکسازی را روی نسخهی کپی انجام بده، نه روی سرور زنده. یعنی گشتن فایل به فایل و پیدا کردن کد مشکوک. این کار دانش فنی میخواهد و همین‌جاست که بیشتر صاحبان کسب‌وکار باید کار را بسپارند.
برای سایت وردپرسی، راهنمای رسمی چند نکته‌ی مشخص دارد. پوشه‌های هسته را، یعنی wp-admin و wp-includes، با نسخهی تازه‌ی همان نسخهی وردپرس جایگزین کن؛ از راه انتقال فایل، نه از داخل پیشخوان. بعد فایل .htaccess و فایلهای index.php، header.php، footer.php و functions.php را بگرد. گوگل هم می‌گوید فایل .htaccess در هک‌ها اغلب دست‌کاری و پنهان میشود.
مهم‌ترین توصیه‌ی گوگل در این مرحله این است که نصب تازه بهتر از ارتقاست، چون اگر حتی یک فایل آلوده روی سرور بماند، احتمال هک دوباره بیشتر میشود. افزونه و قالبی را هم که استفاده نمی‌کنی فقط غیرفعال نکن؛ کامل حذفش کن.
پاک کردن نشانه‌ها کار را تمام نمی‌کند. به گفته‌ی گوگل، اگر مشکل امنیتی ریشه‌ای را رفع نکنی، سایتت احتمالاً دوباره آلوده میشود.
سرچ کنسول: مشکلات امنیتی، مالک‌های ناشناس و صفحه‌های اسپمی که هکر ساخته
هکرها گاهی سراغ سرچ کنسول تو هم می‌روند. راهنمای گوگل برای سرچ کنسول در زمان هک این کارها را میخواهد:
- مالکیت سایت را تأیید کن. بدون آن نه گزارش امنیتی را می‌بینی، نه می‌توانی درخواست بررسی بدهی.
- مالک‌ها و کاربرها را یکی‌یکی نگاه کن. در هک ژاپنی، هکر گاهی خودش را مالک سرچ کنسول سایت میکند. هر ناشناسی را حذف کن و نشانه‌ی تأییدش را هم بردار؛ یعنی برچسب متا یا فایلی که برای تأیید روی سایت گذاشته.
- تنظیمات را بگرد و ببین هکر از ابزار حذف نشانی یا ابزار تغییر نشانی استفاده نکرده باشد.
- پیام‌ها و گزارش مشکلات امنیتی را با دقت بخوان و نگهشان دار؛ موقع نوشتن درخواست بررسی به کارت می‌آیند.
صفحه‌های اسپم را از گوگل حذف کنم؟
بله، ولی با احتیاط. ابزار حذف نشانی فقط برای صفحه‌هایی است که هکر ساخته و هرگز نمی‌خواهی در نتایج باشند. شرطش این است که آن صفحهها الان خطای ۴۰۴ برگردانند، یعنی واقعاً از سایت پاک شده باشند.
صفحه‌های اصلی خودت را که آلوده شده بودند با این ابزار حذف نکن. آنها را تمیز کن و بگذار سر جایشان بمانند. حذفشان فقط صفحه‌های ارزشمندت را از نتایج گوگل پنهان میکند.
قبل از هر قراردادی، پیش‌نمایش صفحه‌ی اصلی سایتت را ببین — طراحی‌اش رایگان است.
شروع کندرخواست بررسی از گوگل؛ چه بنویسی و چقدر طول می‌کشد
برای برداشتن برچسب هک، باید خودت در گزارش مشکلات امنیتی درخواست بررسی بدهی. ولی فقط وقتی کار واقعاً تمام شده. راهنمای درخواست بررسی چهار پیش‌نیاز دارد:
- مالکیت سایت در سرچ کنسول تأیید شده باشد.
- اسپم و کد آلوده پاک شده باشد.
- راه نفوذ هکر بسته شده باشد.
- سایت پاک دوباره آنلاین باشد و صفحه‌های کلیدی با دستور عدم ایندکس بسته نشده باشند.
