Come trovare e rimuovere l'iniezione di link spam in WordPress

Immagina questo: una mattina controlli le statistiche del tuo sito WordPress e qualcosa non va. Il tuo traffico è diminuito e scopri che il tuo sito è pieno di link spam che vendono di tutto, dalle borse firmate contraffatte a farmaci discutibili. 😱

Abbiamo visto questo accadere in prima persona sui siti web dei clienti. Infatti, abbiamo aiutato un cliente il cui sito web si è trasformato in un pasticcio pieno di spam dall'oggi al domani.

L'intera reputazione della loro attività era in gioco, ma siamo riusciti a ripulirlo, metterlo in sicurezza e riportarlo alla normalità – e ti mostreremo esattamente come fare lo stesso.

Copriremo tutto, dalla ricerca e risoluzione del problema alla protezione del tuo sito per il futuro.

In questa guida completa, ti illustreremo tutto ciò che devi sapere sulle iniezioni di link spam in WordPress.

Cosa sono le iniezioni di link spam e perché dovresti preoccupartene?

Gli hacker possono iniettare link spam nel tuo sito WordPress quando ottengono un accesso non autorizzato ai tuoi contenuti.

Pensala come graffiti digitali – solo che invece di essere solo brutti, possono danneggiare seriamente la reputazione e le prestazioni del tuo sito.

Quando il tuo sito viene infettato, non si tratta solo di fastidiosi link spam. I tuoi ranking sui motori di ricerca possono diminuire, facendoti perdere traffico prezioso e potenziali clienti.

Abbiamo visto alcune aziende perdere migliaia di entrate perché Google ha temporaneamente messo in blacklist i loro siti compromessi.

La parte peggiore? Molti di questi link sono invisibili ai visitatori normali ma perfettamente visibili ai motori di ricerca. Potrebbero essere nascosti in testo bianco, relegati nel tuo footer o mascherati da codice intelligente. 🕵️

Capire come funzionano questi attacchi è il primo passo per proteggere il tuo sito. In questa guida, ti mostreremo come ripulire il tuo sito web, passo dopo passo.

Iniziamo!

• Passaggio 1. Trovare link di spam
• Passaggio 2. Rimozione dei link di spam da WordPress
• Passaggio 3. Pulizia del database tramite Cerca e Sostituisci tutto
• Passaggio 4. Pulizia dei link di spam nei file del tema e dei plugin di WordPress
• Passaggio 5. Pulizia dei file critici
• Fase 6. Proteggere il tuo sito dopo la pulizia
• Riprendi il controllo della sicurezza del tuo sito web
• Risorse bonus: Sicurezza WordPress

Passaggio 1. Trovare link di spam

Ti guideremo attraverso il processo che utilizziamo per scoprire contenuti dannosi nascosti. Ci sono diversi modi per farlo, ma potresti voler provare tutti questi approcci in modo da non perderti nulla.

Opzione 1: Trovare link di spam utilizzando Google Search Console

Google Search Console è la tua prima linea di difesa nel rilevare link di spam. È uno strumento gratuito di Google che consente ai proprietari di siti di vedere come il loro sito web si sta comportando nei risultati di ricerca.

Fornisce tonnellate di informazioni e dispone di eccellenti strumenti diagnostici che ti aiutano a rilevare lo stato di salute del tuo sito su Google Search. Se non l'hai ancora configurato, consulta la nostra guida completa a Google Search Console.

Una volta configurato, ecco esattamente cosa devi fare.

Innanzitutto, accedi a Google Search Console e seleziona il tuo sito. Successivamente, naviga nella scheda 'Sicurezza e azioni manuali' nella barra laterale sinistra.

Qui, devi cercare eventuali avvisi relativi a "link innaturali" o "contenuti di spam".

Tieni presente che se vedi 'Nessun problema rilevato', ciò non significa necessariamente che il tuo sito web sia pulito. Potresti ancora avere link di spam che Google non ha ancora segnalato.

Successivamente, dovrai controllare il report 'Link' per identificare eventuali schemi sospetti.

Vorrai cercare domini o testi di link sospetti che appaiono in questi report. Per sospetto, intendiamo qualsiasi cosa provenga da un dominio che non riconosci e che non puoi verificare come credibile.

