Min webbplats är hackad: steg för steg

En hackad webbplats är tråkigt, men med en fast plan för hur du går tillväga får du den ren igen och förhindrar att det händer igen. Det viktigaste: det räcker inte att bara återställa en säkerhetskopia. Om du inte vet hur inkräktaren tog sig in står dörren fortfarande öppen.

Hur märker du att din webbplats är hackad?

• Besökare hamnar på en annan webbplats, ofta bara från Google eller bara på en mobil.
• Google visar Den här webbplatsen kan vara hackad vid din webbplats, eller så visas konstiga sidor från din domän i sökresultaten.
• Din webbläsare eller virusskanner varnar för din egen webbplats.
• Det finns filer eller administratörer i WordPress som du inte känner igen.
• Du får en varning från oss, eller så har Imunify360 hittat skadlig kod.
• Din e-postlåda skickar skräppost, eller så når du plötsligt sändningsgränsen (se Vad du ska göra om din e-postadress har missbrukats).

Steg 1: håll dig lugn och dokumentera

Släng inte bort allt direkt. Anteckna vad du ser, när det började och ta skärmdumpar. Den informationen behöver du senare för att hitta orsaken, och det gör vi också om du ber om hjälp.

Steg 2: byt alla lösenord

Utgå från att en inkräktare känner till ett lösenord. Byt dem alla, helst från en annan dator än den du vanligtvis använder, ifall den är infekterad:

1. Lösenordet till Mitt WebOké. Den extra koden vid inloggning är alltid aktiverad där; vill du använda en autentiseringsapp istället för kod via e-post, ställ in det under Min administration och Inloggningsuppgifter.
2. Ditt DA-lösenord (se Ditt DA-lösenord ställa in eller ändra). Det gäller även standardkontot för FTP.
3. Lösenorden för extra FTP-konton (se Skapa och hantera FTP-konton). Ta bort konton du inte längre använder.
4. Alla administratörer i WordPress eller ditt andra CMS. Ta bort administratörer du inte känner igen.
5. Lösenordet för databasanvändaren (se Databasanvändare, behörigheter och lösenord). Uppdatera det sedan även i webbplatsens konfigurationsfil, till exempel wp-config.php.
6. Skickar en e-postlåda skräppost? Byt då även det lösenordet (se Lösenordet för en e-postadress ändra).

Aktivera sedan Tvåstegsautentisering i DirectAdmin (se Tvåstegsautentisering konfigurera).

Steg 3: skanna med Imunify360

Öppna Imunify360 Plugin under Extrafunktioner i DirectAdmin. Där ser du vilka filer som hittats infekterade, och du kan låta skanna ditt paket på nytt. Hur det fungerar och vad meddelandena betyder kan du läsa i Imunify360: skanna din webbplats efter skadlig kod.

Steg 4: ta reda på hur inkräktaren kom in

De vanligaste orsakerna, från vanligast till mest sällsynt:

1. Föråldrad programvara. En gammal version av WordPress, en plugin eller ett tema med en känd sårbarhet. Kontrollera i Installatron eller i WordPress vilka delar som är föråldrade (se Uppdateringar och automatiska uppdateringar).
2. En plugin eller ett tema från en opålitlig källa. Gratisversioner av betalda plugins (nulled) innehåller ofta medvetet en bakdörr.
3. Ett läckt eller svagt lösenord. Titta i Inloggningshistorik för att se vem som loggade in i DirectAdmin och när (se Inloggningshistorik: vem loggade in och när?).
4. En infekterad dator där FTP-lösenord är sparade.

Praktiska ställen att söka på:

• I Filhanterare sorterar du efter ändringsdatum. Filer som ändrats vid samma tidpunkt, särskilt i mappar för uppladdningar, förtjänar extra uppmärksamhet.
• I åtkomstloggen under Webbplatssammanfattning & loggar ser du vilka adresser som anropas ofta, ofta med POST-förfrågningar till en enda fil (se Webbplatssammanfattning och loggar: felloggen och åtkomstloggen).

Steg 5: rensa upp eller återställ en ren säkerhetskopia

Du har två alternativ:

• Återställa en säkerhetskopia från innan hacket. Med WebOké Backups i Mitt WebOké väljer du själv en tidpunkt från de senaste 30 dagarna (se Kan jag göra det här i Mitt WebOké? WebOké Backups). Välj en tidpunkt från innan de första konstiga filerna dök upp. Uppdatera allt direkt efteråt (steg 6), eftersom sårbarheten även finns i säkerhetskopian.
• Rensa upp själv. Låt Imunify360 rensa de infekterade filerna, ta bort okända filer och installera om WordPress och alla plugins från den officiella källan.

Obs: Vid tveksamhet, välj först Som kopia bredvid det nuvarande i WebOké Backups. Då ändras inget i det som finns nu, och du kan lugnt jämföra.

Steg 6: uppdatera allt och städa upp

• Uppdatera WordPress (eller ditt andra CMS), alla plugins och teman till den senaste versionen.
• Ta bort plugins och teman du inte använder. Även inaktiverade plugins kan innehålla en sårbarhet.
• Ta bort gamla kopior och testinstallationer i undermappar.
• Använd en aktuell PHP-version (se PHP-versionen välja (Select PHP version)).

Steg 7: efterarbete

• Visar Google en varning? Begär en ny granskning i Google Search Console efter att du rensat upp.
• Har din e-postlåda skickat skräppost? Läs Vad du ska göra om din e-postadress har missbrukats och Verzenden geweigerd: blacklists en limieten.
• Håll Brandvägg för webbapplikationer aktiverad (se Brandvägg för webbapplikationer).
• Kontrollera Imunify360 och din lista med WordPress-administratörer då och då under de kommande veckorna.

Behöver du hjälp?

Kommer du inte vidare, eller handlar det om en webbshop med kunduppgifter? Skapa då ett ärende och berätta vad du redan har gjort (se Be om hjälp: vad behöver du skicka till supporten?). Om det rör personuppgifter kan du behöva anmäla en dataincident till relevant tillsynsmyndighet.