یک نکته را جدی بگیر: رفع مشکل در چند صفحه کافی نیست. گوگل صریح می‌گوید با تمیز کردن بخشی از سایت، همان بخش به نتایج برنمی‌گردد؛ مشکل باید در کل سایت رفع شود. نشانی‌هایی که در گزارش می‌بینی هم فقط نمونه‌اند، نه فهرست کامل.
در متن درخواست چه بنویسی
گوگل سه چیز میخواهد: مشکل چه بود، چه کردی و نتیجه چه شد. همین‌جاست که یادداشت‌های ساعت اول به کار میآید. کوتاه و مشخص بنویس؛ مثلاً کد آلوده در کدام فایل‌ها بود، کدام افزونهی قدیمی را حذف کردی، هسته را از نو نصب کردی و همه‌ی رمزها را عوض کردی.
چقدر طول می‌کشد
طبق راهنمای گوگل، به نوع مشکل بستگی دارد:
- فیشینگ: حدود یک روز
- بدافزار: چند روز
- اسپم هک: تا چند هفته
درخواست زودهنگام فقط زمان برچسب خوردن را طولانی‌تر میکند. تا جواب درخواست قبلی نیامده، درخواست دوباره نفرست.
اگر برچسب برداشته شد ولی بعضی صفحه‌هایت هنوز در نتایج نیستند، کمی صبر کن. خزنده‌ی گوگل باید دوباره سراغشان بیاید و نسخهی تمیز را ببیند.
سایت‌ها معمولاً از کجا هک می‌شوند؟ قالب و افزونهی نال‌شده، به‌روزنشده و رمز ضعیف
پیدا کردن راه نفوذ از پاک کردن اثرش مهمتر است، چون اگر در را نبندی هکر از همان در برمی‌گردد. پرسش‌های پرتکرار گوگل درباره‌ی سایت‌های هکشده و راهنمای وردپرس این‌ها را راه‌های رایج نفوذ می‌دانند.
قالب و افزونهی نال‌شده
نال‌شده یعنی نسخهی پولی یک قالب یا افزونه که کسی قفل مجوزش را شکسته و مجانی یا ارزان پخشش میکند. وسوسه‌انگیز است، چون خرج سایت را کم میکند. مشکل این‌جاست که نمی‌دانی آن آدم چه چیز دیگری لای کد گذاشته. به‌روزرسانی امنیتی رسمی هم به دستت نمی‌رسد.
راهنمای ایمن‌سازی وردپرس این را در یک جمله گفته: افزونه و قالب را از منبع نامعتبر نگیر.
نرم‌افزار و افزونهی به‌روزنشده
افزونهی اصل هم اگر ماه‌ها به‌روز نشود خطرناک میشود. وقتی ضعفی در یک نسخه کشف و اعلام میشود، سایت‌هایی که هنوز همان نسخه را دارند هدف راحتی‌اند. سایتی که کسی مراقبش نیست، دقیقاً همین سایت است.
رمز ضعیف یا تکراری
رمزی مثل نام کسب‌وکار به‌علاوه‌ی سال تأسیس را راحت میشود حدس زد. رمز تکراری هم همین‌قدر خطرناک است. گوگل می‌گوید هر رمز باید فقط برای یک جا باشد، چون اگر یکی از آن جاها لو برود، سایت تو هم لو رفته.
بقیه‌ی درها
رایانه‌ی آلوده‌ی مدیر، صفحه‌ی مدیریتی که بدون رمز باز مانده، درگاه‌های باز غیرضروری روی سرور و کدنویسی ناامن هم در فهرست گوگل هستند. توصیه‌ی گوگل این است که بعد از پیدا کردن یک آسیب‌پذیری دست از گشتن نکشی؛ شاید بیشتر از یکی باشد.
اگر دلیل هک سایتت قالب یا افزونه بوده، ارزش دارد یک بار جدی فکر کنی که اصلاً وردپرس برای کارت لازم است یا نه. این مقایسه را در مقاله‌ی وردپرس یا کدنویسی اختصاصی کامل نوشته‌ایم.