Opzione 2. Trovare link di spam con controllo manuale del sito

Gli hacker sono creativi nel nascondere le loro tracce. Recentemente abbiamo trovato link di spam nascosti nel sito di un cliente utilizzando testo invisibile che appariva solo selezionando l'intera pagina.

I nascondigli comuni includono piè di pagina, contenuti legittimi (specialmente post più vecchi), aree widget e file di template.

A volte puoi trovare link di spam controllando manualmente il codice sorgente del tuo sito web.

Presta particolare attenzione a qualsiasi codice che sembri codificato o confuso: è spesso un segnale d'allarme. 🚩

Un altro modo per localizzare questi link è esaminare i risultati di ricerca di Google per le pagine indicizzate sul tuo sito web.

Se il tuo sito è stato effettivamente iniettato con spam, potresti vedere link con strane meta descrizioni, pagine con parole chiave farmaceutiche o caratteri in lingua straniera quando esamini i risultati.

Il problema nel trovare questi link di spam sul tuo sito web è che rimuoverli o eliminarli non sempre funziona. Inoltre, questo processo può richiedere molto tempo.

Localizzare il codice dannoso che *causa* questi link di spam è più veloce ed efficace. Vedremo come farlo nella prossima sezione.

Opzione 3. Localizza codice dannoso e link utilizzando scanner di sicurezza

Plugin di sicurezza come Sucuri o Wordfence possono scansionare attivamente il tuo sito e rilevare problemi automaticamente.

Questi strumenti scansionano il tuo sito alla ricerca di file core modificati, schemi di codice sospetti, firme di malware note e modifiche non autorizzate ai file.

Pensali come le guardie di sicurezza del tuo sito, costantemente in pattuglia per attività sospette. Eseguire una scansione può aiutarti a trovare backdoor nascoste che gli hacker potrebbero aver lasciato sul tuo sito.

A seconda del plugin di sicurezza WordPress che stai utilizzando, avvia semplicemente una nuova scansione per cercare codice dannoso.

Ad esempio, se stai usando Wordfence, dovrai andare su Wordfence » Scan e fare clic sul pulsante 'Start New Scan'.

Questi plugin sono davvero bravi a rilevare le modifiche ai file e a cercare codice sospetto e dannoso.

Al rilevamento, ti mostreranno anche le azioni suggerite che puoi intraprendere per risolvere i problemi.

Per maggiori dettagli su questo processo, consulta la nostra guida per principianti su come scansionare il tuo sito WordPress per codice potenzialmente dannoso.

Passaggio 2. Rimozione dei link di spam da WordPress

Una volta trovati i link di spam o il codice dannoso che li inietta, il passo successivo è rimuoverli.

Se stai utilizzando un plugin di sicurezza per WordPress, questo potrebbe suggerirti automaticamente azioni per rimuovere tali link.

Tuttavia, a volte la rimozione o l'eliminazione di tali file non funziona e il tuo sito potrebbe continuare a mostrare link di spam.

Per una pulizia completa, dovrai utilizzare più strumenti e tecniche a seconda di come e dove sono inseriti il codice dannoso e i link.

Esamineremo questi strumenti e come utilizzarli nei passaggi successivi.

Passaggio 3. Pulizia del Database Utilizzando Search & Replace Everything

Ora che sai che il tuo sito web contiene link di spam, il passo successivo è ripulirli.

Potresti non aver trovato ogni singola istanza di questi fastidiosi link di spam. Ma se sai come sono fatti, è più facile rimuoverli in blocco.

È qui che Search & Replace Everything ti sarà utile.

È un potente plugin di ricerca per database WordPress che può cercare nell'intero database di WordPress per trovare qualsiasi testo corrispondente.

Semplicemente installa e attiva Search & Replace Everything, quindi vai alla pagina Strumenti » WP Search & Replace.

Devi inserire il link o il testo sospetto che hai trovato in precedenza nel campo 'Cerca'.

Successivamente, seleziona le tabelle del database in cui cercare.

Ora, fai semplicemente clic sul pulsante 'Anteprima ricerca e sostituzione' per eseguire la ricerca.

Il plugin cercherà il termine che hai inserito nel tuo database di WordPress e ti mostrerà un'anteprima dei risultati.

