Guida per principianti per riparare il tuo sito WordPress hackerato

Il tuo sito WordPress è stato violato. I visitatori potrebbero vedere avvisi, le pagine potrebbero reindirizzare allo spam e la tua attività potrebbe perdere traffico e vendite ogni minuto che passa.

La buona notizia è che puoi recuperarlo. La chiave è seguire l'ordine corretto: contenere la violazione, rimuovere il malware, ripristinare il tuo sito e proteggerlo da un altro attacco.

Abbiamo aiutato centinaia di utenti WordPress a recuperare siti violati e abbiamo gestito problemi di sicurezza anche sui nostri siti.

Oggi gli aggressori utilizzano sempre più l'IA per trovare e sfruttare le vulnerabilità dei plugin WordPress appena patchate, rendendo l'azione rapida più importante che mai.

In questa guida, ti mostreremo come riparare il tuo sito WordPress violato passo dopo passo, anche se non hai mai pulito un attacco prima.

Risposta rapida: Prima contieni il danno dall'esterno di WordPress, poi assumi un servizio di pulizia o elimina il server e ricostruisci da file puliti.

Ecco la sequenza completa, con ogni passaggio spiegato di seguito:

Passaggio 1. Contieni il danno

Prima di pulire qualsiasi cosa, impedisci al sito di causare ulteriori danni ai tuoi visitatori e alla tua reputazione.

Metti il tuo sito dietro uno schermo "coming soon" esterno a WordPress. Il modo più semplice è la modalità "Under Attack" gratuita di Cloudflare, che sfida ogni visitatore prima che raggiunga il tuo sito.

Puoi anche utilizzare la modalità di manutenzione del pannello di controllo del tuo host, o reindirizzare temporaneamente il tuo DNS altrove.

Successivamente, cambia subito la password di amministrazione di WordPress e la password del tuo account di hosting. Se non riesci ad accedere affatto, consulta la nostra guida su cosa fare quando sei bloccato dall'amministrazione di WordPress.

Quindi contatta il tuo provider di hosting prima di eliminare file, ripristinare un backup o apportare altre modifiche importanti al tuo sito. Il tuo provider di hosting potrebbe essere in grado di mostrarti come è entrato l'attaccante e scansionare il tuo sito alla ricerca di malware.

Poni loro due domande: "Come pensi che l'attaccante abbia avuto accesso al sito?" e "Hai un backup pulito recente?" La prima può aiutarti a identificare la vulnerabilità che necessita di essere corretta, mentre la seconda ti dice se hai un punto di ripristino sicuro nel caso in cui il sito debba essere ripristinato.

Infine, documenta tutto. Scatta screenshot dei sintomi e annota la data, l'ora e esattamente ciò che vedi.

Avrai bisogno di questo registro per il tuo host, per un esperto di sicurezza se ne assumi uno e per confermare che lo stesso sintomo sia scomparso dopo la pulizia.

Passaggio 2. Decidi: Pulisci un sito violato da solo o assumi un esperto di sicurezza?

Non c'è una risposta sbagliata qui.

Assumere un professionista è la scelta migliore se non ti senti a tuo agio a lavorare con file e database, o se vuoi che venga fatto bene fin dalla prima volta. Gli hacker nascondono backdoor, punti di ingresso segreti che consentono loro di rientrare in seguito, in luoghi a cui i principianti raramente pensano di guardare.

Una backdoor non rilevata significa che l'hack ritorna.

Per una pulizia professionale, Wordfence e MalCare offrono entrambi solidi servizi di pulizia. Un'altra opzione che raccomandiamo è We Watch Your Website, che fornisce un'accurata pulizia di sicurezza per WordPress.

Puoi saperne di più nella nostra guida su come assumere un esperto di sicurezza WordPress.

Se decidi di pulirlo da solo, segui il resto di questa guida.

Passaggio 3. Trova dove si nasconde il malware

Inizia con una scansione malware remota gratuita per identificare rapidamente file o codice che potrebbero richiedere un'ispezione più approfondita. Raccomandiamo il plugin gratuito Wordfence per questo, ma considera lo scanner come un assistente, non come un verdetto.

Quindi controlla questi luoghi comuni dove il malware di WordPress può nascondersi:

