Site-ul meu WordPress a fost hackuit: ce faci, pas cu pas

Publicat pe 6 noiembrie 2026 · Echipa mitza.es

Să descoperi că site-ul tău a fost hackuit este neplăcut, dar are rezolvare, iar rezolvarea începe aproape întotdeauna cu să nu faci nimic pripit. Acest ghid este gândit pentru proprietarii de site-uri WordPress din firmele mici și pentru liber-profesioniști: cum recunoști problema, ce faci în prima oră, cum cureți site-ul fără ca el să se reinfecteze și ce obligații ai dacă sunt implicate date cu caracter personal. Nu înlocuiește o analiză criminalistică în cazurile grave, dar îți pune în ordine primii pași.

Semne că site-ul tău poate fi hackuit

Redirecționări ciudate: când deschizi site-ul de pe telefon sau din Google ajungi în altă parte (cazinouri, farmacie, escrocherii). Uneori se întâmplă doar vizitatorilor care vin din motorul de căutare, de aceea proprietarul nu observă.
Pagini și texte pe care nu le-ai creat: sute de URL-uri cu reclame la medicamente, ceasuri sau texte în altă limbă. Caută-le cu site:domeniultau.com în Google.
Avertismente de la Google: „Este posibil ca acest site să fi fost hackuit”, „Site înșelător” sau un mesaj în secțiunea „Probleme de securitate” din Search Console.
Utilizatori administratori pe care nu îi recunoști sau modificări ale pluginurilor și setărilor pe care nu le-a făcut nimeni.
Hostingul îți suspendă contul sau te avertizează de un consum anormal, trimiteri în masă de email-uri sau fișiere suspecte.
Email-urile de pe domeniul tău ajung în spam sau primești mesaje returnate pentru email-uri pe care nu le-ai trimis.
Site-ul este mult mai lent sau se strică după o actualizare, fără o explicație clară.

Niciun semn izolat nu este o dovadă, dar mai multe la un loc justifică o reacție. Dacă încă nu ești sigur că este vorba de un atac, un audit de securitate web te ajută să îl confirmi sau să îl excluzi.

Ce faci în prima oră

Nu șterge tot și nu reinstala orbește. Dacă o faci, pierzi indiciile despre cum au intrat și este probabil să intre din nou pe aceeași cale.
Fă o copie a site-ului exact așa cum este (fișiere și bază de date). Chiar dacă este infectată, îți folosește ca să investighezi după aceea.
Pune site-ul în modul de mentenanță sau limitează accesul cu o parolă cât lucrezi, ca să nu le faci rău vizitatorilor și nici reputației tale.
Schimbă credențialele de pe un calculator curat: administratorii WordPress, panoul de hosting, accesul SFTP/FTP, baza de date și email-ul asociat. Închide toate sesiunile deschise. Dacă ai nevoie de parole puternice, generatorul nostru de parole funcționează în browserul tău, fără să trimită nimic.
Anunță furnizorul de hosting. Poate izola contul, poate consulta jurnalele serverului și îți poate spune dacă în același cont există alte site-uri infectate, lucru foarte frecvent.
Scanează-ți calculatorul cu un antivirus actualizat: în multe cazuri parolele sunt furate de pe un echipament infectat, nu de pe site.

Cum diagnostichezi pe unde au intrat

A curăța fără să știi pe unde au intrat este cauza numărul unu a reinfectărilor. Acestea sunt verificările care îți oferă cele mai multe informații:

Versiunile: nucleul WordPress, tema și pluginurile erau la zi? Multe atacuri folosesc vulnerabilități deja corectate. Asta se întâmplă în alerte precum cea despre defectul din 7.1.4.
Pluginuri și teme „nulled” (copii piratate ale celor cu plată): de obicei vin cu uși din spate încă din fabrică. Dacă folosești vreunul, elimină-l.
Integritatea fișierelor: dacă ai acces la terminal, WP-CLI poate compara fișierele nucleului și ale pluginurilor din depozitul oficial cu originalele: wp core verify-checksums și wp plugin verify-checksums --all. Fișierele care nu se potrivesc sau care sunt în plus sunt suspecte.
Fișiere cu dată recentă: vezi ce s-a modificat în ultimele zile, mai ales în rădăcină, în wp-content/uploads (unde nu ar trebui să existe fișiere PHP) și în wp-content/mu-plugins.
Utilizatori și baza de date: administratori noi, scripturi injectate în articole și widgeturi, precum și adresele siteurl și home din tabelul de opțiuni.
Jurnalele serverului: cereri ciudate către anumite fișiere PHP sau accesări în masă ale wp-login.php și xmlrpc.php.
Sarcini programate: atacatorii lasă adesea sarcini WordPress sau de server (cron) care recreează malware-ul la câteva ore.

