Nybörjarguide för att fixa din hackade WordPress-webbplats

Din WordPress-webbplats är hackad. Besökare kan se varningar, sidor kan omdirigeras till spam, och din verksamhet kan förlora trafik och försäljning för varje minut som går.

Den goda nyheten är att du kan återställa den. Nyckeln är att följa rätt ordning: begränsa intrånget, ta bort skadlig kod, återställ din webbplats och säkra den mot en ny attack.

Vi har hjälpt hundratals WordPress-användare att återställa hackade webbplatser, och vi har också hanterat säkerhetsproblem på våra egna webbplatser.

Idag använder angripare i allt högre grad AI för att hitta och utnyttja nyuppdaterade sårbarheter i WordPress-plugins, vilket gör snabba åtgärder viktigare än någonsin.

I den här guiden visar vi dig hur du åtgärdar din hackade WordPress-webbplats steg för steg, även om du aldrig har städat upp en hackning tidigare.

Snabbt svar: Begränsa först skadan utifrån WordPress, anlita sedan antingen en städtjänst eller radera servern och bygg om från rena filer.

Här är hela sekvensen, med varje steg förklarat nedan:

Steg 1. Begränsa skadan

Innan du rengör något, stoppa webbplatsen från att orsaka mer skada för dina besökare och ditt rykte.

Sätt din webbplats bakom en "snart här"-skärm utanför WordPress. Det enklaste sättet är Cloudflares kostnadsfria "Under Attack Mode", som utmanar varje besökare innan de når din webbplats.

Du kan också använda din värds kontrollpanels underhållsläge, eller tillfälligt peka bort din DNS.

Ändra därefter ditt WordPress adminlösenord och ditt hostingkontos lösenord omedelbart. Om du inte kan logga in alls, se vår guide om vad du ska göra när du är utelåst från WordPress admin.

Kontakta sedan din hostingleverantör innan du raderar filer, återställer en säkerhetskopia eller gör andra större ändringar på din webbplats. Din hostingleverantör kan kanske visa dig hur angriparen kom in och skanna din webbplats efter skadlig kod.

Ställ dem två frågor: "Hur tror du att angriparen fick åtkomst till webbplatsen?" och "Har du en nyligen gjord ren säkerhetskopia?" Den första kan hjälpa dig att identifiera sårbarheten som behöver åtgärdas, medan den andra talar om för dig om du har en säker återställningspunkt om webbplatsen behöver rullas tillbaka.

Dokumentera slutligen allt. Ta skärmdumpar av symptomen och notera datum, tid och exakt vad du ser.

Du behöver denna dokumentation för din värd, för en säkerhetsexpert om du anlitar en, och för att bekräfta att samma symptom är borta efter sanering.

Steg 2. Bestäm: Rengör en hackad webbplats själv eller anlita en säkerhetsexpert?

Det finns inget fel svar här.

Att anlita en professionell är det bättre valet om du inte är bekväm med att arbeta i filer och databaser, eller om du vill att det ska göras rätt första gången. Hackare gömmer bakdörrar, hemliga ingångspunkter som låter dem komma in igen senare, på platser som nybörjare sällan tänker på att leta.

En missad bakdörr innebär att hackningen kommer tillbaka.

För professionell sanering erbjuder både Wordfence och MalCare solida saneringstjänster. Ett annat alternativ vi rekommenderar är We Watch Your Website, som tillhandahåller grundlig WordPress-säkerhetssanering.

Du kan lära dig mer i vår guide om hur man anlitar en WordPress-säkerhetsexpert.

Om du bestämmer dig för att sanera det själv, följ resten av den här guiden.

Steg 3. Hitta var skadlig kod gömmer sig

Börja med en gratis fjärrskanning efter skadlig kod för att snabbt identifiera filer eller kod som kan behöva närmare granskning. Vi rekommenderar gratis Wordfence-plugin för detta, men behandla skannern som en assistent, inte ett domslut.

Kontrollera sedan dessa vanliga platser där WordPress-skadlig kod kan gömma sig:

• Falska filer som imiterar WordPress kärna. En enstaka wp-something.php i en mapp där den inte hör hemma, eller en andra kopia av wp-load.php.
• PHP-filer inuti /wp-content/uploads/. Uppladdningsmappen används normalt för bilder, dokument och andra medier, så PHP-filer i den här katalogen förtjänar omedelbar uppmärksamhet.
• Okända måste-använda plugins i /wp-content/mu-plugins/. Dessa plugins laddas automatiskt med WordPress och visas inte på den vanliga Plugins-sidan, vilket gör dem till en attraktiv plats för angripare att gömma skadlig kod.
• Nyligen ändrade filer. Öppna din värds filhanterare och sortera efter senast ändrat datum. Var särskilt uppmärksam på filer som ändrades ungefär när problemet började, särskilt om du inte gjorde de ändringarna själv.
• Skadlig kod i databasen. Infekterade rader kan orsaka omdirigeringar, spamsidor och upprepade infektioner även efter att filerna är rena.
• En manipulerad .htaccess-fil. Leta efter omdirigeringsregler som du inte har lagt till.
• Okända administratörs- eller FTP-användare. Ta bort alla konton du inte känner igen. Ett okänt konto kan ge en angripare en annan väg att komma åt din webbplats efter att du har rensat filerna.
• Hjälpprogram du inte har installerat. Plugin-program som WPCode, Code Snippets eller File Manager är säkra i sig, men hackare installerar dem ibland för att injicera kod. Om ett plugin-program dök upp utan att du installerade det, är det en varningsflagga.
• Misstänkta schemalagda uppgifter. Hackare använder WordPress cron-jobb för att återinfektera en webbplats på en timer.
• Ditt CDN-konto. Många webbplatser lagrar sina CDN API-nycklar inuti WordPress. En hackare kan använda dessa nycklar för att ändra filer på CDN-nivå och lägga till kortskimmare eller annan skadlig kod, så kontrollera din CDN-instrumentpanel för ändringar du inte har gjort.

