🚫 WordPress-сайт взломали и отключили: пошаговый план восстановления

Хостер заблокировал сайт за рассылку спама, а админка не открывается. Паника знакома каждому, кто администрирует WordPress не первый год. Дальше, пошаговый план: от переговоров с техподдержкой до ручной очистки на локальном сервере.

Ситуация осложняется тем, что сайт физически отключен от сети. Вы не можете зайти в панель управления WordPress, запустить привычный сканер вроде Wordfence и нажать «очистить». Поэтому порядок действий здесь обратный: сначала возвращаем доступ, потом разбираем заразу.

💡 Быстрый обзор:

• Свяжитесь с хостером: попросите открыть сайт за HTTP-паролем и отключить отправку почты — это даст вам доступ для диагностики без риска повторной рассылки спама.
• Если хостер отказывается включать сайт обратно, поднимите копию локально через XAMPP или аналогичный стек, просканируйте плагинами безопасности и замените заражённые файлы чистыми версиями.
• После очистки смените ВСЕ пароли: FTP, базу данных, панель хостинга, учётные записи администраторов WordPress. Обновите ядро, темы и плагины до актуальных версий.
• Настройте базовую защиту: файрвол, ограничение попыток входа, двухфакторную аутентификацию. Проверьте собственный компьютер на вирусы, частый источник утечки паролей.

Почему хостер отключает взломанные сайты

Звучит жёстко: вы клиент, платите за хостинг, а сайт взяли и выключили. Но логика хостера простая и, если разобраться, разумная.

Взломанный WordPress-сайт делает две опасные вещи. Первое, рассылает спам через почтовый сервер хостинга. Тысячи писем уходят на случайные адреса, и почтовый IP попадает в чёрные списки. После этого ВСЕ клиенты этого сервера перестают доставлять письма, хостер получает лавину тикетов от невиновных пользователей.

Второе, сайт превращается в разносчик вредоносного кода. Посетителям подсовывают трояны, фишинговые формы или скрытый майнинг. Google замечает это в течение нескольких часов и вешает предупреждение «Этот сайт может угрожать вашей безопасности». После такого трафик падает до нуля, а выгребать сайт из чёрных списков поисковика, отдельная эпопея.

Хостер отключает заражённый сайт не чтобы наказать вас. Он защищает свою инфраструктуру и остальных клиентов. Договориться с ним можно, и это первый шаг.

Шаг 1: переговоры с хостером

Сразу после получения уведомления о блокировке пишите в техподдержку и предлагаете компромисс. Не требуйте «включить обратно и всё». Предложите конкретный план:

• Включить сайт за HTTP-паролем. Это стандартная функция Apache/Nginx, при заходе на сайт браузер запрашивает логин и пароль. Посетители и поисковики сайт не видят, а вы, видите и можете работать с админкой.
• Отключить почтовую функцию хостинга. Если спам шёл через PHP mail(), хостер может временно заблокировать отправку для вашего аккаунта. Риск повторной рассылки исчезает, хостеру спокойнее.

В большинстве случаев техподдержка идёт навстречу. Хостеру выгоднее, чтобы вы почистили сайт и остались клиентом, чем терять клиента и иметь мёртвый аккаунт на сервере.

Получили доступ под паролем, переходите к очистке (шаг 3). Не договорились, смотрите шаг 2.

Шаг 2: восстановление без доступа к сайту

Хостер отказывается включать сайт даже под паролем. Такое бывает с дешёвыми shared-тарифами или если ущерб от спама уже слишком велик. У вас три пути.

2.1. Локальная копия через XAMPP

Скачайте архив сайта через файловый менеджер хостинга (или запросите у техподдержки бэкап) и экспортируйте базу данных через phpMyAdmin. Разверните копию на локальном компьютере через XAMPP, LocalWP или Laragon.

Дальше стандартная процедура: установите Wordfence — это самый популярный бесплатный сканер с сигнатурами малвари и файрволом. Запустите полное сканирование, удалите найденные заражённые файлы или замените их оригиналами из свежего дистрибутива WordPress. Прогоните Sucuri Scanner для проверки целостности ядра. Очищенный сайт залейте обратно на хостинг.

Способ рабочий, но требует базового понимания, как устроен WordPress изнутри.

2.2. Список заражённых файлов от хостера

Попросите техподдержку прислать список файлов, которые детектятся как вредоносные. Часто хостеры используют ClamAV или аналог на стороне сервера и видят конкретные файлы. Получив список, скачайте эти файлы по FTP, откройте в редакторе и удалите подозрительные вставки, обычно это обфусцированный PHP-код в начале или конце файла.

Для файлов ядра WordPress и популярных плагинов проще не чистить вручную, а перезаписать оригинальными версиями из официального репозитория. После замены попросите хостера повторно проверить сайт и, если угроз нет, открыть доступ.

