Ens van hackejar la web: el que vam aprendre per protegir el teu WordPress

Fa poc ens va tocar viure-ho en primera persona: la web de Blunèrgia va ser hackejada. Sí, la d’una agència que es dedica precisament a això. Ens va semblar més honest explicar-ho que amagar-ho, perquè el que vam aprendre et pot estalviar un bon disgust si la teva web funciona amb WordPress, com més del 40 % de les webs del món.

En aquest article t’expliquem com vam actuar, què vam canviar en reconstruir la web i quin manteniment necessita un WordPress perquè no et passi.

Per què hackegen webs de pimes (encara que no siguis «important»)

Molta gent pensa: «Qui voldrà atacar la web del meu negoci?». La realitat és que la majoria d’atacs no són personals. Són automàtics: programes que recorren internet buscant webs amb versions vulnerables de WordPress, plugins o temes, i entren a totes les que troben.

Un cop dins, els atacants solen fer servir la web per:

• Publicar pàgines d’spam (farmàcia, apostes, productes falsos) que Google acaba indexant amb el teu domini.
• Redirigir els teus visitants a webs fraudulentes.
• Enviar correu brossa des del teu servidor.
• Robar dades de clients o de formularis.
• Fer servir el teu servidor com a base per atacar altres webs.

El resultat: pèrdua de posicionament, avisos de «lloc perillós» al navegador, suspensió de l’allotjament i, sobretot, pèrdua de confiança.

Com saber si la teva web ha estat hackejada

• En buscar site:elteudomini.com a Google apareixen pàgines que no has creat, de vegades en altres idiomes.
• Els visitants (o tu des del mòbil) sou redirigits a altres webs.
• Google Search Console et mostra un avís a «Problemes de seguretat».
• El teu allotjament t’avisa de consum anòmal, programari maliciós o enviaments massius de correu.
• Apareixen usuaris administradors que no reconeixes.
• El navegador mostra una pantalla vermella d’advertència en entrar.

Què vam fer nosaltres (i què et recomanem fer)

1. Contenir el dany

El primer és evitar que el problema vagi a més. Recomanem canviar totes les contrasenyes (WordPress, allotjament, FTP, base de dades i correu), revisar els usuaris amb accés i avisar el proveïdor d’allotjament.

2. Decidir: netejar o reconstruir

Netejar una web infectada és possible, però té un risc: si queda una sola porta del darrere amagada, l’atac torna. En el nostre cas vam decidir reconstruir la web des de zero, amb una instal·lació nova i aprofitant per replantejar l’estructura, els continguts i la tecnologia. Per a una web petita o desactualitzada sol ser l’opció més segura.

3. Treballar en un entorn de proves

La nova web es va construir en un entorn de staging, bloquejat als cercadors, i només es va publicar quan va estar acabada i revisada. Així mai s’exposa una web a mig fer.

4. Protegir el posicionament

En canviar l’estructura d’una web, les URL antigues que Google tenia indexades deixen d’existir. Vam analitzar totes les URL amb trànsit o enllaços i vam preparar redireccions 301 cap a les pàgines noves equivalents, per no perdre l’autoritat acumulada. Si Google va arribar a indexar pàgines d’spam, Search Console permet sol·licitar-ne la retirada.

5. Reduir la superfície d’atac

Cada plugin, formulari o funcionalitat extra és una possible porta d’entrada. A la nova web vam aplicar una regla simple: només l’imprescindible.

• Molt pocs plugins, tots de desenvolupadors reconeguts i amb actualitzacions freqüents.
• Sense formularis de contacte: els clients ens escriuen per WhatsApp, per correu o ens truquen. Menys spam i un punt d’atac menys.
• L’avís de galetes, programat a mida en lloc d’amb un plugin addicional.
• Protecció antispam i una capa de memòria cau i optimització per millorar la velocitat i l’estabilitat.

Checklist de seguretat per al teu WordPress

Actualitzacions

• Actualitza WordPress, el tema i els plugins de manera regular. La gran majoria de vulnerabilitats que es publiquen cada any afecten plugins.
• Elimina els plugins i temes que no facis servir (desactivar-los no n’hi ha prou).
• Fes servir una versió de PHP amb suport de seguretat.
• No instal·lis mai temes o plugins «nulled» (versions de pagament piratejades): són una de les vies d’infecció més habituals.

Accessos

• Contrasenyes llargues i úniques, desades en un gestor de contrasenyes.
• Verificació en dos passos per a tots els administradors.
• Cada persona amb el seu propi usuari i el rol mínim que necessiti.
• Elimina usuaris antics (exempleats, proveïdors que ja no treballen amb tu).
• Limita els intents d’inici de sessió.

Còpies de seguretat

• Còpies automàtiques i periòdiques d’arxius i base de dades.
• Desades fora del servidor de la web.
• Comprova de tant en tant que es poden restaurar: una còpia que no funciona no és una còpia.

Protecció i vigilància

• Certificat SSL actiu a tota la web.
• Tallafocs i protecció antispam.
• Desactivar l’edició d’arxius des del tauler de WordPress.
• Google Search Console configurat per rebre avisos de seguretat.
• Monitoratge de disponibilitat per assabentar-te abans que els teus clients si la web cau.

El manteniment no és una despesa, és una assegurança

Una web és com un cotxe: si no passa revisions, tard o d’hora falla, i sol fer-ho en el pitjor moment. Recuperar una web hackejada costa molt més temps, diners i posicionament que mantenir-la al dia.

Per això oferim un servei de manteniment web WordPress que inclou actualitzacions, còpies de seguretat, seguretat, monitoratge i informe mensual. I si no saps en quin estat està la teva web ara mateix, una auditoria web et dirà quins riscos té i què cal fer primer.

Ho vam aprendre per les males. Tu no tens per què. Escriu-nos i revisem el teu WordPress.

Preguntes freqüents

WordPress és insegur?

No. El nucli de WordPress és segur i s’actualitza sovint. La majoria de problemes vénen de plugins i temes desactualitzats, contrasenyes febles i manca de manteniment.

Cada quant cal actualitzar WordPress?

Les actualitzacions de seguretat convé aplicar-les tan bon punt es publiquen. Per a la resta, una revisió setmanal o quinzenal, comprovant que tot continua funcionant després d’actualitzar, és una bona pràctica.

Perdré posicionament si em hackegen la web?

Pot passar, sobretot si Google indexa contingut d’spam o marca la web com a perillosa. Actuar ràpid, netejar o reconstruir, redirigir correctament les URL i sol·licitar la revisió a Search Console ajuda a recuperar-lo.

És millor netejar la web o refer-la?

Si la web és recent i la infecció està ben localitzada, netejar pot ser suficient. Si la web és antiga, té molts plugins o no se sap com hi van entrar, reconstruir-la en net sol ser més segur a mitjà termini.

Les còpies de seguretat de l’allotjament són suficients?

Són útils, però no haurien de ser les úniques. Convé tenir còpies pròpies desades fora del servidor, perquè si el problema afecta l’allotjament o el teu compte, pots perdre les dues coses alhora.