חושבים שהאתר נפרץ? התחילו כאן.
הריצו סריקה חינמית של החולשות שתוקפים מנצלים כדי להיכנס, ואז עברו על הסימנים והצעדים שלמטה. בלי פאניקה: את רוב האתרים הקטנים שנפרצו אפשר לנקות ולחזק תוך יום.
סימנים נפוצים
- מבקרים, לרוב רק בנייד או כשמגיעים מגוגל, מופנים לאתרי ספאם או הונאה.
- CAPTCHA מזויף של „אשרו שאתם בני אדם” מבקש מהמבקרים להדביק פקודה (מתקפת „ClickFix”).
- גוגל מציגה „ייתכן שהאתר הזה נפרץ”, או ש-Chrome מציג אזהרה אדומה.
- מופיעים דפים שמעולם לא כתבתם כשמחפשים
site:yourdomain.com, לעיתים קרובות בשפות אחרות. - משתמשי מנהל חדשים, תוספים לא מוכרים או קבצי PHP בתוך
wp-content/uploads. - חברת האחסון משעה את החשבון, או שהמיילים שלכם מתחילים לחזור כספאם.
בדקו מה גוגל רואה
- סטטוס האתר ב-Google Safe Browsing: האתר שלכם מסומן?
- Google Search Console ← אבטחה ופעולות ידניות ← בעיות אבטחה.
- חיפוש
site:yourdomain.comכדי למצוא דפי ספאם.
מה הסריקה שלנו מוצאת
הסריקה החינמית מראה את הדלתות הפתוחות: תוכנה מיושנת, תוספים עם פרצות ידועות, הגנות חסרות. אחרי שתוכיחו בעלות, הסריקה המעמיקה מחפשת קוד מוזרק (דפי CAPTCHA מזויפים / ClickFix, סקריפטים שנטענים מבלוקצ'יין, סקריפטים לא מוכרים בקופה) וקבצים חשופים.
אם האתר נפרץ: צעדים ראשונים
- גבו הכול (קבצים ומסד נתונים) לפני שאתם משנים משהו, כדי לשמור ראיות.
- החליפו את כל הסיסמאות: אחסון, FTP/SFTP, מסד נתונים, מנהלי וורדפרס, אימייל.
- פעלו לפי מדריך הניקוי לוורדפרס, או בקשו מחברת האחסון ניקוי נוזקות.
- סגרו את הדרך פנימה: עדכנו הכול והסירו תוספים ותבניות שאתם לא משתמשים בהם.
- כשהאתר נקי, בקשו בדיקה חוזרת ב-Search Console.
שאלות נפוצות
סריקה אונליין חינמית יכולה לגלות אם האתר שלי נפרץ?
היא יכולה להראות סימני אזהרה ואת החולשות שמובילות לפריצות. אף סורק מרוחק לא רואה את כל הקבצים בשרת, ולכן אנחנו משלבים את הסריקה עם הבדיקות הידניות שבדף הזה.
למה רק חלק מהמבקרים רואים את ההפניה?
נוזקות נוטות להסתתר ממנהלים מחוברים ולהופיע רק למבקרים בנייד או שמגיעים ממנועי חיפוש, כדי לא להתגלות.
CAPTCHA מזויף באתר שלי הוא מסוכן?
כן. ההודעות האלה של „הדביקו את הפקודה הזאת” מרמות מבקרים להריץ נוזקה במחשב שלהם. הורידו את האתר או העבירו אותו למצב תחזוקה ונקו אותו מיד.
מדריכים עם תיקונים להעתקה
וורדפרס נפרץ?
הסימנים לאתר וורדפרס שנפרץ, איך מאשרים זאת עם בדיקות ה-checksum של WP-CLI, ורשימת ניקוי: משתמשים, קבצים, מפתחות, עדכונים ובדיקה חוזרת של גוגל.
מדריךחיזוק וורדפרס
רשימת חיזוק מעשית לוורדפרס עם קטעי קוד להעתקה: חסימת XML-RPC, הסתרת שמות משתמש, ביטול עורך הקבצים, הגנה על wp-config.php ומניעת PHP בתיקיית ההעלאות.
מדריך.git, .env וגיבויים חשופים
קבצי .env, תיקיות .git וגיבויי מסד נתונים שדלפו מוסרים לתוקפים את הסיסמאות שלכם. בדקו אם שלכם ציבוריים, חסמו אותם ב-nginx או ב-Apache והחליפו את הסודות.
מדריךתוספי וורדפרס לא מעודכנים
מצאו תוספים ותבניות של וורדפרס שאינם מעודכנים ופגיעים: מסך העדכונים, פקודות WP-CLI, מאגרי פגיעויות ציבוריים, תוספים סגורים ועדכונים אוטומטיים בטוחים.
עוד בדיקות חינמיות
גלו את הציון שלכם לפני שמישהו אחר יגלה.
מתחילים בחינם. תוכניות בתשלום מ־12$ לחודש, או דוח חד־פעמי ב־29$. למחירים