Un site compromis nu are o problemă de securitate, are o problemă de vizibilitate. Google marchează adresa, browserele afișează avertisment, iar revenirea durează săptămâni chiar după curățarea completă. În tot acel timp, traficul rămâne aproape de zero, indiferent cât de bine era optimizat site-ul înainte.
Pe scurt
- Ce este
- Măsurile care împiedică execuția de cod străin pe site și limitează efectele unei breșe.
- Cum intră atacatorii
- Aproape niciodată prin parolă: prin componente neactualizate și prin directoare unde se pot încărca fișiere executabile.
- Ce verificăm
- Drepturi pe directoare, versiuni, antete de securitate, politica de conținut, TLS, SPF, DKIM, DMARC, copii de siguranță.
- Legătura cu SEO
- Un site marcat ca nesigur dispare din rezultate și pierde încrederea vizitatorilor care au văzut avertismentul.
- Cost comparativ
- Prevenirea costă o fracțiune din curățare plus recuperarea pozițiilor.
Cum ajung site-urile compromise?
Aproape niciodată prin ghicirea parolei administratorului. Cele două căi obișnuite sunt o componentă cu vulnerabilitate cunoscută, lăsată neactualizată luni de zile, și un director în care se pot încărca fișiere și în care serverul acceptă să execute cod. Al doilea caz este mai frecvent decât pare, fiindcă multe instalări lasă drepturi prea largi pe directoarele de încărcare.
Am curățat site-uri unde fișierul lăsat de atacator era deghizat în modul al platformei, cu nume plauzibil și structură asemănătoare, tocmai ca să treacă neobservat la o privire rapidă. Într-un caz, prima curățare a fost incompletă fiindcă rădăcina site-ului rămăsese neprotejată, iar reinfectarea a venit din același loc în ziua următoare.
Ce verificăm concret
- Directoarele de încărcare: execuția de cod blocată explicit acolo unde utilizatorii pot pune fișiere.
- Versiunile componentelor, comparate cu lista publică de vulnerabilități cunoscute.
- Antetele de securitate: politica de conținut, tipul de conținut, încadrarea în cadre, politica de referință.
- Certificatul și configurarea TLS, inclusiv ce protocoale mai sunt acceptate.
- Înregistrările de email: SPF, DKIM și DMARC, fiindcă un domeniu care poate fi falsificat vă compromite reputația fără să vă atingă site-ul.
- Copiile de siguranță și, mai important, dacă se pot restaura. O copie netestată nu este o copie.
Fiecare dintre aceste verificări este explicată pe larg în articolele despre cum ajung site-urile infectate, despre politica de securitate a conținutului și despre SPF, DKIM și DMARC. Unealta cu care scanăm din exterior este descrisă la WPSecurity.ro.
Ce este politica de securitate a conținutului?
Este un antet prin care site-ul spune browserului din ce surse are voie să încarce scripturi, stiluri și imagini. Corect configurată, oprește execuția codului străin chiar dacă acesta ajunge cumva în pagină, ceea ce transformă o breșă gravă într-un incident minor. Configurarea cere atenție: o politică prea strictă poate opri funcții legitime, iar una scrisă pe amprente de fișiere se strică la fiecare modificare a codului.
Cum știu dacă site-ul meu a fost spart?
Semnele obișnuite: pagini noi în rezultatele Google pe care nu le-ați creat, adesea în altă limbă; avertisment în browser sau în Search Console; creștere bruscă a traficului către adrese inexistente; fișiere modificate recent, fără să fi publicat nimic. Verificați și dacă apar în rezultate căutări de tipul site:domeniul-dumneavoastra.ro cu pagini străine.
Cât durează recuperarea după o infectare?
Curățarea propriu-zisă durează de obicei una până la trei zile, în funcție de cât de adânc a ajuns codul. Ridicarea avertismentului din Search Console vine în câteva zile după cererea de reexaminare, dacă site-ul este curat. Revenirea pozițiilor durează însă săptămâni, uneori luni, iar aceasta este partea pe care nimeni nu o poate grăbi. De aceea prevenirea este singura strategie rezonabilă.