• File falsi che imitano il core di WordPress. Un file wp-something.php isolato in una cartella dove non appartiene, o una seconda copia di wp-load.php.
• File PHP all'interno di /wp-content/uploads/. La cartella uploads viene normalmente utilizzata per immagini, documenti e altri media, quindi i file PHP in questa directory meritano un'attenzione immediata.
• Plugin must-use sconosciuti in /wp-content/mu-plugins/. Questi plugin si caricano automaticamente con WordPress e non appaiono nella normale pagina dei Plugin, il che li rende un luogo attraente per gli aggressori per nascondere codice dannoso.
• File modificati di recente. Apri il file manager del tuo host e ordina per data dell'ultima modifica. Presta particolare attenzione ai file che sono stati modificati intorno al momento in cui è iniziato il problema, specialmente se non sei stato tu a effettuare tali modifiche.
• Codice dannoso nel database. Righe iniettate possono causare reindirizzamenti, pagine di spam e infezioni ripetute anche dopo che i file sono stati puliti.
• Un file .htaccess manomesso. Cerca regole di reindirizzamento che non hai aggiunto.
• Utenti admin o FTP sconosciuti. Elimina qualsiasi account che non riconosci. Un account non familiare potrebbe dare a un hacker un altro modo per accedere al tuo sito dopo che hai ripulito i file.
• Plugin di utilità che non hai installato. Plugin come WPCode, Code Snippets o File Manager sono sicuri di per sé, ma gli hacker a volte li installano per iniettare codice. Se un plugin è apparso senza che tu lo abbia installato, questo è un campanello d'allarme.
• Attività pianificate sospette. Gli hacker usano i cron job di WordPress per reinfectare un sito a intervalli regolari.
• Il tuo account CDN. Molti siti memorizzano le loro chiavi API CDN all'interno di WordPress. Un hacker può usare quelle chiavi per modificare i file a livello CDN e aggiungere skimmer di carte o altro codice dannoso, quindi controlla la tua dashboard CDN per modifiche che non hai apportato.

Per uno sguardo più approfondito sul nascondiglio più comune, consulta la nostra guida su come trovare una backdoor in WordPress e correggerla.

Passaggio 4. Esegui prima il backup del sito violato

Prima di iniziare a eliminare file o apportare altre modifiche, crea un backup completo del sito compromesso, includendo sia i suoi file che il database.

Questo potrebbe sembrare controintuitivo, ma questo backup ti fornisce un'istantanea del sito prima che inizi la pulizia. Se qualcosa va storto durante il processo, puoi fare riferimento ad esso per identificare cosa è cambiato. Può anche fornire prove utili al tuo provider di hosting, esperto di sicurezza o compagnia assicurativa se devi documentare l'incidente.

Etichetta chiaramente questo backup come copia infetta e tienilo separato da qualsiasi backup pulito che intendi ripristinare. Non dovresti usarlo per rimettere online il sito.

Fare questo passaggio in più ti offre una rete di sicurezza prima di iniziare a rimuovere il malware.

Passaggio 5. Pulisci il malware: Elimina tutto e ricostruisci pulito

L'unica pulizia affidabile è una cancellazione completa. Elimina tutto dal server, intendendo tutti i file di WordPress e qualsiasi altra cosa nell'account di hosting, quindi ricostruisci da fonti note e pulite.

Una reinstallazione di WordPress non è sufficiente. La maggior parte delle persone installa WordPress nella cartella principale del proprio account di hosting, ma le backdoor spesso vivono completamente al di fuori di essa, altrove nell'account, nella root web o in un cron job.

Se reinstalli WordPress e lasci intatto il resto del server, quella backdoor reinfecta la tua nuova installazione.

Ricostruisci nel modo pulito:

• Scarica i file core di WordPress freschi da WordPress.org.
• Scarica copie fresche dei tuoi plugin e temi dalle loro fonti ufficiali. Non riutilizzare mai i vecchi file.
• Crea un nuovo file wp-config.php da zero.

Solo dopo la cancellazione completa dovresti ripristinare da un backup, e solo uno di cui sei certo che sia precedente all'attacco. Anche in quel caso, ripristina solo il tuo contenuto e il database, non i vecchi file eseguibili.

Vedi il nostro tutorial su come ripristinare WordPress da backup per i dettagli.

Riporta indietro il tuo contenuto con attenzione. Riaggiungi caricamenti e media solo dopo averli controllati per file PHP estranei, e pulisci manualmente eventuali righe iniettate se stai ripristinando il database.

La funzione di pulizia automatica di un plugin di sicurezza può aiutare e rimuove bene le infezioni note a livello di WordPress. Ma potrebbe non rilevare un backdoor a livello di server che si trova al di fuori di WordPress, motivo per cui la cancellazione e ricostruzione è l'impostazione predefinita sicura.

Non eseguire una scansione e considerarla conclusa.

Passaggio 6. Reimposta tutte le password, le chiavi e i token API

Sì, hai cambiato le tue password nel Passaggio 1. Ora che il sito è pulito, fallo di nuovo e allarga il raggio d'azione, perché l'hacker potrebbe aver osservato tutto ciò che hai digitato mentre il sito era ancora infetto.

Reimposta ogni password: account amministratore di WordPress, hosting, FTP o SFTP, database e qualsiasi account email collegato al sito. Usa un gestore di password in modo che ognuna di esse sia forte e unica.

La nostra guida sul miglior modo di gestire le password può aiutarti. Se il tuo sito ha molti utenti, puoi forzare un reset della password per tutti loro.

Successivamente, rigenera le tue chiavi segrete di WordPress. Queste chiavi, chiamate anche salt, si trovano in wp-config.php e proteggono i cookie di accesso.

Reimpostandole, si disconnette chiunque abbia ancora un cookie dirottato, anche dopo il cambio delle password. Genera un nuovo set di chiavi e incollale nel tuo wp-config.php, e il nostro articolo sulle chiavi di sicurezza di WordPress spiega dove si trovano.

