Is je WordPress-site gehackt, maak dan eerst een kopie, wijzig daarna al je wachtwoorden en verwijder pas dan de besmetting. Zo bewaar je bewijs en voorkom je dat de hacker er zo weer in komt.
Hoe weet je dat je bent gehackt?
Vaak zie je niets aan je site zelf. Hackers verstoppen hun werk bewust. Dit zijn de signalen:
- In Google staan pagina's over casino's of medicijnen onder jouw adres
- Google waarschuwt dat de site misleidend is
- Bezoekers worden doorgestuurd naar een andere site
- Er staan beheerders in WordPress die je niet kent
- Je host meldt verdachte activiteit
Controleer het zelf door in Google "site:jouwdomein.nl casino" te zoeken. Kijk ook eens naar je sitemap. Ik zag bij een restaurant gokspam in de sitemap staan, terwijl de site er voor bezoekers normaal uitzag. Er zat bovendien een achterdeur in de code die opdrachten van buitenaf uitvoerde.
Stap 1: maak een kopie
Voordat je iets verwijdert, maak je een volledige kopie van bestanden en database. Je wilt later kunnen zien wat er is gebeurd. Je host kan daar ook bij helpen, en heeft soms een schone backup.
Stap 2: wijzig alle wachtwoorden
Dat gaat om WordPress, hosting, FTP en database. Verwijder onbekende beheerders. Zet tweestapsverificatie aan als dat kan. Een achterdeur kan blijven werken nadat je je wachtwoord hebt gewijzigd, dus dit is pas het begin.
Stap 3: verwijder de besmetting
Zet een schone backup terug van vóór de hack, als die er is. Is die er niet, vervang dan WordPress zelf en alle plug-ins en thema's door verse versies. Controleer vervolgens de map uploads, daar horen geen PHP-bestanden te staan. Zoek ook naar verdachte code met eval. Twijfel je, laat het dan doen door iemand die dit vaker heeft gedaan, want één gemiste achterdeur en je begint opnieuw.
Stap 4: dicht het gat
Hoe is de hacker binnengekomen? Meestal is dat een verouderde plug-in of een zwak wachtwoord. Werk alles bij en verwijder alles wat je niet gebruikt. Daarna regel je automatische backups op een andere plek dan je server.
Stap 5: herstel je naam bij Google
Zijn er spampagina's geïndexeerd, kijk dan in Search Console onder "Beveiligingsproblemen". Vraag daar een controle aan zodra de site schoon is. Laat spamadressen een 404 of 410 geven, zodat Google ze vergeet. Dat kan weken duren.
Hoe groot is de kans dat het opnieuw gebeurt?
Die is groot als je alleen de zichtbare spam weghaalt. Hackers laten bijna altijd meerdere achterdeuren achter, en die zitten op plekken waar je niet snel kijkt: in de database, in een nepplug-in met een onschuldige naam, of in een bestand dat lijkt op een WordPress-bestand. Sommige achterdeuren draaien alleen als er een speciaal verzoek binnenkomt. Daardoor lijkt de site gewoon te werken.
Controleer daarom na een paar dagen opnieuw of er nieuwe bestanden zijn verschenen en of er geen vreemde beheerders of geplande taken zijn bijgekomen. Kijk ook weer in je sitemap en in Google. Komt de spam terug, dan is er een deur blijven zitten.
Wat kost het herstellen?
Dat ligt aan de schade. Een schone backup terugzetten en alles bijwerken is een klus van een paar uur. Handmatig opruimen zonder backup duurt langer. Soms is een site zo oud dat opruimen meer kost dan opnieuw bouwen, en dan is nieuw bouwen de betere keuze. Laat je niet opjagen door partijen die direct een duur abonnement willen verkopen. Vraag eerst wat er precies aan de hand is en wat zij gaan doen.
Moet je mensen informeren?
Zijn er gegevens van klanten gelekt, dan kan het zijn dat je dat moet melden bij de Autoriteit Persoonsgegevens en de betrokkenen. Bekijk dat bij twijfel met een jurist.
Hoe voorkom je het?
Hou WordPress en plug-ins bij, gebruik sterke wachtwoorden en houd alleen in gebruik wat je nodig hebt. Of kies voor een site zonder database en login op de server. Daar valt weinig te hacken, en de meeste sites die ik bouw werken zo.
Wat is mijn advies?
Paniek niet, maar wacht ook niet. Elke dag dat de spam blijft staan, kost je vertrouwen bij Google. Kun je er niet zelf uitkomen, stuur me dan een bericht. Ik kijk mee, en regel daarna onderhoud. Soms is een nieuwe website slimmer dan opruimen. Wil je weten of WordPress wel bij je past, lees dan Wix of WordPress.