WordPress взломан: очистка без потери SEO

Утром маркетолог пишет: «наш сайт ведёт на аптеку». Или в Search Console сыпятся жалобы на вредоносное ПО. Или клиент присылает скрин с редиректом, которого «у нас в админке нет». Классика взломанного WordPress.

Первый импульс — удалить всё подозрительное и переустановить. Второй — ничего не трогать, «вдруг SEO умрёт». Оба крайности дорого стоят. Слепая зачистка ломает индексируемые URL и шаблоны. Бездействие оставляет бэкдоры и санкции поисковиков.

Задача другая: вернуть контроль над сайтом так, чтобы трафик и сниппеты не обнулились вместе с вредоносным кодом.

Как обычно развивается инцидент

Чаще всего вход — устаревший плагин, слабый пароль админа или утечка с shared-хостинга. Дальше появляются скрытые PHP-шеллы, подмена `.htaccess`, вредонос в `uploads`, спам страницы под лекарства и казино, редиректы только для ботов Google.

Владелец видит «сайт вроде открывается». Поисковик и антивирусы браузеров уже видят другое. Через несколько дней падают позиции, реклама отклоняется, партнёры отказываются ставить ссылку.

Отдельный сценарий — «тихий» взлом: контент на месте, но в исходниках сидит майнер или рассылка спама. Хостинг режет IP, почта уходит в blacklist — а «сайт же работает».

Типичные ошибки при очистке

Удалять «лишние» файлы наугад. Вредонос маскируется под ядро и темы; заодно сносят нужные шаблоны, кастомные правки и редиректы, на которых держится SEO.

Править только то, что видно в браузере. Редирект для пользователя может быть чистым, а для бота — на спам. Без проверки с разными User-Agent и без сверки с бэкапом вы чистите витрину, оставляя дверь открытой.

Сразу менять URL, структуру и плагины «раз уж чиним». После инцидента поисковику и так тяжело. Массовые 404 и смена ЧПУ поверх взлома превращают восстановление позиций в месяцы.

Не менять пароли и ключи после очистки. Если бэкдор умел читать `wp-config`, злоумышленник вернётся через сутки.

Практичный порядок работ

Сначала зафиксируйте состояние: полный бэкап текущего (даже заражённого) дерева и базы, список плагинов и тем, скриншоты Search Console, список URL, которые уже в индексе со спамом. Без снимка легко «вылечить» сайт так, что откатиться будет некуда.

Затем отключите публичный вред: временно отдайте заглушку или включите maintenance для пользователей, но не удаляйте индексные URL без плана редиректов. Цель — остановить распространение и жалобы, не стереть историю сайта.

Дальше — сравнение с чистым эталоном: ядро и темы из официальных источников, дифф кастомных файлов, поиск веб шеллов и подозрительных `eval`/`base64` во вложениях. Базу проверяют на вредоносные опции, неизвестных админов и спам посты.

SEO-чувствительные шаги делают осознанно:

• сохраняют канонические URL и карту редиректов;
• удаляют только спам страницы и фиксируют 410/301 по плану;
• не меняют роботов и мета ради «очистки», если нет доказанной подмены;
• после чистки отправляют переобход заражённых URL и запрос на пересмотр в панелях вебмастеров.

Параллельно закрывают вход: обновления, сильные пароли, ограничение `xmlrpc` и админки по IP где уместно, двухфакторка, аудит FTP/SFTP и ключей CI.

Что считать успехом

Не «файлов подозрительных нет», а три результата: сайт отдаёт ваш контент без редиректов на спам, поисковые панели не видят malware, повторный вход закрыт. Плюс мониторинг целостности файлов — иначе через неделю история повторится на том же векторе.

SEO после инцидента: что не ломать

Поисковик уже мог проиндексировать заражённые URL. Их нужно не «забыть», а осознанно вычистить и запросить переобход. Массово менять структуру ЧПУ в тот же день — плохая идея: вы смешаете симптомы взлома с новой волной 404.

Сохраните robots, карты сайта и каноникалы, если они не были подменены. Если были — верните эталон из бэкапа до инцидента, а не придумывайте заново. Проверьте Search Console и панель вебмастера на предупреждения о вредоносном ПО и вручную отправьте чистые важные URL.

Контент, который писал маркетинг годами, часто лежит рядом с подброшенными спам страницами. Дифференцируйте: ваши статьи оставляете, фармацевтический спам удаляете с корректным статусом ответа. Иначе через месяц «очищенный» сайт всё ещё тащит токсичные сниппеты.

После возврата в индекс имеет смысл неделю смотреть органику и сканеры на повторные признаки: новые админы, новые файлы в uploads, неожиданные cron-задачи на хостинге. Повторный взлом на том же векторе — самый частый второй акт этой истории.

Коммуникация во время очистки

Пока идёт зачистка, договоритесь, что видят пользователи: заглушка, ограниченный режим или аккуратное сообщение о технических работах без деталей уязвимости. Паника в соцсетях часто больнее самой дыры.

Внутри компании назначьте одного голоса: маркетинг не обещает «уже всё чисто», пока ИТ не подтвердило отсутствие бэкдоров и смену секретов. Расхождение в статусах подрывает доверие сильнее задержки.

Сохраните хронологию действий: что нашли, что удалили, какие URL отправили на переобход, какие пароли сменили. Через месяц эта хронология пригодится и для страховки, и для предотвращения повтора.

Если сайт в рекламных кабинетах, заранее заложите время на модерацию после снятия предупреждений о malware. Иначе трафик «вернётся» позже, чем техническая чистота.

Итог

Очистка взломанного WordPress — это не «почистить папку», а контролируемое восстановление доверия: к сайту, к хостингу, к поиску. Страх «сломать SEO» понятен, но хуже оставить бэкдор и получить фильтр.

Работайте от снимка состояния, чистите по эталону, берегите URL и закрывайте дыру входа. Тогда позиции можно отбить. Если же править «на глаз» и надеяться, что редирект сам исчезнет — вы платите дважды: сначала простой, потом месяцами восстановления трафика.