Min hjemmeside er hacket: trin for trin plan

En hacket hjemmeside er irriterende, men med en fast plan får du den rengjort igen og forhindrer, at det sker igen. Det vigtigste: det er ikke nok bare at gendanne en backup. Hvis du ikke ved, hvordan indbrudstyven kom ind, står døren stadig åben.

Hvordan opdager du, at din side er hacket?

• Besøgende havner på en anden hjemmeside, ofte kun fra Google eller kun på en telefon.
• Google viser Denne side kan være blevet hacket ved din side, eller der dukker mærkelige sider fra dit domæne op i søgeresultaterne.
• Din browser eller virusscanner advarer om din egen side.
• Der er filer eller administratorer i WordPress, som du ikke kender.
• Du får en besked fra os, eller Imunify360 har fundet malware.
• Din mailboks sender spam, eller du rammer pludselig afsendelsesgrænsen (se Hvad gør du, hvis din e-mailadresse er blevet misbrugt).

Trin 1: bevar roen og registrer

Smid ikke straks alt væk. Noter, hvad du ser, hvornår det begyndte, og tag skærmbilleder. Den information får du brug for senere til at finde årsagen, og det gør vi også, hvis du beder om hjælp.

Trin 2: skift alle adgangskoder

Gå ud fra, at en indbrudstyv kender en adgangskode. Skift dem alle, helst fra en anden computer end den, du normalt bruger, i tilfælde af at den er inficeret:

1. Adgangskoden til Mit WebOké. Den ekstra kode ved login er altid slået til der; vil du i stedet for koden via e-mail have en authenticator-app, så indstil den under Min administration og Loginoplysninger.
2. Din DA-adgangskode (se Dit DA-adgangskode indstilles eller ændres). Det gælder også standard FTP-kontoen.
3. Adgangskoderne til ekstra FTP-konti (se FTP-konti: opret og administrer). Slet konti, du ikke længere bruger.
4. Alle administratorer i WordPress eller dit andet CMS. Slet administratorer, du ikke kender.
5. Adgangskoden til databasebrugeren (se Databasebrugere, rettigheder og adgangskoder). Tilpas den bagefter også i konfigurationsfilen til din hjemmeside, som wp-config.php.
6. Sender en mailboks spam? Skift så også den adgangskode (se Adgangskoden til en e-mailadresse ændre).

Slå derefter To-trins godkendelse til i DirectAdmin (se Sådan opsætter du Totrinsbekræftelse).

Trin 3: scan med Imunify360

Åbn i DirectAdmin under Ekstra funktioner Imunify360 Plugin. Der kan du se, hvilke filer der er fundet inficerede, og du kan få din pakke scannet igen. Hvordan det fungerer, og hvad meldingerne betyder, kan du læse i Imunify360: scan din hjemmeside for malware.

Trin 4: find ud af, hvordan indbrudstyven kom ind

De mest almindelige årsager, fra hyppige til sjældne:

1. Forældet software. En gammel version af WordPress, en plugin eller et tema med et kendt sikkerhedshul. Tjek i Installatron eller i WordPress, hvilke dele der halter bagefter (se Opdateringer og automatiske opdateringer).
2. En plugin eller et tema fra en upålidelig kilde. Gratis versioner af betalte plugins (nulled) indeholder ofte bevidst en bagdør.
3. En lækket eller svag adgangskode. Se under Loginhistorik, hvem der loggede ind i DirectAdmin, og hvornår (se Loginhistorik: hvem loggede ind hvornår?).
4. En inficeret computer, hvor FTP-adgangskoder er gemt.

Praktiske steder at lede:

• I Filhåndtering sorterer du efter ændringsdato. Filer, der er ændret på samme tidspunkt, især i mapper til uploads, fortjener opmærksomhed.
• I adgangsloggen under Oversigt og logs for websted kan du se, hvilke adresser der bliver kaldt hyppigt, ofte med POST-forespørgsler til én fil (se Oversigt og logs for websted: fejlloggen og adgangsloggen).

Trin 5: rens op eller gendan en ren backup

Du har to muligheder:

• Gendan en backup fra før hacket. Med WebOké Backups i Mit WebOké vælger du selv et tidspunkt fra de seneste 30 dage (se Kan det også lade sig gøre i Mit WebOké? WebOké Backups). Vælg et tidspunkt, før de første mærkelige filer dukkede op. Opdater alt med det samme bagefter (trin 6), for sikkerhedshullet findes også i backuppen.
• Rens selv op. Lad Imunify360 rense de inficerede filer, slet ukendte filer, og sæt WordPress og alle plugins op igen fra den officielle kilde.

Bemærk: Vælg i tvivlstilfælde først Som kopi ved siden af det nuværende i WebOké Backups. Så ændres der ikke noget ved det, der findes nu, og du kan roligt sammenligne.

Trin 6: opdater og ryd op i alt

• Opdater WordPress (eller dit andet CMS), alle plugins og temaer til den nyeste version.
• Slet plugins og temaer, du ikke bruger. Også deaktiverede plugins kan indeholde et sikkerhedshul.
• Slet gamle kopier og testinstallationer i undermapper.
• Brug en aktuel PHP-version (se Sådan vælger du PHP-version (Select PHP version)).

Trin 7: efterbehandling

• Viser Google en advarsel? Anmod om en ny vurdering i Google Search Console, når oprydningen er klar.
• Har din mailboks sendt spam? Læs Hvad gør du, hvis din e-mailadresse er blevet misbrugt og Verzenden geweigerd: blacklists en limieten.
• Lad Webapplikationsfirewall (WAF) være slået til (se Webapplikationsfirewall (WAF)).
• Tjek i de kommende uger Imunify360 og din liste over WordPress-administratorer med jævne mellemrum.

Brug for hjælp?

Kan du ikke løse det selv, eller drejer det sig om en webshop med kundedata? Opret så en sag og fortæl, hvad du allerede har gjort (se Bed om hjælp: hvad giver du support?). Drejer det sig om persondata, skal du muligvis anmelde et databrud til Datatilsynet.