Il plugin ti mostrerà quindi dove appaiono quei link. Potrebbero trovarsi all'interno di articoli o pagine, commenti o altre aree del tuo sito web.

Puoi anche ripulire i link sospetti utilizzando Search & Replace Everything. Individua il testo esatto utilizzato per inserire il link e sostituiscilo con una stringa vuota.

ℹ️ Per maggiori dettagli, puoi consultare il nostro tutorial su come eseguire ricerca e sostituzione in WordPress.

Passaggio 4. Pulizia dei link di spam nei file del tema e dei plugin di WordPress

Se non riesci a individuare i link di spam nel tuo database di WordPress, è molto probabile che i link siano stati aggiunti ai file del tuo tema o dei tuoi plugin di WordPress.

Oggi, la maggior parte dei temi e dei plugin moderni di WordPress viene fornita con diversi file, e sarebbe difficile per te controllarli manualmente uno per uno.

Se stai utilizzando solo pochi plugin, la soluzione più semplice sarebbe eliminarli. Puoi farlo andando su Plugin » Plugin installati. Nel menu a discesa 'Azioni di massa', seleziona 'Elimina' e poi 'Applica'.

Dopodiché, puoi scaricare copie fresche di quei plugin e installarli sul tuo sito web. Per i dettagli, consulta il nostro tutorial su come disinstallare correttamente un plugin WordPress.

Successivamente, dovrai fare lo stesso per il tuo tema WordPress. Tuttavia, tieni presente che quando elimini il tuo tema WordPress attuale, potresti perdere le impostazioni del tema e doverlo configurare nuovamente come era.

Innanzitutto, devi installare un tema WordPress predefinito. Consulta il nostro tutorial su come installare un tema WordPress per le istruzioni.

I temi WordPress predefiniti sono temi ufficiali di WordPress. Di solito hanno nomi basati sull'anno in cui sono stati rilasciati, come Twenty Twenty-Five, Twenty Twenty-Four, e così via.

⚠️ Nota importante: Se hai già installato un tema predefinito, non puoi usarlo, poiché potrebbe essere anch'esso compromesso. Dovrai installare un nuovo tema predefinito.

Una volta installato un nuovo tema predefinito, devi attivarlo.

Dopo aver attivato il tema predefinito, WordPress ti permetterà di eliminare tutti i temi inattivi.

Puoi fare clic sul tuo tema precedente ed eliminarlo dal tuo sito web.

Dopo aver eliminato il tuo tema, dovrai scaricare una nuova copia da dove l'hai presa e poi installarla.

La sostituzione di file di temi e plugin con copie fresche garantisce che stai lavorando con codice pulito ed elimina eventuali file modificati che potrebbero contenere malware.

Passaggio 5. Pulizia dei file critici

La tua installazione di WordPress ha diversi file critici che gli hacker amano prendere di mira. Il file .htaccess è particolarmente vulnerabile agli attacchi di reindirizzamento.

Fortunatamente, WordPress può rigenerare da solo il file .htaccess. Quindi, puoi semplicemente connetterti al tuo sito web utilizzando un client FTP ed eliminare il file .htaccess, che si trova nella cartella principale del tuo sito web.

Se vuoi verificare che il tuo file .htaccess si sia rigenerato correttamente, consulta la nostra guida su come correggere il file .htaccess di WordPress.

Il file wp-config.php è un altro file critico di WordPress che gli hacker prendono comunemente di mira.

Puoi scaricare una copia del tuo file wp-config.php esistente come backup sul tuo computer utilizzando FTP.

Quindi, dovrai andare su WordPress.org e scaricare una copia fresca di WordPress sul tuo computer.

Decomprimi il file e al suo interno troverai il file wp-config-sample.php.

Successivamente, dovrai caricare il file wp-config-sample.php sul tuo sito web utilizzando FTP.

Una volta caricato, puoi rinominarlo come wp-config.php.

Tuttavia, il file wp-config non funzionerà, poiché non contiene alcune informazioni importanti necessarie per connettersi al tuo database WordPress. Queste includono il tuo:

• Nome del database
• Nome utente e password del database
• Host del database
• Prefisso delle tabelle del database

Puoi copiare queste informazioni dal vecchio file wp-config che hai scaricato in precedenza come backup. Una volta aggiunte le informazioni, devi salvare e caricare le tue modifiche.

