Strona została wyczyszczona, przez chwilę działała poprawnie, a potem problem wrócił. Zanim zamówisz kolejne skanowanie, ustal, co dokładnie powróciło: złośliwy plik, nieautoryzowana zmiana czy ostrzeżenie widoczne poza stroną. To trzy różne punkty wyjścia do diagnozy.
Jeśli to pierwsza blokada, zacznij od poradnika co zrobić, gdy hosting zablokował WordPress przez malware. Tutaj skupiam się na sytuacji po wcześniejszym czyszczeniu.
Czy to nowa infekcja, czy nadal widoczne ostrzeżenie
Zapisz godzinę zakończenia naprawy i moment ponownego wykrycia problemu. Poproś hosting o aktualny raport, nie tylko kopię poprzedniego zgłoszenia. Dokumentowanie objawów i czasu zdarzeń zaleca również oficjalny poradnik WordPress po włamaniu.
Pomocne pytania do wykonawcy:
- Czy plik rzeczywiście powstał ponownie po czyszczeniu?
- Czy obecny raport wskazuje tę samą ścieżkę i ten sam kod?
- Czy problem występuje teraz na stronie, czy tylko w ostrzeżeniu wyszukiwarki?
- Czy zachowano kopię stanu i logi sprzed kolejnych zmian?
Samo ostrzeżenie nie rozstrzyga, że naprawa się nie udała. Potrzebny jest aktualny dowód, który można porównać ze stanem po czyszczeniu.
Usunięcie objawu to nie ustalenie drogi wejścia
Raport powinien rozdzielać dwie odpowiedzi: co usunięto i dlaczego atakujący mógł to zmienić. Przykładowo wykryty plik i podatny komponent to nie ten sam element incydentu. Jeśli źródła nie udało się potwierdzić, wykonawca powinien zaznaczyć tę niepewność.
WordPress zaleca analizę sposobu włamania oraz przegląd dostępów. Przy przejęciu strony trzeba uwzględnić nie tylko konto administratora, lecz także dostęp do hostingu i plików. Zmianę danych dostępowych wykonuje się w kontrolowany sposób, z zaufanego urządzenia; nowe hasło nie zastępuje usunięcia infekcji.
Czysty wynik skanera ma określony zakres
Zapytaj, co obejmował skan i czego nie sprawdzał. „Nie znaleziono zagrożeń” jest wynikiem konkretnego testu, a nie certyfikatem bezpieczeństwa całego środowiska.
Dokumentacja Wordfence wyjaśnia, że część problemów wymaga ręcznej analizy, w tym zmian w bazie danych lub pozostawionych mechanizmów dostępu. Wskazuje też ryzyko przenoszenia infekcji między aplikacjami, które nie są odpowiednio odizolowane na wspólnym koncie hostingowym.
Dlatego ustal, czy wykonawca sprawdził wyłącznie jedną instalację, czy także jej otoczenie. Infekcja witryny nie jest jednak automatycznie dowodem przejęcia całego serwera.
Jak ocenić propozycję kolejnej naprawy
Przed rozpoczęciem prac poproś o jasny zakres. Powinien wskazywać materiał zachowany do diagnozy, obszary kontroli, plan przywrócenia działania i sposób sprawdzenia efektu. Dla sklepu osobno ustal ochronę bieżących zamówień i danych operacyjnych.
Dobre pytanie brzmi: „Co tym razem sprawdzimy poza miejscem, które było już czyszczone?”. Odpowiedź pozwoli ocenić, czy zakres wynika z nowych ustaleń, czy powtarza poprzednią czynność bez dodatkowej diagnozy.
Nie akceptuj obietnicy, że jedna wtyczka lub pojedynczy skan zapewnią brak infekcji na zawsze. Takiej gwarancji nie daje także sam powrót strony do działania.
Po naprawie potrzebny jest plan utrzymania
Podręcznik zabezpieczania WordPressa traktuje bezpieczeństwo jako ograniczanie ryzyka i możliwych szkód. Obejmuje ono aktualizacje, rozsądne uprawnienia, zaufane źródła oprogramowania i kopie zapasowe.
Ustal, kto odpowiada za te czynności po zakończeniu zlecenia. W ramach opieki i rozwoju strony warto mieć określony zakres kontroli oraz sposób zgłaszania nowych nieprawidłowości.
Zgłoś powracający problem
Przygotuj adres strony, aktualny komunikat hostingu, datę poprzedniego czyszczenia i opis ponownego objawu. Nie wysyłaj haseł w pierwszej wiadomości.
Odwirusowanie WordPress i usuwanie malware zaczynam od ustalenia zakresu problemu. Opisz, co wraca po czyszczeniu - na tej podstawie określę, jakie informacje i dostępy będą potrzebne do diagnozy.