För en djupare titt på den vanligaste gömstället, se vår guide om hur man hittar en bakdörr i WordPress och åtgärdar den.

Steg 4. Säkerhetskopiera den hackade webbplatsen först

Innan du börjar ta bort filer eller göra andra ändringar, skapa en fullständig säkerhetskopia av den hackade webbplatsen, inklusive både dess filer och databas.

Detta kan verka kontraintuitivt, men den här säkerhetskopian ger dig en ögonblicksbild av webbplatsen innan rensningen börjar. Om något går fel under processen kan du hänvisa tillbaka till den för att identifiera vad som har ändrats. Den kan också ge användbara bevis för din hosting-leverantör, säkerhetsexpert eller försäkringsbolag om du behöver dokumentera incidenten.

Märk denna säkerhetskopia tydligt som den infekterade kopian och håll den separat från alla rena säkerhetskopior du planerar att återställa. Du bör inte använda den för att sätta webbplatsen online igen.

Att ta detta extra steg ger dig en säkerhetsnät innan du börjar ta bort skadlig kod.

Steg 5. Rengör skadlig kod: Radera allt och bygg om rent

Den enda pålitliga rensningen är en fullständig radering. Ta bort allt från servern, vilket innebär alla WordPress-filer och allt annat i hosting-kontot, och bygg sedan om från kända rena källor.

En ominstallation av endast WordPress räcker inte. De flesta installerar WordPress i huvudmappen på sitt hosting-konto, men bakdörrar lever ofta helt utanför den, någon annanstans i kontot, i webbroten eller i ett cron-jobb.

Om du installerar om WordPress och lämnar resten av servern orörd, återinfekterar den bakdörren din nya installation.

Bygg om på det rena sättet:

• Ladda ner nya WordPress kärnfiler från WordPress.org.
• Ladda ner nya kopior av dina plugin-program och teman från deras officiella källor. Återanvänd aldrig de gamla filerna.
• Skapa en ny wp-config.php från grunden.

Först efter den fullständiga raderingen bör du återställa från en säkerhetskopia, och endast en som du är säker på föregår hacket. Även då, återställ endast ditt innehåll och din databas, inte de gamla körbara filerna.

Se vår handledning om hur man återställer WordPress från säkerhetskopia för detaljerna.

Återför ditt innehåll försiktigt. Lägg tillbaka uppladdningar och media först efter att ha kontrollerat dem för oönskade PHP-filer, och rensa manuellt eventuella injicerade rader om du återställer databasen.

En säkerhetsplugins automatiska rensningsfunktion kan hjälpa, och den tar bort kända infektioner på WordPress-nivå bra. Men den kanske inte fångar en server-nivå bakdörr som sitter utanför WordPress, vilket är anledningen till att torka och bygga om är den säkra standardinställningen.

Kör inte en skanner och anse det vara klart.

Steg 6. Återställ alla lösenord, nycklar och API-tokens

Ja, du ändrade dina lösenord i steg 1. Nu när webbplatsen är ren, gör det igen, och gå bredare, eftersom hackaren kan ha sett allt du skrev medan webbplatsen fortfarande var infekterad.

Återställ alla lösenord: WordPress admin-konton, hosting, FTP eller SFTP, databasen och alla e-postkonton som är anslutna till webbplatsen. Använd en lösenordshanterare så att var och en av dem är starka och unika.

Vår guide om det bästa sättet att hantera lösenord kan hjälpa. Om din webbplats har många användare kan du tvinga fram en lösenordsåterställning för dem alla.

Återgenerera sedan dina WordPress hemliga nycklar. Dessa nycklar, även kallade salter, finns i wp-config.php och säkrar inloggningskakorna.

Att återställa dem loggar ut alla som fortfarande har en kapad kaka, även efter att lösenorden har ändrats. Generera en ny uppsättning nycklar och klistra in dem i din wp-config.php, och vår artikel om WordPress säkerhetsnycklar förklarar var de finns.