Per maggiori dettagli, consulta il nostro tutorial che spiega come modificare il file wp-config.php in WordPress.

Fase 6. Proteggere il tuo sito dopo la pulizia

Ora che il tuo sito è pulito, assicuriamoci che rimanga tale! 🛡️ La sicurezza non è un'azione una tantum, è un processo continuo che richiede attenzione e manutenzione.

Cambia Tutte le Tue Password

Il tuo primo compito di sicurezza è cambiare ogni singola password associata al tuo sito.

Questi includono account di amministrazione di WordPress, credenziali FTP, password del database, accesso al pannello di controllo dell'hosting e qualsiasi account email collegato al tuo sito web.

Configurazione Plugin Firewall & Sicurezza

Utilizzare un firewall e un buon plugin di sicurezza è come avere un team di sicurezza professionale per il tuo sito web.

Ti consigliamo di utilizzare questi strumenti:

• Firewall per applicazioni web (Cloudflare è il nostro preferito.)
• Monitoraggio dell'integrità dei file (Ci piacciono sia Sucuri che Wordfence.)

☝ Articolo correlato: Confronto dei migliori plugin firewall per WordPress

Imposta backup automatici

Una volta che il tuo sito è pulito, il passo successivo è assicurarti di non perdere mai più il tuo duro lavoro. Backup regolari possono salvarti da grossi mal di testa se il tuo sito viene hackerato, va in crash o subisce una perdita accidentale di dati.

Ti consigliamo di utilizzare Duplicator per impostare backup automatici per il tuo sito WordPress. È un plugin potente e facile da usare che ti consente di creare backup completi e archiviarli in modo sicuro.

Perché consigliamo Duplicator:

Utilizziamo Duplicator su molti dei nostri siti web e lo abbiamo trovato la soluzione di backup WordPress più affidabile sul mercato. Con Duplicator, puoi:

• ✅ Automatizza i backup pianificati – Imposta e dimentica. Duplicator esegue automaticamente il backup del tuo sito a intervalli regolari.
• ☁️ Archivia i backup nel cloud – Salva i tuoi backup su Google Drive, Dropbox, Amazon S3 e altri.
• 🔄 Ripristina in 1 clic – Recupera rapidamente il tuo sito con un singolo clic se qualcosa va storto.

Per saperne di più, consulta la nostra recensione dettagliata di Duplicator. Oppure, se stai cercando alternative, puoi vedere la nostra selezione dei migliori plugin di backup per WordPress.

Riprendi il controllo della sicurezza del tuo sito web

Gestire le iniezioni di link spam può sembrare difficile, ma ricorda: non sei solo. Sia che tu scelga di affrontare il problema da solo o di assumere esperti, l'importante è risolvere il problema in modo rapido e completo.

Ma ricorda che la prevenzione è sempre meglio del controllo dei danni. Impostando adeguate misure di sicurezza e rimanendo vigili, puoi ridurre significativamente il rischio di futuri attacchi.

Pensala come un investimento nel futuro del tuo sito: uno che ti ripagherà in tranquillità e entrate protette.

Non lasciare che gli hacker prendano in ostaggio il tuo sito: agisci oggi stesso! 💪

Risorse bonus: Sicurezza WordPress

Mantenere sicuro il tuo sito WordPress è essenziale per la crescita della tua attività. Qui abbiamo raccolto alcune risorse utili che puoi seguire per migliorare la sicurezza del tuo sito web:

• Guida per principianti per riparare il tuo sito WordPress hackerato
• Come eseguire un audit di sicurezza di WordPress (checklist completa)
• Come ho bloccato 18.000 attacchi di spam ai lead nel mio modulo WordPress
• La guida definitiva alla sicurezza di WordPress – Passo dopo passo
• Come prevenire gli attacchi di SQL injection su WordPress
• Come impedire a WordPress di reindirizzare a siti web di spam
• Come proteggere il tuo sito WordPress dagli attacchi brute force
• Suggerimenti vitali per proteggere la tua area di amministrazione di WordPress
• Come reimpostare le password per tutti gli utenti in WordPress

Se ti è piaciuto questo articolo, iscriviti al nostro canale YouTube per tutorial video su WordPress. Puoi anche trovarci su Twitter e Facebook.