Блокування WordPress через шкідливий код — це не просто технічна незручність. Хостинг-провайдер може обмежити доступ до файлів, бази даних або всього облікового запису, якщо сайт розсилає спам, перенаправляє відвідувачів на сторонні ресурси, заражає інші сайти на сервері чи створює надмірне навантаження.
Не варто одразу видаляти файли або перевстановлювати WordPress. Такі дії можуть знищити докази зараження, ускладнити пошук початкової вразливості та призвести до втрати даних. Безпечніше діяти поетапно: з’ясувати причину блокування, зберегти копії, ізолювати заражені дані, очистити сайт і лише після цього звертатися до провайдера щодо відновлення доступу.
Чому провайдер блокує заражений сайт
Хостингова компанія відповідає не лише за один сайт, а й за стабільність та безпеку всього сервера. Якщо заражений WordPress виконує шкідливі скрипти, надсилає небажані листи або використовується для атак, провайдер може тимчасово заблокувати його автоматично чи вручну.
Найпоширеніші причини блокування:
- виявлення вірусних файлів, вебшеллів або прихованих скриптів;
- масова розсилка спаму з поштового або вебсерверного облікового запису;
- підозрілі перенаправлення, фішингові сторінки чи підміна вмісту;
- злам облікових записів адміністратора, FTP, панелі хостингу або бази даних;
- використання застарілої версії WordPress, плагіна чи теми;
- надмірне навантаження через шкідливий код, ботнет або автоматизовані запити.
Блокування не завжди означає, що всі дані знищені. Часто файли та база даних залишаються доступними після звернення до підтримки або можуть бути відновлені з резервної копії. Водночас точний стан сайту можна визначити лише після перевірки журналів, файлової системи, бази даних і резервних копій.
Які дані запросити у служби підтримки
Спочатку зверніться до хостинг-провайдера та попросіть надати максимально конкретну інформацію про інцидент. Загальної відповіді «сайт заражений» недостатньо для безпечного очищення.
Варто запросити:
- причину блокування та дату й час її виявлення;
- назви підозрілих файлів, шлях до них і тип виявленої загрози;
- результати антивірусного сканування або назву правила, яке спрацювало;
- фрагменти журналів доступу, помилок, поштової активності та системних подій, якщо їх можна надати;
- інформацію про те, які саме функції заблоковані: сайт, SSH, FTP, панель, база даних чи пошта;
- умови, за яких провайдер готовий повторно перевірити сайт і зняти обмеження;
- наявні резервні копії та дати їх створення.
Не надсилайте у відкритому листуванні паролі адміністратора, FTP або панелі хостингу. Якщо підтримка просить тимчасовий доступ, створіть окремий обліковий запис з мінімально необхідними правами та видаліть або заблокуйте його після завершення робіт.
Якщо провайдер вимагає спочатку усунути зараження, корисно уточнити, чи дозволяє він завантажити архів сайту та дамп бази даних. У деяких випадках доступ надають лише через спеціальний режим або тимчасовий технічний канал.
Як очистити копію в ізольованому середовищі
Не очищуйте єдину робочу копію без попереднього збереження. Навіть заражений сайт може містити потрібні завантаження, записи замовлень, налаштування та інші дані. Перед змінами створіть копію файлів і бази даних, за можливості — у форматі, який можна відновити окремо. Збережіть архів поза заблокованим хостингом і не використовуйте його повторно без перевірки.
Для очищення краще підготувати ізольоване середовище: окремий сервер або локальну копію, яка не підключена до пошти, платіжних систем та інших робочих сервісів. Не відкривайте заражений сайт у браузері без захисту, оскільки шкідливий код може виконувати перенаправлення або спроби атаки на пристрій.
Безпечна послідовність перевірки може виглядати так:
- Зафіксувати стан сайту: зберегти архів файлів, дамп бази та доступні журнали.
- Перевірити резервні копії різного часу й визначити, чи існує версія до появи зараження.
- Порівняти файли WordPress, тем і плагінів з офіційними дистрибутивами або відомою чистою копією.
