Come trovare e rimuovere l'iniezione di link spam in WordPress

Immagina questo: stai controllando le statistiche del tuo sito WordPress una mattina e qualcosa non va. Il tuo traffico è diminuito e scopri che il tuo sito è pieno di link spam che vendono di tutto, dalle borse firmate contraffatte a farmaci discutibili.

Abbiamo visto questo accadere in prima persona sui siti web dei clienti. Infatti, abbiamo aiutato un cliente il cui sito web si è trasformato in un pasticcio pieno di spam dall'oggi al domani.

L'intera reputazione della loro attività era in gioco, ma siamo riusciti a ripulirla, metterla in sicurezza e riportarla alla normalità, e ti mostreremo esattamente come fare lo stesso.

In questa guida, copriremo tutto, dalla ricerca e pulizia delle iniezioni di link spam alla protezione del tuo sito per il futuro.

Trovare e rimuovere link spam in WordPress

Risposta rapida: Come rimuovere le iniezioni di link spam in WordPress?

Usa un plugin di sicurezza come Sucuri o Wordfence per scansionare il tuo sito e trovare il codice dannoso. Quindi pulisci il tuo database con Search & Replace Everything, sostituisci i file del tema e dei plugin infetti con copie fresche e reimposta tutte le tue password.

Perché dovresti preoccuparti delle iniezioni di link spam?

Le iniezioni di link spam consentono agli hacker di dirottare la SEO e la reputazione del tuo sito, spesso senza che tu te ne accorga.

I motori di ricerca potrebbero segnalare o penalizzare il tuo sito, facendoti perdere traffico organico e potenziali entrate.
I link di spam nascosti danneggiano la fiducia dei visitatori e possono far sì che il tuo sito venga temporaneamente bloccato da Google.

Passaggio 1. Trovare link di spam

Ti guideremo attraverso il processo che utilizziamo per scoprire contenuti dannosi nascosti.

Ci sono diversi modi per farlo e potresti voler provare tutti questi approcci in modo da non perderti nulla.

Opzione 1: Trovare link di spam utilizzando Google Search Console

Google Search Console è la tua prima linea di difesa nel rilevare link di spam. È uno strumento gratuito di Google che consente ai proprietari di siti di vedere come il loro sito web si sta comportando nei risultati di ricerca.

Fornisce tonnellate di informazioni e dispone di eccellenti strumenti diagnostici che ti aiutano a rilevare lo stato di salute del tuo sito su Google Search. Se non l'hai ancora configurato, consulta il nostro tutorial completo su Google Search Console.

Una volta configurato, ecco esattamente cosa devi fare.

Innanzitutto, accedi a Google Search Console e seleziona il tuo sito. Successivamente, naviga nella scheda 'Sicurezza e azioni manuali' nella barra laterale sinistra.

Sicurezza e azioni manuali di Google Search Console

Qui, devi cercare eventuali avvisi su "link innaturali" o "contenuti di spam".

Tieni presente che se vedi 'Nessun problema rilevato', ciò non significa necessariamente che il tuo sito web sia pulito. Potresti ancora avere link di spam che Google non ha ancora segnalato.

Successivamente, dovrai controllare il report 'Link' per identificare eventuali schemi sospetti.

Report sui link di Google Search Console

Vorrai cercare domini o testi di link sospetti che appaiono in questi report. Per sospetto, intendiamo qualsiasi cosa provenga da un dominio che non riconosci e che non puoi verificare come credibile.

Opzione 2. Trovare link di spam con un controllo manuale del sito

Gli hacker sono creativi nel nascondere le loro tracce. Recentemente abbiamo trovato link di spam nascosti nel sito di un cliente utilizzando testo invisibile che appariva solo selezionando l'intera pagina.

Le aree comuni in cui nascondersi includono i piè di pagina, all'interno di contenuti legittimi (soprattutto post più vecchi), aree widget e file di template.

A volte puoi trovare link di spam controllando manualmente il codice sorgente del tuo sito web.

Suggerimento Pro: Usa la funzione "Visualizza sorgente" del tuo browser per esaminare il codice sorgente alla ricerca di link di spam nascosti.

Presta particolare attenzione a qualsiasi codice che sembri codificato o confuso: spesso è un segnale di allarme.

Un altro modo per individuare questi link è esaminare i risultati di ricerca di Google per le pagine indicizzate sul tuo sito web.

Se il tuo sito è stato infettato da spam, potresti vedere link con strane meta descrizioni, pagine con parole chiave farmaceutiche o caratteri in lingua straniera esaminando i risultati.