پیشگیری: فهرست کوتاهی که احتمال هک دوباره را پایین می‌آورد
هیچ سایتی نفوذناپذیر نیست، ولی خیلی از هک‌ها از درهایی است که باز مانده‌اند. این فهرست از راهنمای ایمن‌سازی وردپرس و توصیه‌های گوگل آمده:
- وردپرس، قالب و افزونه‌ها را همیشه به‌روز نگه دار.
- افزونه و قالب را فقط از منبع معتبر بگیر و خود وردپرس را فقط از سایت رسمی‌اش.
- هرچه استفاده نمی‌کنی کامل حذف کن.
- برای هر حساب رمز قوی و جدا بگذار و تأیید دومرحله‌ای را روشن کن.
- از فایل‌ها و پایگاه داده پشتیبان خودکار و مرتب بگیر، و هر چند وقت یک بار امتحان کن که واقعاً برمی‌گردد.
- ویرایش فایل‌ها از داخل پیشخوان را با گذاشتن
DISALLOW_FILE_EDITدر فایلwp-config.phpخاموش کن. - دسترسی فایل‌ها روی سرور را تا جای ممکن محدود کن.
- رایانه‌ای را که با آن وارد پیشخوان میشوی تمیز و به‌روز نگه دار.
خلاصه‌اش این است که سایت بعد از تحویل هم نگهداری میخواهد، مثل ماشینی که نو هم باشد سرویس دوره‌ای لازم دارد. اینکه این نگهداری شامل چه کارهایی است و چقدر خرج دارد، در مقاله‌ی هزینه‌ی نگهداری سایت آمده.
وصله‌کاری یا بازسازی؛ چهار نشانه که ساختن از نو به‌صرفه‌تر است
خیلی از سایت‌های هکشده با یک پاکسازی درست برمی‌گردند و لازم نیست از نو ساخته شوند. ولی گاهی وصله‌کاری مثل رنگ زدن دیوار نم‌کشیده است؛ چند ماه بعد لکه برمی‌گردد. این چهار نشانه می‌گوید شاید وقت ساختن از نو رسیده:
۱. بار دوم یا سوم است
اگر بعد از یک پاکسازی همان علامت‌ها برگشته، یعنی یا راه نفوذ پیدا نشده یا فایل آلوده‌ای جا مانده. هر دور پاکسازی خرج دارد و هر بار اعتماد گوگل و مشتری کمی بیشتر آسیب می‌بیند.
۲. اسکلت سایت نال‌شده است
وقتی قالب و افزونه‌های اصلی سایت از منبع نامعتبر آمده‌اند، هیچ‌وقت کامل مطمئن نمی‌شوی که تمیز است. اگر نسخهی اصل همان‌ها در دسترس است، اول همان را امتحان کن. ولی وقتی سایت روی چند تکه‌ی نال‌شده و دست‌کاری‌شده بنا شده، پاک کردنش گاهی از ساختن از نو سخت‌تر است.
۳. به‌روزرسانی سایت را خراب میکند
سایتی که سال‌ها به‌روز نشده، معمولاً به جایی می‌رسد که به‌روز کردن هسته یا افزونه‌ها کارکردش را به هم می‌ریزد. نه میشود به‌روزش کرد، نه میشود همین‌طور رهایش کرد. چنین سایتی هر روز با همان ضعف‌های قدیمی باز است.
۴. کسی سایت را نمی‌شناسد
طراح قبلی رفته، مستندی نیست، دسترسی‌ها نصفه است و کسی نمی‌داند کدام افزونه چه کار میکند. در این وضعیت هر پاکسازی یک حدس است. اگر سایت را از نو می‌سازی، این بار از روز اول سورس‌کد و همه‌ی دسترسی‌ها را به نام خودت بگیر.