Infine, ruota ogni chiave API e token che il sito utilizza. Questo assicura che eventuali credenziali a cui l'attaccante ha avuto accesso non possano più essere utilizzate per connettersi ai tuoi servizi.

Passaggio 7. Rimuovi gli avvisi "Questo sito potrebbe essere violato"

Il tuo sito è pulito, ma Google potrebbe ancora avvisare le persone di starne alla larga. Quel avviso non scompare da solo rapidamente, quindi devi richiedere una revisione.

Apri Google Search Console e vai al report Problemi di sicurezza. Una volta risolti tutti i problemi segnalati, seleziona i problemi e fai clic sul pulsante Richiedi revisione.

Descrivi cosa c'era di sbagliato e cosa hai fatto per risolverlo. Le revisioni di solito richiedono alcuni giorni e a volte di più.

Mentre aspetti, controlla il tuo sito su Google Safe Browsing per vederne lo stato attuale, e mantieni il sito online e pulito. Richieste di revisione ripetute con un sito infetto rallentano il processo.

Passaggio 8. Proteggi WordPress in modo che non accada mai più

Ora fai alcuni passi aggiuntivi per impedire all'hacker di rientrare nel tuo sito. Falli in ordine, iniziando con le misure che bloccano alcuni dei modi più comuni in cui gli aggressori riconquistano l'accesso.

1. Disabilita l'editor di file integrato. Aggiungi questa riga al tuo wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Ciò impedisce a chiunque abbia accesso alla dashboard di WordPress di modificare direttamente i file di temi e plugin. Ciò aggiunge un importante livello di protezione se un account amministratore viene compromesso.

Puoi anche seguire la nostra guida su come disabilitare gli editor di temi e plugin in WordPress.

2. Impedisci l'esecuzione di PHP nella cartella dei caricamenti. Anche se un hacker riesce a inserire un file .php dannoso in /wp-content/uploads/, questa regola fa sì che il server si rifiuti di eseguirlo.

Su Apache, aggiungi questo a un nuovo file .htaccess all'interno della cartella dei caricamenti:

<Files *.php>
deny from all
</Files>

Su Nginx, chiedi al tuo host di aggiungere la regola di posizione corrispondente. Il nostro tutorial su come disabilitare l'esecuzione di PHP in determinate directory di WordPress ti guida attraverso il processo.

3. Rimuovi completamente le installazioni dei plugin dalla bacheca. Questo è il controllo avanzato che utilizziamo sui nostri siti.

Se le tue modifiche passano attraverso una pipeline di distribuzione come Git, non è necessario installare plugin da wp-admin. Bloccala aggiungendo define('DISALLOW_FILE_MODS', true); a wp-config.php e invia tutte le modifiche al codice tramite la pipeline.

Quindi completa l'elenco:

• Configura backup automatici e off-site con un plugin come Duplicator. Se avessi un backup pulito nel Passaggio 5, la ricostruzione richiederebbe minuti invece di giorni, quindi configuralo oggi stesso. Ecco come eseguire il backup del tuo sito WordPress.
• Installa un firewall o un plugin di sicurezza con scansione malware continua.
• Attiva password complesse e autenticazione a due fattori per ogni account.
• Limita i tentativi di accesso e proteggi la tua area wp-admin.
• Imposta le autorizzazioni corrette per file e cartelle.
• Aggiorna il core di WordPress, i plugin e i temi nell' ordine di aggiornamento corretto, ed elimina tutto ciò che non stai utilizzando.
• Esegui solo plugin e temi da fonti attendibili. Non utilizzare mai versioni nulled o piratate, poiché spesso contengono malware nascosto all'interno.

Domande frequenti

Come faccio a sapere se il mio sito WordPress è stato violato?

I segnali comuni sono un avviso del browser o di Google sul tuo sito, il tuo sito che reindirizza i visitatori a siti web strani, link o pagine spam che non hai creato, utenti amministratori che non riconosci, un calo improvviso del traffico o il tuo host che sospende l'account.

Come posso ripulire completamente il mio sito WordPress?

Esegui prima il backup del sito infetto, quindi elimina tutto nell'account di hosting, non solo la cartella di WordPress. Ricostruisci con file core, plugin e temi di WordPress freschi da fonti ufficiali più un nuovo wp-config.php, e ripristina solo il contenuto da un backup che precede l'attacco.

Wordfence rimuove il malware?

Il plugin gratuito Wordfence esegue la scansione del malware e può riparare i file core modificati, mentre il servizio a pagamento include la pulizia manuale. Come ogni scanner, funziona a livello di WordPress, quindi un backdoor altrove sul server può sopravvivergli, ed è per questo che raccomandiamo ancora una pulizia completa per infezioni gravi.

Speriamo che questa guida ti abbia aiutato a riparare il tuo sito WordPress hackerato e a metterlo in sicurezza in modo permanente. Per continuare su questa strada, consulta la nostra guida completa sulla sicurezza di WordPress, o se la pulizia ti sembra eccessiva, ecco i nostri consigli su come assumere un esperto di sicurezza WordPress.