Il problema nel trovare questi link di spam sul tuo sito web è che rimuoverli o eliminarli non sempre funziona. Inoltre, questo processo può richiedere molto tempo.

Localizzare il codice dannoso che *causa* questi link di spam è più veloce ed efficace. Vedremo come farlo nella prossima sezione.

Opzione 3. Individuare codice e link dannosi utilizzando scanner di sicurezza

Plugin di sicurezza come Sucuri o Wordfence possono scansionare attivamente il tuo sito e rilevare automaticamente i problemi.

Questi strumenti scansionano il tuo sito alla ricerca di file core modificati, schemi di codice sospetti, firme di malware note e modifiche non autorizzate ai file.

Pensali come la guardia di sicurezza del tuo sito, costantemente in pattuglia per attività sospette. Eseguire una scansione può aiutarti a trovare backdoor nascoste che gli hacker potrebbero aver lasciato sul tuo sito.

A seconda del plugin di sicurezza WordPress che stai utilizzando, avvia semplicemente una nuova scansione per cercare codice dannoso.

Ad esempio, se stai usando Wordfence, dovrai andare su Wordfence » Scan e fare clic sul pulsante 'Start New Scan'.

Questi plugin sono davvero bravi a rilevare le modifiche ai file e a cercare codice sospetto e dannoso.

Al rilevamento, ti mostreranno anche le azioni suggerite che puoi intraprendere per risolvere i problemi.

Per maggiori dettagli su questo processo, consulta la nostra guida per principianti su come scansionare il tuo sito WordPress alla ricerca di codice potenzialmente dannoso.

Articolo correlato: I migliori scanner di sicurezza WordPress per rilevare malware e hack

Passaggio 2. Rimozione dei link di spam da WordPress

Una volta trovati i link di spam o il codice dannoso che li inietta, il passo successivo è rimuoverli.

Se stai utilizzando un plugin di sicurezza per WordPress, questo potrebbe suggerirti automaticamente azioni per rimuovere tali link.

Azioni di sicurezza suggerite dal plugin di sicurezza di WordPress

Tuttavia, a volte la rimozione o l'eliminazione di tali file non funziona e il tuo sito potrebbe continuare a mostrare link di spam.

Per una pulizia completa, dovrai utilizzare più strumenti e tecniche a seconda di come e dove sono inseriti il codice dannoso e i link.

Esamineremo questi strumenti e come utilizzarli nei passaggi successivi.

Passaggio 3. Pulizia del database tramite Cerca e Sostituisci tutto

Ora che sai che il tuo sito web contiene link di spam, il passo successivo è ripulirli.

Potresti non aver trovato ogni singola istanza di questi fastidiosi link di spam. Ma se sai come sono fatti, è più facile rimuoverli in blocco.

È qui che Search & Replace Everything ti sarà utile.

È un potente plugin di ricerca per database WordPress che può cercare nell'intero database di WordPress per trovare qualsiasi testo corrispondente.

Semplicemente installa e attiva Search & Replace Everything e poi vai alla pagina Strumenti » WP Search & Replace.

Trovare link o testo sospetti nel tuo database WordPress

Devi inserire il link o il testo sospetto che hai trovato in precedenza nel campo 'Cerca'.

Successivamente, seleziona le tabelle del database in cui cercare.

Ora, fai semplicemente clic sul pulsante 'Anteprima ricerca e sostituzione' per eseguire la ricerca.

Il plugin cercherà il termine che hai inserito nel tuo database di WordPress e ti mostrerà un'anteprima dei risultati.

Il plugin ti mostrerà quindi dove appaiono quei link. Potrebbero trovarsi all'interno di articoli o pagine, commenti o altre aree del tuo sito web.

Puoi anche ripulire i link sospetti utilizzando Search & Replace Everything. Individua il testo esatto utilizzato per inserire il link e sostituiscilo con una stringa vuota.

Per maggiori dettagli, puoi consultare il nostro tutorial su come eseguire la ricerca e la sostituzione in WordPress.

Passaggio 4. Pulizia dei link di spam nei file del tema e dei plugin di WordPress

Se non riesci a individuare i link di spam nel tuo database di WordPress, è molto probabile che i link siano stati aggiunti ai file del tuo tema o dei tuoi plugin di WordPress.

Oggi, la maggior parte dei temi e dei plugin moderni di WordPress viene fornita con diversi file, e sarebbe difficile per te controllarli manualmente uno per uno.