- Перевірити нетипові PHP-файли, нещодавно змінені файли, приховані каталоги та підозрілі фрагменти в системних файлах.
- Переглянути базу даних: облікові записи адміністраторів, підозрілі опції, вставлений JavaScript, невідомі завдання та сторонні посилання.
- Видалити або замінити заражені компоненти, використовуючи чисті офіційні версії. Не залишати невикористовувані плагіни й теми.
- Перевірити завантаження користувачів, оскільки шкідливі файли часто маскуються під зображення або документи.
- Повторно просканувати очищену копію кількома способами та перевірити її роботу без підключення до публічного домену.
Автоматичний сканер може знайти відомі сигнатури, але не завжди виявляє змінені файли, приховані облікові записи або зараження бази даних. Тому результат сканування потрібно доповнювати ручним аналізом. Якщо незрозуміло, який файл є системним, а який — шкідливим, не видаляйте його навмання: це може зламати сайт або приховати справжню причину проблеми.
Коли самостійна перевірка ускладнена, доцільно замовити відновлення сайту після блокування хостингом із попередньою діагностикою. Фахівцю потрібно надати результати перевірки провайдера, копії та інформацію про зміни, які вже виконувалися.
Що надати для розблокування
Після очищення підготуйте для хостинг-провайдера короткий і зрозумілий звіт. У ньому варто зазначити, що саме було перевірено, які компоненти замінено, чи змінено паролі та які заходи вжито для запобігання повторному зараженню.
До звернення можна додати:
- домен і номер або назву хостинг-акаунта;
- ідентифікатор попереднього звернення щодо блокування;
- опис виявленої причини та список очищених файлів або компонентів;
- інформацію про оновлення WordPress, тем і плагінів;
- підтвердження зміни паролів та перевірки облікових записів;
- результати повторного сканування, якщо вони доступні;
- прохання повторно перевірити сайт і повідомити, які умови ще не виконані.
Не варто надсилати провайдеру неперевірений архів як «чисту копію». Якщо зараження залишилося, після розблокування сайт можуть заблокувати повторно, а шкідливий код продовжить діяти. Також не слід приховувати факт часткового очищення чи невідомі зміни — це ускладнює технічну перевірку.
Після зняття обмежень перевірте сайт у контрольованому режимі: відкрийте головні сторінки, форму входу, кошик, форми замовлення та адміністративну панель. Одночасно переглядайте журнали й навантаження. Якщо підозріла активність зберігається, сайт потрібно знову ізолювати та продовжити розслідування.
Як закрити вразливість після відновлення
Очищення файлів саме по собі не усуває причину злому. Якщо залишити старий плагін, слабкий пароль або вразливий спосіб доступу, зараження може повторитися навіть після успішного розблокування.
Після відновлення виконайте такі дії:
- оновіть WordPress, активну тему та всі необхідні плагіни до сумісних актуальних версій;
- видаліть непотрібні, зламані або отримані з ненадійних джерел компоненти;
- змініть паролі адміністратора WordPress, хостингу, FTP або SSH, бази даних і поштових скриньок;
- перевірте користувачів WordPress, доступи до панелі та ключі API, видаливши невідомі облікові записи;
- увімкніть двофакторну автентифікацію там, де це підтримується;
- обмежте права на запис для системних файлів і доступ до службових каталогів;
- перевірте конфігурацію вебсервера, правила
.htaccess, завдання cron і налаштування перенаправлень; - налаштуйте регулярні резервні копії з перевіркою фактичного відновлення;
- підключіть моніторинг змін файлів, журналів входу та підозрілої активності.
Резервні копії потрібно зберігати окремо від основного хостингу, бажано в кількох версіях і з обмеженим доступом. Регулярно перевіряйте, чи справді з них можна відновити сайт і базу даних. Якщо після очищення залишаються невідомі перенаправлення, нові адміністратори, повторні спрацювання антивіруса або нестабільна робота, не повертайте сайт у повністю відкритий режим без додаткової діагностики.