Как сайты заражаются
Чаще всего причина банальна: устаревшая система управления или плагин с известной уязвимостью, слабый или украденный пароль, заражённый компьютер сотрудника, небезопасный хостинг. Вредоносный код может размещать спам-страницы, перенаправлять посетителей на чужие сайты, красть данные или использовать сервер для рассылок. Часто владелец узнаёт о проблеме не сам, а от поисковой системы.
Признаки заражения
| Признак | Где заметно | Что проверить |
|---|---|---|
| Предупреждение об опасном сайте в выдаче или браузере | Поиск, браузер посетителей | Уведомления в панелях вебмастеров |
| Резкое падение трафика и позиций | Аналитика, панели вебмастеров | Сопоставить дату с изменениями на сайте |
| Неизвестные страницы с чужим содержимым | Выдача по оператору сайта | Поиск по сайту операторами |
| Перенаправление посетителей на чужие сайты | Жалобы пользователей, особенно с телефонов | Открыть сайт с телефона и из поиска |
| Незнакомые файлы и пользователи | Файлы на сервере, административная панель | Дата изменения файлов, список учётных записей |
| Уведомление от хостинга или блокировка | Письма, панель хостинга | Сообщение хостинга |
Что происходит в поиске
- Поисковая система может добавить предупреждение к результатам сайта или показывать страницу-предупреждение при переходе.
- Позиции снижаются, часть страниц исключается из выдачи.
- В индекс попадают спам-страницы, созданные злоумышленниками.
- В панелях вебмастеров появляется раздел с угрозами и примерами найденных страниц.
Порядок лечения
- Ограничьте ущерб. Включите режим технических работ с кодом 503, чтобы не показывать посетителям заражённые страницы: как настроить 503. Сохраните копию файлов и базы данных для анализа.
- Найдите точку входа. Изучите журналы, недавно изменённые файлы, список пользователей, версии системы и плагинов.
- Очистите сайт. Удалите вредоносный код и лишние файлы либо восстановите сайт из чистой копии, сделанной до заражения: резервное копирование.
- Закройте уязвимость. Обновите систему и плагины, удалите ненужные, смените все пароли и ключи (сайт, база данных, хостинг, почта), включите двухфакторную защиту.
- Запросите повторную проверку в панели вебмастера, когда сайт очищен.
# файлы, изменённые за последние семь дней
find /path/to/site -type f -mtime -7 -name "*.php"
# подозрительные функции в коде
grep -R "base64_decode" --include="*.php" /path/to/siteКоманды помогают найти недавние изменения и типичные приёмы маскировки кода, но не заменяют полного анализа: если вы не уверены, привлеките специалиста по безопасности или службу поддержки хостинга.
Возврат в выдачу
- После очистки проверьте, что вредоносные страницы возвращают 404 или 410 и исчезнут из поиска: как убрать страницу из поиска.
- Проверьте карту сайта и удалите из неё лишние адреса.
- Следите за индексацией и позициями в течение нескольких недель: наблюдение за индексацией.
- Если были массовые ошибки сервера, разберите их: ошибки 5xx.
Профилактика
- Регулярно обновляйте систему управления, темы и плагины и удаляйте неиспользуемые: модули CMS.
- Используйте сложные пароли и двухфакторную защиту.
- Делайте резервные копии по расписанию и проверяйте их восстановление.
- Настройте мониторинг доступности и оповещения: мониторинг доступности.
- Подключите сайт к панелям вебмастеров: они первыми сообщают об угрозах.
Не откладывайте. Чем дольше сайт остаётся заражённым, тем сильнее падает доверие поисковых систем и посетителей. Про проверку исходящих ссылок — в статье проверка исходящих ссылок на актуальность, а о безопасных заголовках — в статье заголовки безопасности и доступность для роботов.
Частые вопросы
Как понять, что сайт заражён?
По предупреждениям в выдаче и браузере, уведомлениям в панелях вебмастеров, падению трафика, неизвестным страницам и перенаправлениям на чужие сайты.
С чего начинать лечение?
Ограничить ущерб и сохранить копию для анализа, затем найти источник заражения, очистить сайт, закрыть уязвимость и сменить пароли.
Как вернуть сайт в выдачу после очистки?
Убедиться, что вредоносных страниц нет или они отвечают 404 либо 410, запросить повторную проверку в панели вебмастера и наблюдать за индексацией несколько недель.
Готовый адрес можно собрать прямо сейчас: откройте генератор ЧПУ — он транслитерирует фразу по таблице Яндекса, уберёт служебные слова и покажет длину адреса.