Se stai utilizzando solo pochi plugin, la soluzione più semplice sarebbe eliminarli. Puoi farlo andando su Plugin » Plugin installati. Nel menu a discesa 'Azioni di massa', seleziona 'Elimina' e poi 'Applica'.

Attenzione: Se uno dei tuoi plugin installati è responsabile di funzionalità essenziali o elementi di design sul tuo sito web (come un sistema di ordinazione o un footer personalizzato), allora non raccomandiamo questo approccio.

Potrebbe ulteriormente interrompere le operazioni del tuo sito e farti perdere dati importanti. In questo caso, raccomandiamo sempre di assumere esperti di sicurezza WordPress per gestire il tuo problema di spam.

Successivamente, puoi scaricare copie fresche di quei plugin e installarli sul tuo sito web. Per i dettagli, consulta il nostro tutorial su come disinstallare correttamente un plugin WordPress.

Successivamente, dovrai fare lo stesso per il tuo tema WordPress. Tuttavia, tieni presente che quando elimini il tuo tema WordPress attuale, potresti perdere le impostazioni del tema e doverlo configurare nuovamente come era.

Innanzitutto, devi installare un tema WordPress predefinito. Consulta il nostro tutorial su come installare un tema WordPress per le istruzioni.

I temi WordPress predefiniti sono temi ufficiali di WordPress. Di solito hanno nomi basati sull'anno in cui sono stati rilasciati, come Twenty Twenty-Five, Twenty Twenty-Four, e così via.

Nota importante: Se hai già un tema predefinito installato, non puoi usarlo, poiché potrebbe essere anch'esso interessato. Dovrai installare un tema predefinito nuovo di zecca.

Una volta installato un tema predefinito nuovo di zecca, devi attivarlo.

Dopo aver attivato il tema predefinito, WordPress ti permetterà di eliminare tutti i temi inattivi.

Puoi fare clic sul tuo tema precedente ed eliminarlo dal tuo sito web.

Dopo aver eliminato il tuo tema, dovrai scaricare una nuova copia da dove l'hai presa e poi installarla.

La sostituzione di file di temi e plugin con copie fresche garantisce che stai lavorando con codice pulito ed elimina eventuali file modificati che potrebbero contenere malware.

Passaggio 5. Pulizia dei file critici

La tua installazione di WordPress ha diversi file critici che gli hacker amano prendere di mira. Il file .htaccess è particolarmente vulnerabile agli attacchi di reindirizzamento.

Fortunatamente, WordPress può rigenerare il file .htaccess da solo. Quindi, puoi semplicemente connetterti al tuo sito web utilizzando un client FTP ed eliminare il file .htaccess, che si trova nella cartella principale del tuo sito web.

Se vuoi verificare che il tuo file .htaccess si sia rigenerato correttamente, consulta la nostra guida su come correggere il file .htaccess di WordPress.

Il file wp-config.php è un altro file critico di WordPress che gli hacker prendono comunemente di mira.

Puoi scaricare una copia del tuo file wp-config.php esistente come backup sul tuo computer utilizzando FTP.

Scarica il file wp-config.php sul tuo computer per la modifica

Quindi, dovrai andare su WordPress.org e scaricare una copia fresca di WordPress sul tuo computer.

Decomprimi il file e al suo interno troverai il file wp-config-sample.php.

Successivamente, dovrai caricare il file wp-config-sample.php sul tuo sito web utilizzando FTP.

Una volta caricato, puoi rinominarlo come wp-config.php.

Tuttavia, il file wp-config non funzionerà, poiché non contiene alcune informazioni importanti necessarie per connettersi al tuo database WordPress. Queste includono il tuo:

Nome del database
Nome utente e password del database
Host del database
Prefisso delle tabelle del database

Puoi copiare queste informazioni dal vecchio file wp-config che hai scaricato in precedenza come backup. Una volta aggiunte le informazioni, devi salvare e caricare le tue modifiche.

Per maggiori dettagli, consulta il nostro tutorial che spiega come modificare il file wp-config.php in WordPress.

Fase 6. Proteggere il tuo sito dopo la pulizia

Ora che il tuo sito è pulito, assicuriamoci che rimanga tale. La sicurezza non è una cosa da fare una volta sola: è un processo continuo che richiede attenzione e manutenzione.

Cambia Tutte le Tue Password

Il tuo primo compito di sicurezza è cambiare ogni singola password associata al tuo sito.

Questi includono account di amministrazione di WordPress, credenziali FTP, password del database, accesso al pannello di controllo dell'hosting e qualsiasi account email collegato al tuo sito web.