2.3. Специалист по безопасности

Если объём заражения большой, а времени разбираться нет, наймите профильного специалиста. Стоимость разовой очистки зависит от сложности: базовое сканирование и удаление малвари стоит в диапазоне от полутора до пяти сотен долларов. Сервисы вроде Sucuri предлагают пакет «Cleanup & Protect» с гарантией и годовым мониторингом.

Совет: перед обращением к специалисту всё равно запросите у хостера бэкап файлов и базы. Это ваши данные, хостер обязан их отдать.

Шаг 3: очистка сайта после получения доступа

Доступ к админке есть. Теперь методично проходим контрольный список.

Полный бэкап. Даже заражённый. Скопируйте все файлы через FTP и сделайте дамп базы данных. В процессе очистки можно случайно сломать то, что ещё работало, бэкап страхует от фатальных ошибок.

Сканирование. Установите Wordfence, бесплатная версия находит малварь по сигнатурам, проверяет файлы темы и плагинов на соответствие оригиналу из репозитория. Параллельно запустите Sucuri Scanner, он специализируется на проверке целостности ядра. Два сканера находят больше, чем один.

Смена паролей. Всех и сразу: учётные записи администраторов WordPress, FTP-доступ, пользователь базы данных MySQL, пароль от панели хостинга. Генерируйте длинные случайные пароли. Включите двухфакторную аутентификацию для админки, Wordfence умеет это из коробки.

Обновление. Поставьте последнюю версию WordPress, обновите все плагины и темы. Удалите неиспользуемые плагины, каждый из них это потенциальная точка входа.

Шаг 4: защита от повторного взлома

Очистили, теперь фиксируем, чтобы не повторилось через неделю.

• Файрвол на уровне сайта. Wordfence включает Web Application Firewall, который блокирует известные векторы атак ещё до того, как они достигнут WordPress. Бесплатной версии достаточно для нетиповых проектов.
• Ограничение попыток входа. Брутфорс, самый массовый способ взлома. Плагин вроде Limit Login Attempts Reloaded блокирует IP после 3-5 неудачных попыток.
• Регулярные обновления. Автообновление минорных версий WordPress включено по умолчанию, а для плагинов и тем настройте уведомления или используйте управляемый хостинг с автообновлением.
• Проверка ПК. Если пароль администратора утёк через троян на вашем компьютере, смена пароля на сервере не поможет. Прогоните антивирус (Malwarebytes, бесплатная версия справляется с большинством угроз) и проверьте браузерные расширения.

Отдельный момент: бэкапы. Настройте автоматическое резервное копирование, раз в сутки минимум. Плагин UpdraftPlus бесплатно льёт бэкапы на Google Drive, Dropbox или отдельный FTP. При следующем инциденте восстановите сайт за 10 минут, а не за вечер.

⁉️🤔 Частые вопросы

Обязан ли хостер отдавать бэкап взломанного сайта?

Файлы и база данных — это ваш контент, хостер не имеет права их удерживать. Техподдержка обязана предоставить архив даже с заблокированного аккаунта. На практике запрос через тикет-систему решает вопрос в течение суток.

Можно ли просто переустановить WordPress и залить бэкап?

Нет, потому что заражение часто живёт в базе данных или в папке uploads, а не только в файлах ядра. Простая переустановка и подстановка старой базы с высокой вероятностью вернёт инфекцию обратно. Нужно именно сканирование и чистка запущенного сайта.

Что делать, если Google пометил сайт как опасный?

После полной очистки зайдите в Google Search Console, найдите раздел «Безопасность и ручные меры» и запросите проверку. Google повторно просканирует сайт в течение 24-72 часов и снимет предупреждение. Аналогичная процедура есть в Bing Webmaster Tools.

Какие плагины безопасности ставить обязательно?

Минимальный набор на каждый сайт: Wordfence (файрвол + сканер) и Limit Login Attempts Reloaded (защита от брутфорса). Этого достаточно для защиты от массовых автоматических атак. Если сайт коммерческий, добавьте двухфакторную аутентификацию и мониторинг целостности файлов.

Поможет ли переход на управляемый хостинг?

Да, управляемые WordPress-хостинги (Kinsta, WP Engine, SiteGround) берут на себя значительную часть безопасности: серверный файрвол, автообновления, изолированные контейнеры. Это не отменяет базовые меры на уровне сайта, но снижает вероятность взлома и упрощает восстановление.

Сайт взломали и отключили: итоговый чек-лист

Порядок действий укладывается в четыре пункта. Договоритесь с хостером о доступе под паролем. Нет, поднимайте копию локально и сканируйте там. После очистки смените пароли и обновите всё до актуальных версий. Настройте файрвол, защиту от брутфорса и ежедневные бэкапы.

Если сайт коммерческий и простой дорог, рассмотрите переход на управляемый WordPress-хостинг или наймите специалиста для настройки эшелонированной защиты.

А как вы восстанавливали сайт после блокировки хостером? Поделитесь опытом в комментариях.