اگر دو نشانه یا بیشتر را داری، پیش از دور بعدی وصله‌کاری، هزینه‌ی ساختن از نو را هم کنارش بگذار و مقایسه کن. فقط یادت باشد بازسازی را باید درست انجام داد تا رتبه‌ای که در گوگل داری بی‌دلیل از دست نرود؛ نشانی‌های قدیمی باید به نشانی‌های تازه هدایت شوند و محتوای ارزشمند حفظ شود. جزئیاتش را در صفحه‌ی بازطراحی سایت گفته‌ایم.
دو نکته‌ی دیگر هم هست. موقع ساختن از نو فقط متن‌ها و تصویرها را منتقل کن، آن هم بعد از نگاه کردن؛ نه فایل‌ها، قالب و افزونه‌های قدیمی را. و سایت تازه هم برچسب گوگل را خودبه‌خود برنمی‌دارد. بعد از آنلاین شدن نسخهی تمیز، باز هم باید درخواست بررسی بدهی.
خودت انجام بدهی یا به متخصص بسپاری؟
بخش زیادی از این راهنما را خودت می‌توانی انجام بدهی، حتی بدون دانش برنامه‌نویسی: ثبت ماجرا، تماس با میزبان، عوض کردن رمزها، روشن کردن تأیید دومرحله‌ای، بررسی سرچ کنسول و نوشتن درخواست بررسی. این‌ها بیشتر حوصله می‌خواهند تا تخصص.
ولی پیدا کردن کد آلوده در یک سایت هک شده، مخصوصاً بدون پشتیبان سالم، کار متخصص است. اگر کد را نمی‌شناسی، ممکن است فایل سالمی را پاک کنی و در پشتی را جا بگذاری. نتیجه‌اش همان هک دوباره است.
برای رفع هک سایت وردپرسی، اول از پشتیبانی میزبانت بپرس؛ بعضی میزبان‌ها خودشان اسکن و پاکسازی انجام می‌دهند. اگر نه، سراغ متخصص امنیت وردپرس برو. موقع انتخاب بپرس آیا راه نفوذ را هم پیدا میکند یا فقط نشانه‌ها را پاک میکند، و آیا درخواست بررسی گوگل را هم پیگیری میکند.
صادقانه بگوییم: ما در فراکو سایت را با کد اختصاصی می‌سازیم، نه با قالب آماده‌ی وردپرسی، و پاکسازی سایت هکشده جزو خدماتمان نیست. جایی به کارت می‌آییم که به این نتیجه رسیده باشی وصله‌کاری دیگر نمی‌ارزد و وقت ساختن از نو است.
سایتی که با کد اختصاصی ساخته میشود، مثل فروشگاه روغن و فیلتر اویلرو که خودمان ساخته‌ایم، پیشخوانی با ده‌ها افزونهی جدا ندارد که هر کدام به‌روزرسانی خودش را بخواهد. این یعنی درهای کمتری برای مراقبت، نه اینکه هیچ دری نباشد. هر سایتی، با هر فناوری، رمز قوی و نگهداری لازم دارد.
جمع‌بندی
سایت هک شده آخر دنیا نیست، ولی ترتیب کارها مهم است. اول مطمئن شو، بعد ثبت کن، قرنطینه کن و به میزبان خبر بده. رایانه‌ات را اسکن کن، رمزها و کلیدهای اتصال را عوض کن، از وضعیت آلوده نسخه بگیر و بعد پاکسازی کن. راه نفوذ را پیدا کن و ببند. وقتی کل سایت تمیز شد، و نه زودتر، از گوگل درخواست بررسی کن. و اگر بار دوم یا سومی است که این مسیر را می‌روی، شاید وقتش رسیده به جای وصله‌ی بعدی به یک سایت تازه فکر کنی.
قدم بعدی
اگر سایتت وردپرسی است و تازه هک شده، پاکسازی را به میزبان یا متخصص امنیت وردپرس بسپار. ولی اگر به این نتیجه رسیدی که ساختن از نو منطقی‌تر است، لازم نیست چشم‌بسته تصمیم بگیری.
