SEO spam hack: jak znaleźć i usunąć wstrzyknięte strony w WordPressie

SEO spam hack oznacza, że ktoś włamał się do Twojego WordPressa i zapchał go spamerskimi stronami, linkami albo tekstem. Rozwiązanie w skrócie: znajdź każdą wstrzykniętą stronę, usuń ją, zamknij lukę, przez którą wszedł atakujący, a potem poproś o weryfikację w Google Search Console. Jak zwykle właściciele się o tym dowiadują? Najczęściej widzą w Google dziwne adresy pod swoją domeną albo dostają ostrzeżenie w Search Console. Całe sprzątanie odbywa się na Twojej instalacji WordPressa i na serwerze źródłowym. Nigdzie indziej.

Jak wygląda SEO spam hack na stronie WordPress?

Dodaje do strony spamerskie linki albo tekst. Często są to frazy farmaceutyczne albo inne śmieci, które nie mają nic wspólnego z tym, o czym naprawdę piszesz. Czasem pojawia się jako zupełnie nowe strony, czasem jest ukryty w stronach, które już masz. Najczęściej trafisz na dwie odmiany:

• Japanese keyword hack: automatycznie generowane strony po japońsku, które sprzedają towary i wiszą pod Twoją domeną.
• Cloaked keywords hack: strony, które wyszukiwarkom pokazują spam, a odwiedzającym normalną treść, więc szybki rzut oka w przeglądarce może sugerować, że wszystko jest w porządku.

Wstrzyknięty kod może siedzieć w zwykłych plikach HTML albo w plikach, które budują strony, na przykład PHP. Jak się tam dostaje? Bardzo często przez lukę w nieaktualnym oprogramowaniu. Stara wersja WordPressa to klasyczny przykład.

Jak potwierdzić spamerskie strony w wynikach Google i Search Console

Większość roboty załatwiają trzy sprawdzenia: raport Problemy dotyczące bezpieczeństwa, wyszukiwanie site:twojadomena.pl i pobranie podejrzanych stron, żeby znaleźć treść, której nigdy tam nie dodawałeś. Zrób to tak:

1. Otwórz raport Problemy dotyczące bezpieczeństwa i zapisz przykładowe adresy URL.
2. Wpisz w Google [site:example.com], żeby zobaczyć zaindeksowane strony, których nigdy nie tworzyłeś.
3. Pobierz strony i przeszukaj odpowiedzi pod kątem spamerskich fraz, takich jak „viagra” czy „earn money”.
4. Otwórz narzędzie Sprawdzanie adresu URL, żeby zobaczyć strony tak, jak widzi je Google.

Nie pomijaj ostatniego kroku. Przy spamie z cloakingiem Twoja przeglądarka może dostać idealnie czystą stronę, a Googlebot same śmieci. Podstępne, prawda? Dokumentacja raportu o problemach bezpieczeństwa od Google omawia każdy typ problemu, który raport może zgłosić.

Gdzie wstrzyknięte strony ukrywają się w WordPressie i na serwerze źródłowym

Typowe kryjówki to pliki PHP motywów i wtyczek, dodatkowe pliki wrzucone do katalogu głównego serwisu, baza danych i konfiguracja serwera. Ja zacząłbym od tego:

• pliki zmienione niedawno, zwłaszcza poza terminami Twoich aktualizacji
• pliki PHP, których nie rozpoznajesz
• konta administratorów, których nigdy nie zakładałeś
• reguły przepisywania w konfiguracji serwera, które kierują spamerskie adresy w nieoczekiwane miejsca

Logi dostępu widziały wszystko. Każde żądanie, które utworzyło albo serwowało spam, jest w nich zapisane, więc poszukaj podejrzanych żądań w logach serwera z okresu, w którym strony pojawiły się po raz pierwszy. Jest jednak haczyk. Za proxy logi mogą pokazywać tylko adres proxy, dopóki nie przywrócisz prawdziwego IP klienta (i tylko tak namierzysz adresy IP atakujących za proxy). Google mówi dość wprost, że usuwanie złośliwego oprogramowania wymaga kogoś, kto umie czytać kod i konfigurację serwera WWW. Nie czujesz się w tym pewnie? Żaden wstyd. Znajdź kogoś, kto to potrafi.

Sprzątanie po włamaniu: usuwanie SEO spam hack krok po kroku

Kolejność jest taka: kopia zapasowa jako dowód, usunięcie każdego wstrzykniętego pliku i strony, zamknięcie luki, zmiana danych dostępowych, ponowne sprawdzenie. Czyli:

1. Zrób kopię plików i bazy danych w obecnym stanie, żeby zachować zapis ataku.
2. Usuń spamerską treść i każdy wstrzyknięty plik.
3. Zaktualizuj rdzeń WordPressa, motywy i wtyczki.
4. Zmień hasła administratorów WordPressa, hostingu, FTP i bazy danych.
5. Sprawdź ponownie wyszukiwaniem site: i narzędziem Sprawdzanie adresu URL.

Wyczyść całą stronę. Całą. Naprawienie części stron nie da Ci częściowego powrotu w wynikach wyszukiwania, to tak nie działa. Przywracasz kopię zapasową, a przed stroną stoi proxy? Sprawdź potem adres witryny i ustawienia przekierowań, bo konfiguracja WordPressa za proxy rozjeżdża się po przywróceniu kopii częściej, niż myślisz.

Prośba o weryfikację w raporcie Problemy dotyczące bezpieczeństwa

Dopiero gdy cała strona jest czysta, poproś o weryfikację w raporcie Problemy dotyczące bezpieczeństwa i dokładnie opisz, co naprawiłeś. Konkretnie. Według strony pomocy Google o problemach bezpieczeństwa weryfikacja może trwać od kilku dni do kilku tygodni. Kupiłeś niedawno stronę i odziedziczyłeś ten bałagan? Napisz o tym w prośbie o weryfikację i potwierdź, że strona jest już zgodna z zasadami Google dotyczącymi spamu. Po weryfikacji dalej obserwuj Search Console i wyniki wyszukiwania site:. Jeśli spamerskie strony wracają, gdzieś nadal są otwarte drzwi.

Co reverse proxy zmienia, a czego nie zmienia po włamaniu

Reverse proxy zmienia drogę, którą ruch dociera do serwera źródłowego. I tyle. Spam, luka i sprzątanie nadal dotyczą Twojej instalacji WordPressa. Wstrzykniętym plikom PHP, fałszywym kontom administratorów i nieaktualnej wtyczce jest wszystko jedno, czy przed stroną stoi proxy, i właśnie tego proxy nie jest w stanie naprawić. Jalvo to reverse proxy NGINX z adresami IP w UE i USA, z panelem do kierowania domen i rotacją IP dla Twoich domen na serwisach, które prowadzisz.

Utrzymanie czystej strony po ataku SEO spam hack to głównie nudna rutyna. Aktualizuj WordPressa i jego rozszerzenia, regularnie zaglądaj do raportu Problemy dotyczące bezpieczeństwa i dalej sprawdzaj wyniki site:, żeby wyłapać nowe spamerskie strony, zanim zrobią to Twoi odwiedzający.

FAQ

Czytaj też:

• Strony osierocone: jak je znaleźć i ponownie podlinkować
• Noindex vs Disallow: jak poprawnie usunąć strony z Google
• Uszkodzone backlinki: jak odzyskać linki do usuniętych stron
• Hosting wielojęzycznej sieci stron w zakresach IP z UE