Якщо з хостингу WordPress почалася масова розсилка, простого видалення підозрілого листа або зміни пароля недостатньо. Спам може генерувати заражений плагін, прихований PHP-скрипт, викрадений обліковий запис або стороння поштова форма. Потрібно одночасно зупинити розсилку, зберегти докази й усунути джерело.
Як підтвердити несанкціоновану розсилку
Перевірте журнали поштового сервера, статистику вихідних повідомлень і чергу листів у панелі хостингу. Зверніть увагу на час, адресу відправника, PHP-скрипт і каталог, з якого ініційовано відправлення. Паралельно зафіксуйте сповіщення хостера, зразки заголовків листів і підозрілі входи. Якщо є ознаки компрометації, дійте за алгоритмом «зламали сайт WordPress: перші дії», щоб не знищити важливі сліди атаки.
Як негайно зупинити вихідний спам
Тимчасово обмежте вихідну пошту для сайту або вимкніть скомпрометований поштовий обліковий запис. Змініть паролі адміністратора, хостингу, SFTP/SSH, бази даних і SMTP, завершіть активні сесії та відкличте невідомі ключі доступу. Не відновлюйте відправлення, доки не знайдено джерело: інакше домен та IP продовжать накопичувати негативну репутацію.
Очищення WordPress і пошук джерела
Зробіть резервну копію поточного стану для аналізу, а потім перевірте ядро, тему, плагіни, mu-plugins, папку uploads, cron-завдання й файли конфігурації. Порівняйте системні файли з чистими дистрибутивами, видаліть невідомих адміністраторів, оновіть компоненти та замініть скомпрометовані секретні ключі. Після очищення проведіть аудит безпеки WordPress після видалення вірусів. За потреби залучіть фахівців із технічного супроводу сайтів.
Відновлення репутації домену та пошти
Після повного очищення перевірте SPF, DKIM і DMARC, налаштуйте коректне ім’я відправника та обмеження швидкості. З’ясуйте, чи потрапили домен або IP до блоклистів, і надсилайте запити на виключення лише після усунення причини. Відновлюйте розсилки поступово, стежачи за відмовами, скаргами й доставленням.
Головний критерій завершення робіт — не відсутність нових листів протягом години, а підтверджене джерело атаки, чисті файли, оновлені доступи та стабільні поштові журнали. Після інциденту варто налаштувати моніторинг змін файлів і регулярні резервні копії.