La meva web va ser hackejada: el que vaig fer, pas a pas

Què va passar

La meva web era un WordPress amb plugins de seguretat i antispam, i jo em dedico precisament a això. Tot i així, algú va trobar la manera d'entrar-hi i el va fer servir per a dues coses:

• Enllaços ocults a webs de casinos al peu de les meves pàgines, invisibles per a qui visitava la web però no per a Google.
• Centenars de pàgines d'spam creades dins del meu domini, en carpetes que jo no havia creat mai. Algunes tenien noms semblants als d'altres webs, per semblar legítimes.

L'objectiu no era la meva web en si, sinó aprofitar la confiança que Google tenia en el meu domini per posicionar pàgines d'apostes. És un dels atacs més habituals a WordPress.

No cal ser una gran empresa perquè t'ataquin. N'hi ha prou de tenir un WordPress amb alguna cosa que es pugui aprofitar.

Com ho vaig descobrir

La web es veia normal. La primera pista va ser una altra: el servidor del meu allotjament (hosting) es posava al 100 % d'ús de CPU i de memòria RAM sense un motiu aparent. En investigar què ho provocava, en vaig trobar l'origen: el WordPress servia centenars de pàgines d'spam que jo no havia creat, i els robots no paraven de visitar-les.

Després ho vaig confirmar a Google: en cercar site:josecabello.net casino sortien uns 630 resultats amb pàgines de casinos sota el meu domini.

A Search Console, l'eina gratuïta de Google per a propietaris de webs, no hi havia avisos de seguretat ni accions manuals. Per això convé revisar de tant en tant quines pàgines teves mostra Google: el problema hi pot ser encara que ningú no t'avisi.

Si vols saber com detectar els senyals d'un hackeig, ho explico a la meva web ha estat hackejada: què fer pas a pas.

La decisió: netejar o refer

Netejar un WordPress hackejat és possible, i ho he fet moltes vegades per a clients: reinstal·lar el nucli, el tema i els plugins, revisar la base de dades, canviar totes les contrasenyes i tancar la porta per on havien entrat. Però té un risc: si queda una sola porta del darrere, tornen.

Tampoc no podia tornar a una còpia de seguretat. Còpies en tenia, però el hackeig feia mesos que era dins sense que es notés, així que totes estaven infectades.

En el meu cas, la web era sobretot de presentació: els meus serveis, els meus projectes i els meus articles. No necessitava un gestor de continguts. Així que vaig decidir refer-la des de zero en HTML i CSS, sense WordPress, sense plugins i sense base de dades. Sense el programa que havien aprofitat, desapareixia també aquesta via d'entrada.

Si dubtes entre les dues opcions, t'ho explico a avantatges i desavantatges de WordPress i a què és un CMS i si el teu negoci el necessita.

El que vaig fer, pas a pas

1. Vaig refer la web en HTML estàtic, primer amb el mateix disseny i després millorant-lo, en castellà, anglès i alemany, i la vaig publicar en lloc del WordPress.
2. Vaig esborrar el WordPress del servidor completament, incloses les carpetes d'spam. El hosting no estava afectat: només aquella instal·lació.
3. Vaig muntar un formulari de contacte nou sense WordPress, amb un servei d'enviament segur i protecció antispam, per no perdre consultes.
4. Vaig fer que les pàgines d'spam responguessin «410, eliminat». És la manera de dir a Google que aquestes pàgines ja no existeixen i que no tornaran, perquè les tregui abans que amb un simple error 404.
5. Vaig demanar a Google que les amagués ja: a Search Console, a l'apartat de Retirades, vaig sol·licitar la retirada de cada carpeta d'spam. Les va aprovar el mateix dia.
6. Vaig redirigir els articles antics que valia la pena conservar a les seves versions noves i reescrites, per no perdre el que ja funcionava a Google.
7. Vaig enviar el nou mapa del lloc a Search Console perquè Google conegués la web nova.

El resultat

El mateix dia que es van aprovar les retirades, la cerca site:josecabello.net casino va passar d'uns 630 resultats a 5, i aquests 5 eren pàgines antigues que ja responien com a eliminades o redirigides.

Cal ser honest amb els terminis: la retirada a Search Console amaga les pàgines durant uns quants mesos, i el 410 és el que fa que Google les elimini per sempre a mesura que les torna a rastrejar. Per això cal revisar els resultats durant les setmanes següents fins que arribin a zero.

A més, vaig aprofitar per canviar d'estratègia: en lloc d'articles per sumar visites, guies que responen al que pregunten els meus clients. Ho explico a la crua realitat del SEO.

El que vaig aprendre

• Els plugins de seguretat ajuden, però no blinden. Jo en tenia i van entrar igualment. La seguretat és a tenir menys peces exposades, no a afegir-ne més.
• Un servidor saturat sense motiu és una alarma. Si l'ús de CPU o de memòria es dispara i no tens més visites, investiga-ho: pot ser un hackeig.
• Cal mirar Google de tant en tant. Una cerca site: amb el teu domini et diu més que molts panells.
• Una còpia de seguretat no serveix si també està infectada. Jo tenia còpies, però la infecció feia mesos que hi era i totes l'arrossegaven. Guarda còpies antigues durant més temps, fora de la web, i no et refiïs només de la més recent.
• Tria la tecnologia pel que necessites. Per a una web de presentació, una web estàtica és més senzilla de mantenir i molt més difícil d'atacar.
• Actua ràpid i amb ordre. Com més aviat es retira l'spam, menys temps associa Google el teu domini amb ell.

Preguntes freqüents