Suggerimento Pro: Utilizza un gestore di password per generare e archiviare password complesse e uniche. Consigliamo 1Password per le sue funzionalità di sicurezza e la facilità d'uso.

Configurazione del Firewall e del Plugin di Sicurezza

Utilizzare un firewall e un buon plugin di sicurezza è come avere un team di sicurezza professionale per il tuo sito web.

Ti consigliamo di utilizzare questi strumenti:

Firewall per applicazioni web (Cloudflare è il nostro preferito).
Monitoraggio dell'integrità dei file (Ci piacciono sia Sucuri che Wordfence).

Post Correlato: Confronto tra i migliori plugin firewall per WordPress

Imposta backup automatici

Una volta che il tuo sito è pulito, il passo successivo è assicurarti di non perdere mai più il tuo duro lavoro. Backup regolari possono salvarti da grossi mal di testa se il tuo sito viene hackerato, va in crash o subisce una perdita accidentale di dati.

Consigliamo di utilizzare Duplicator per impostare backup automatici per il tuo sito WordPress. È un plugin potente e facile da usare che ti consente di creare backup completi e archiviarli in modo sicuro.

Perché raccomandiamo Duplicator

Utilizziamo Duplicator su molti dei nostri siti web e lo abbiamo trovato la soluzione di backup WordPress più affidabile sul mercato. Con Duplicator, puoi:

Automatizza i backup pianificati — Impostalo e dimenticalo. Duplicator esegue automaticamente il backup del tuo sito a intervalli regolari.
Archivia i Backup nel Cloud — Salva i tuoi backup su Google Drive, Dropbox, Amazon S3 e altro.
Ripristino in 1 clic — Recupera rapidamente il tuo sito con un singolo clic se qualcosa va storto.

Per saperne di più, consulta la nostra recensione dettagliata di Duplicator. Oppure, se stai cercando alternative, puoi vedere la nostra selezione dei migliori plugin di backup per WordPress.

Riprendi il controllo della sicurezza del tuo sito web

Gestire le iniezioni di link spam può sembrare difficile, ma ricorda: non sei solo. Sia che tu scelga di affrontare il problema da solo o di assumere esperti, la cosa importante è affrontare il problema in modo rapido e completo.

La prevenzione è sempre meglio del controllo dei danni. Impostando adeguate misure di sicurezza e rimanendo vigili, puoi ridurre significativamente il rischio di futuri attacchi.

Pensala come un investimento nel futuro del tuo sito, uno che ti ripagherà in tranquillità e entrate protette.

Domande frequenti

Come faccio a sapere se il mio sito WordPress è stato infettato da link di spam?

Controlla Google Search Console per avvisi di sicurezza, cerca il tuo sito su Google usando site:tuodominio.com per individuare pagine sospette ed esegui una scansione con un plugin di sicurezza come Wordfence o Sucuri per rilevare codice dannoso.

Le iniezioni di link di spam possono danneggiare il mio posizionamento su Google?

Sì. Google potrebbe segnalare il tuo sito come compromesso o addirittura rimuoverlo temporaneamente dai risultati di ricerca. Ciò può causare un calo significativo del traffico organico e delle entrate fino alla risoluzione del problema.

È sicuro ripulire da solo un sito WordPress hackerato?

Se ti senti a tuo agio a lavorare con FTP, il tuo database e i plugin di sicurezza, puoi seguire una guida passo passo per ripulirlo da solo. Tuttavia, se non sei sicuro, assumere un esperto di sicurezza WordPress è l'opzione più sicura.

Come fanno gli hacker a iniettare link di spam in WordPress?

Gli hacker sfruttano tipicamente plugin obsoleti, password deboli o vulnerabilità note per ottenere l'accesso. Quindi iniettano codice dannoso nel tuo database, nei file del tema, nei file dei plugin o nei file core come .htaccess e wp-config.php.

Come posso prevenire le iniezioni di link di spam in futuro?

Mantieni aggiornati WordPress, temi e plugin, usa password forti e uniche, installa un firewall per applicazioni web come Cloudflare, esegui scansioni di sicurezza regolari e imposta backup automatici in modo da poter ripristinare rapidamente il tuo sito se necessario.

Risorse aggiuntive per la sicurezza di WordPress

Mantenere sicuro il tuo sito WordPress è essenziale per la crescita della tua attività. Qui abbiamo raccolto alcune risorse utili che puoi seguire per migliorare la sicurezza del tuo sito web:

Se ti è piaciuto questo articolo, iscriviti al nostro Canale YouTube per tutorial video su WordPress. Puoi trovarci anche su Twitter e Facebook.