Cum cureți site-ul fără să se reinfecteze

Există două căi. Prima este cea mai sigură; a doua, mai rapidă, dar cu mai mult risc:

Restaurezi o copie curată de dinainte de infectare (dacă știi când a început) și aplici imediat toate actualizările. Este varianta preferabilă. Dacă nu ai copii de siguranță de încredere, e momentul să citești despre regula 3-2-1 a copiilor de siguranță.
Cureți manual, reinstalând nucleul WordPress și pluginurile din surse oficiale, ștergând ce nu recunoști și verificând wp-config.php, .htaccess și baza de date. Cere experiență: o singură ușă din spate uitată e suficientă ca să se întoarcă.

Orice ai alege, fă și următoarele:

Reînnoiește cheile și salts-urile din wp-config.php ca să invalidezi sesiunile existente.
Elimină pluginurile și temele pe care nu le folosești și înlocuiește-le pe cele abandonate cu alternative întreținute.
Schimbă din nou toate parolele după ce site-ul este curat.
Folosește SFTP în loc de FTP și verifică permisiunile fișierelor și ale folderelor.
Verifică dacă hostingul nu are alte site-uri infectate în același cont.

Un sfat practic: un plugin de curățare te poate ajuta să detectezi, dar nu garantează că site-ul rămâne curat. Dacă afacerea ta depinde de site (magazin, rezervări), merită să îl verifice cineva cu experiență.

După curățare: Google, clienții și AEPD

Google: dacă Search Console afișează „Probleme de securitate”, după ce le-ai rezolvat solicită reevaluarea din același ecran. Elimină paginile de spam care s-au creat sau fă-le să returneze eroarea 410. Cât timp durează avertismentul, vizibilitatea și click-urile tale pot scădea.
Date cu caracter personal: dacă pe site existau formulare, comenzi, conturi de clienți sau accesări de date și este posibil ca acestea să fi fost afectate, GDPR obligă, în general, la notificarea încălcării către AEPD (Agenția Spaniolă pentru Protecția Datelor) fără întârzieri nejustificate și, dacă este posibil, în cel mult 72 de ore de când ai luat cunoștință de ea, cu excepția cazului în care este improbabil să reprezinte un risc pentru persoane. Dacă ai dubii că situația ta o cere, consultă-ți consultantul cât mai repede. În articolul despre regimul sancționator al AEPD ai contextul.
Clienții: dacă au fost expuse date sau au circulat email-uri frauduloase în numele tău, anunță-i clar și fără termeni tehnici. Te ajută să le păstrezi încrederea.
Ajutor public: INCIBE, institutul național spaniol de securitate cibernetică, oferă asistență gratuită la numărul 017.

Prevenire: ce reduce cu adevărat riscul

Actualizează nucleul, pluginurile și tema cu un termen maxim pentru patch-urile critice.
Mai puține pluginuri, mai bine întreținute. Fiecare extensie este o ușă în plus.
Verificare în doi pași și parole unice pentru toți administratorii; ține la minimum numărul de utilizatori cu permisiuni ridicate.
Copii de siguranță automate și testate, păstrate în afara serverului.
Firewall pentru aplicații web și monitorizarea modificărilor de fișiere.
Hosting cu izolare între conturi și suport bun: explicăm în domeniu și hosting: cum alegi.
Mentenanță continuă. Un site fără mentenanță ajunge, mai devreme sau mai târziu, într-una dintre aceste situații. Găsești detaliile în mentenanță website: ce include și cât costă.

Întrebări frecvente

De ce se infectează din nou site-ul meu după ce l-am curățat?

Aproape întotdeauna dintr-unul din aceste motive: a rămas o ușă din spate nedetectată, parolele nu au fost schimbate, pluginul sau tema vulnerabilă este încă instalată sau există alt site infectat în același cont de hosting, care îl reinfectează pe primul.

Poate Google să îmi penalizeze site-ul pentru că a fost hackuit?

Nu este o amendă, dar Google poate afișa avertismente utilizatorilor sau poate scoate pagini din rezultate până când problema se rezolvă. De aceea merită să cureți bine și să soliciți reevaluarea.

Este suficient un plugin de securitate ca să îl curăț?

Ajută la detectarea fișierelor modificate și la blocarea atacurilor, dar nu înlocuiește analiza modului în care au intrat. Folosește-l ca sprijin, nu ca unică soluție.

Când este mai bine să chemi un specialist?

Când ai date ale clienților sau un magazin cu plăți, dacă infecția revine, dacă hostingul ți-a suspendat contul sau dacă nu știi pe unde au intrat. Cu cât acționezi mai repede, cu atât paguba este mai mică.

Cum te ajutăm la Mitza

Diagnosticăm originea, curățăm și consolidăm instalarea, apoi o ținem la zi cu serviciul nostru de mentenanță website. Dacă ai nevoie să începi cu o verificare, avem auditul de securitate web sau ne poți spune cazul tău din pagina de contact.

Citește și: WordPress 7.1.2 și CVE-2026-87902 și pluginuri WordPress exploatate în octombrie.

Site-ul meu WordPress a fost hackuit: ce faci, cum îl cureți și cum eviți să se repete