Slutligen, rotera alla API-nycklar och tokens som webbplatsen använder. Detta säkerställer att alla inloggningsuppgifter som angriparen kan ha fått åtkomst till inte längre kan användas för att ansluta till dina tjänster.

Steg 7. Ta bort varningarna "Den här webbplatsen kan vara hackad"

Din webbplats är ren, men Google kan fortfarande varna folk bort från den. Den varningen försvinner inte av sig själv snabbt, så du måste begära en granskning.

Öppna Google Search Console och gå till rapporten Säkerhetsproblem. När du har åtgärdat alla flaggade problem, välj problemen och klicka på knappen Begär granskning.

Beskriv vad som var fel och vad du gjorde för att åtgärda det. Granskningar tar vanligtvis några dagar, och ibland längre.

Medan du väntar, kontrollera din webbplats på Google Safe Browsing för att se dess aktuella status, och håll webbplatsen online och ren. Upprepade granskningsförfrågningar med en infekterad webbplats saktar ner processen.

Steg 8. Håll WordPress säker så att det aldrig händer igen

Vidta nu några extra steg för att förhindra att hackaren kommer tillbaka in på din webbplats. Gör dessa i ordning, börja med de åtgärder som blockerar några av de vanligaste sätten angripare återfår åtkomst.

1. Inaktivera den inbyggda filredigeraren. Lägg till den här raden i din wp-config.php:

define('DISALLOW_FILE_EDIT', true);

Detta förhindrar att någon med åtkomst till WordPress-instrumentpanelen redigerar tema- och pluginfiler direkt. Det lägger till ett viktigt skyddslager om ett administratörskonto någonsin komprometteras.

Du kan också följa vår guide om hur du inaktiverar tema- och pluginredigerare i WordPress.

2. Stoppa PHP från att köras i din uppladdningsmapp. Även om en hackare smyger in en skadlig .php-fil i /wp-content/uploads/, gör den här regeln att servern vägrar att köra den.

På Apache, lägg till detta i en ny .htaccess-fil inuti uppladdningsmappen:

<Files *.php>
deny from all
</Files>

På Nginx, be din värd att lägga till den matchande platsregeln. Vår handledning om hur du inaktiverar PHP-körning i vissa WordPress-kataloger guidar dig igenom det.

3. Ta bort plugininstallationer helt från instrumentpanelen. Detta är den avancerade kontroll vi använder på våra egna webbplatser.

Om dina ändringar går igenom en driftsättningspipeline som Git, behöver du inte installera plugins från wp-admin alls. Lås det genom att lägga till define('DISALLOW_FILE_MODS', true); i wp-config.php och skicka alla kodändringar genom pipelinen.

Färdigställ sedan listan:

• Konfigurera automatiserade, externa säkerhetskopior med ett plugin som Duplicator. Om du hade en ren säkerhetskopia i steg 5 tog återuppbyggnaden minuter istället för dagar, så konfigurera detta idag. Här är hur du säkerhetskopierar din WordPress-webbplats.
• Installera en brandvägg eller ett säkerhetsplugin med kontinuerlig skanning efter skadlig kod.
• Aktivera starka lösenord och tvåfaktorsautentisering för varje konto.
• Begränsa inloggningsförsök och skydda ditt wp-admin-område.
• Ställ in korrekta fil- och mappbehörigheter.
• Uppdatera WordPress-kärnan, plugins och teman i den korrekta uppdateringsordningen, och ta bort allt du inte använder.
• Kör endast plugins och teman från betrodda källor. Använd aldrig nulled eller piratkopierade versioner, eftersom de ofta innehåller dold skadlig kod.

Vanliga frågor

Hur vet jag om min WordPress-webbplats har blivit hackad?

De vanliga tecknen är en varning i webbläsaren eller från Google på din webbplats, din webbplats omdirigerar besökare till konstiga webbplatser, skräppostlänkar eller sidor du inte har skapat, administratörsanvändare du inte känner igen, en plötslig trafikminskning, eller att din värd har stängt av kontot.

Hur raderar jag min WordPress-webbplats helt?

Säkerhetskopiera den infekterade webbplatsen först, radera sedan allt i hostingkontot, inte bara WordPress-mappen. Bygg om med nya WordPress-kärn-, plugin- och temafiler från officiella källor plus en ny wp-config.php, och återställ endast innehåll från en säkerhetskopia som föregår hackningen.

Tar Wordfence bort skadlig kod?

Gratispluginet Wordfence skannar efter skadlig kod och kan reparera ändrade kärnfiler, och betaltjänsten inkluderar manuell städning. Som alla skannrar fungerar den på WordPress-nivå, så en bakdörr någon annanstans på servern kan överleva den, och det är därför vi fortfarande rekommenderar en fullständig radering för allvarliga infektioner.

Vi hoppas att den här guiden hjälpte dig att åtgärda din hackade WordPress-webbplats och låsa den för gott. För att fortsätta bygga på detta, se vår kompletta WordPress-säkerhetsguide, eller om rensningen känns som för mycket, här är våra tips om att anställa en WordPress-säkerhetsexpert.