Zmieniasz wykonawcę, kupiłeś firmę ze stroną albo odziedziczyłeś serwis po kimś, kto już nie odbiera telefonu. Nikt nie wie, co dokładnie siedzi na serwerze. Od takiej sytuacji zaczyna się wiele moich zleceń, więc mam stałą kolejność działania. Najważniejsza zasada brzmi: najpierw patrzę, niczego nie zmieniam.
1. Dostępy: kto ma klucze
Zaczynam od ustalenia, co mam dostać i od kogo:
- własne konto administratora w WordPressie (nie współdzielone, nie „po koledze”),
- panel hostingu: jaki to plan, ile kosztuje, kto płaci i na jaki adres przychodzą przypomnienia,
- panel domeny,
- konto w Google Search Console,
- dostęp do skrzynek, jeśli poczta stoi na tym samym hostingu.
Zapytaj też o drugą stronę medalu: czy poprzedni wykonawca nadal ma dostęp? To jedna z najczęstszych luk. Do nadawania dostępów mam gotowe instrukcje krok po kroku, żeby nikt nie musiał zgadywać, gdzie kliknąć.
2. Kopia, zanim cokolwiek dotknę
Robię kopię plików i bazy w miejscu poza hostingiem. Sprawdzam też, jakie kopie już istnieją (u hostingodawcy, we wtyczce) i czy ktokolwiek kiedykolwiek próbował je odtworzyć. Jak łatwo o kopię, która istnieje tylko na papierze, opisałem we wpisie Kopia zapasowa, która zawodzi po cichu.
3. Spojrzenie z zewnątrz
Kilka darmowych skanerów daje pierwszy obraz bez logowania do czegokolwiek. Zwykle uruchamiam ich kilka, bo każdy widzi co innego:
- Sucuri SiteCheck oraz skanery bezpieczeństwa WordPressa, takie jak HackerTarget czy Snyk: czy strona nie jest oznaczona jako zainfekowana i czy nie ma znanych problemów,
- Security Headers: czy serwer wysyła nagłówki podnoszące bezpieczeństwo,
- skaner witryn z Pentest-Tools: czy widać oczywiste podatności,
- VirusTotal: jak adres oceniają programy antywirusowe i listy reputacyjne.
Skanery patrzą z zewnątrz, więc widzą objawy, a nie przyczyny. Zielony wynik nie oznacza, że wszystko jest w porządku, a czerwony nie zawsze oznacza infekcję. Traktuję je jak listę rzeczy do sprawdzenia od środka.
4. Przegląd od środka
Po zalogowaniu patrzę na:
- listę wtyczek i motywów: wersje, dostępne aktualizacje, rzeczy nieużywane i porzucone przez autorów,
- wersję PHP i samego WordPressa,
- konta użytkowników: kto ma rolę administratora i czy wszystkie te osoby nadal powinny ją mieć,
- podstawowe zabezpieczenia: HTTPS z przekierowaniem, ograniczenie liczby prób logowania, logowanie dwuskładnikowe dla administratorów, wyłączenie zbędnego xmlrpc, brak publicznego ujawniania nazw użytkowników i blokada wykonywania plików PHP w katalogu z przesłanymi plikami.
5. Poczta
Sprawdzam, czy maile ze strony i z firmy w ogóle dochodzą. Wysyłam wiadomość testową przez narzędzia takie jak mail-tester czy GlockApps, które oceniają, czy wiadomość wygląda jak spam i czy domena ma poprawnie ustawione SPF, DKIM i DMARC. Patrzę też, czy formularze na stronie wysyłają maile przez poprawnie skonfigurowany serwer SMTP. Wiele „zaginionych zapytań” kończy w spamie. Więcej: Maile z firmy trafiają do spamu u klientów.
6. Gdy coś jest zainfekowane albo nie mam pewności
Jeśli strona jest zainfekowana, najpewniejszą drogą jest czysta reinstalacja, a nie szukanie złośliwego kodu po omacku. W skrócie:
- spisuję wszystkie wtyczki i pobieram świeże kopie motywu,
- usuwam pliki wtyczek, motywów, katalogów wp-admin i wp-includes oraz wszystkie pliki .php z katalogu głównego poza wp-config.php, a także pliki .php z katalogu wp-content/updates,
- pobieram czysty WordPress z wordpress.org i wgrywam go na serwer,
- instaluję ponownie motyw i kolejno wszystkie wtyczki z listy.
Potem zmieniam hasła i klucze zabezpieczające w wp-config.php, bo po infekcji nie można zakładać, że pozostały tajne.
7. Raport z priorytetami
Efektem nie jest lista stu ostrzeżeń z narzędzi, tylko krótki raport, który właściciel strony da się przeczytać. Układam go od najpilniejszych spraw: najpierw zagrożenia (infekcja, brak kopii, cudze dostępy), potem zabezpieczenia i aktualizacje, następnie wydajność i porządki, na końcu rzeczy „miło mieć”. Przy każdej pozycji piszę, co oznacza w praktyce i czy trzeba ją załatwić od razu.
Co dalej
Jeśli wolisz, żebym zrobił to za Ciebie, zobacz usługę audyt strony przed przejęciem lub zmianą wykonawcy. Po audycie strona może trafić pod stałą opiekę nad WordPressem. A jeśli to jest Twoja codzienność, przeczytaj też: Przejmuję stronę po poprzednim wykonawcy i nie wiem, co w niej siedzi.