در فراکو صفحه‌ی اصلی سایت تازه‌ات را ظرف ۴۸ ساعت به شکل پیش‌نمایش آماده می‌کنیم تا پیش از تصمیم نهایی ببینی‌اش. طراحی پیش‌نمایش رایگان است و فقط ۶۸۰ هزار تومان بابت ساخت عکس‌ها و بنرها گرفته میشود. سایت شرکتی از ۳۵ میلیون تومان و فروشگاهی از ۴۵ میلیون تومان شروع میشود؛ تحویل سایت شرکتی ۷ تا ۱۰ و فروشگاه ۱۰ تا ۱۴ روز کاری است. کد اختصاصی است و سورس‌کدش هم مال خودت. اگر آماده‌ای، درخواست پیش‌نمایش را از این‌جا ثبت کن.
پرسش‌های پرتکرار
هک شدن سایت روی رتبهاش در گوگل اثر میگذارد؟
بله، میتواند. گوگل محتوای هکشده را در سیاست اسپمش آورده و برچسب هشدار هم خودش کلیکها را کم میکند. هرچه زودتر و کاملتر پاکسازی کنی، زودتر به حالت عادی نزدیک میشوی، ولی هیچکس نمیتواند زمان دقیق برگشت رتبه را قول بدهد.
گوگل خودش خبر می‌دهد که سایتم هک شده؟
اگر مالکیت سایت را در سرچ کنسول تأیید کرده باشی، مشکل در گزارش مشکلات امنیتی و بخش پیام‌ها ثبت میشود. بدون تأیید مالکیت این گزارش را نمی‌بینی و معمولاً وقتی می‌فهمی که مشتری یا برچسب گوگل خبرت کند. پس اگر هنوز تأییدش نکرده‌ای، همین حالا انجامش بده؛ بدون آن درخواست بررسی هم نمی‌توانی بدهی.
کد تغییر مسیر معمولاً کجای سایت پنهان میشود؟
جاهای رایجش فایل تنظیمات سرور، فایلهای قالب و کد جاوااسکریپتی است که لای صفحهها تزریق شده. برای همین پیدا کردنش گشتن فایل به فایل میخواهد، نه فقط نگاه کردن به ظاهر سایت.
اگر میزبان سایتم را عوض کنم، مشکل حل میشود؟
نه. اگر فایلهای آلوده را به میزبان تازه ببری، آلودگی هم با آنها میآید. راه نفوذ هم، مثلاً یک افزونهی قدیمی یا رمز لورفته، با جابهجایی بسته نمیشود. عوض کردن میزبان فقط بعد از پاکسازی کامل معنی دارد، آن هم اگر از میزبان فعلیات راضی نیستی.
باید به مشتری‌هایم بگویم سایت هک شده؟
اگر سایتت حساب کاربری یا اطلاعات مشتری داشته، بله. کوتاه و صادقانه خبر بده و بخواه رمزشان را عوض کنند، مخصوصاً اگر همان رمز را جای دیگری هم استفاده می‌کنند. پنهان کردن ماجرا معمولاً وقتی گران تمام میشود که مشتری خودش هشدار مرورگر را ببیند.
پشتیبان سایت را هر چند وقت بگیرم و کجا نگهش دارم؟
به اندازهی تغییرات سایتت. فروشگاهی که هر روز سفارش میگیرد پشتیبان روزانه لازم دارد، ولی سایت شرکتیای که ماهی یکیدو بار عوض میشود با پشتیبان هفتگی هم کارش راه میافتد. مهمتر از تعداد، جای نگهداری است. یک نسخه را بیرون از همان سرور نگه دار، چون اگر سرور آلوده شود، نسخهی پشتیبانی که کنارش است هم در خطر است.
سایتی می‌خواهی که درست ساخته شود؟
صفحه‌ی اصلی سایتت را در کمتر از ۴۸ ساعت می‌سازیم و نشانت می‌دهیم. طراحیِ پیش‌نمایش رایگان است و فقط ۶۸۰ هزار تومان بابت ساخت عکس‌ها و بنرهایش می‌پردازی؛ پسندیدی ادامه می‌دهیم، نپسندیدی تعهدی نداری.
