Взломали сайт на WordPress: что делать, 5 шагов реанимации и цены в 2026

«Николай, сайт показывает какие-то иероглифы, а вместо каталога — реклама казино. Мы теряем клиентов, что делать?!»

За 15 лет работы с WordPress я получал такие сообщения сотни раз. Паника на том конце провода всегда одинаковая: бизнес стоит, SEO-позиции летят в тартарары, а репутация висит на волоске. Если вы читаете это и у вас только что произошла похожая ситуация — выдыхайте. Паника сейчас ваш главный враг. В этой статье разберем без воды и маркетинговой шелухи, что делать, если взломали сайт на WordPress, сколько стоит его реанимация и как не наступить на грабли при лечении.

Первые 24 часа: паника vs план действий

Когда вы понимаете, что взломали сайт на WordPress, что делать в первые минуты? Не нужно пытаться «потыкать» все кнопки в админке.

Шаг 1. Изоляция и остановка кровотечения

Первое, что мы делаем — закрываем сайт от индексации (если есть доступ к админке) или ставим жесткую заглушку через .htaccess на уровне хостинга. Зачем? Чтобы поисковики (Яндекс и Google) не успели проиндексировать спам-ссылки или вредоносный код, которые подкинули хакеры.

Шаг 2. Оценка ущерба и поиск «входной двери»

Нельзя просто удалить видимый вирус. Хакеры всегда оставляют бэкдоры (через которые можно зайти снова). Мы смотрим логи сервера, ищем измененные файлы ядра, проверяем базу данных на скрытых администраторов и анализируем, через какую уязвимость (старый плагин, слабый пароль, дырявая тема) злоумышленники попали внутрь.

Сколько стоит восстановление WordPress-сайта в 2026 году

Тема денег всегда болезненная, но давайте смотреть правде в глаза: лечение всегда дороже профилактики. Вилки цен на рынке сейчас такие:

• Бюджетный сегмент (5 000 – 10 000 руб.). Обычно это фрилансеры-новички или биржевые исполнители. Они просто найдут и удалят видимые вредоносные скрипты, может быть, переустановят ядро. Минус: с вероятностью 70% бэкдор останется, и через неделю вас взломают снова.
• Средний сегмент (15 000 – 35 000 руб.). Работа профильного специалиста (например, моя команда). Это глубокая чистка: ручная проверка кода, очистка базы данных, поиск уязвимости, закрытие дыр, настройка базовой защиты. Вы получаете не просто «работающий сайт», а гарантию, что дыра закрыта.
• Премиум / Сложные случаи (40 000 – 80 000+ руб.). Если у вас крупный интернет-магазин на WooCommerce, кастомная разработка, или хакеры успели зашифровать базу данных (вирус-вымогатель). Тут требуется перелопатить тысячи строк кода, восстановить связи в БД и выстраивать эшелонированную защиту.

Откуда берутся вирусы (спойлер: дело не в «злом роке»)

Клиенты часто говорят: «Ну у меня же маленький сайт, кому он нужен?». Отвечаю: ваш сайт нужен ботам. Им не нужен ваш бизнес, им нужны серверные мощности для майнинга, рассылки спама с вашего домена или простановки спам-ссылок.

Основные пути заражения:

1. Nulled (пиратские) темы и плагины. Скачали премиум-тему бесплатно? Поздравляю, в 99% случаев в ней уже зашит вредоносный код, который срабатывает через месяц.
2. Устаревшее ПО. Не обновили WordPress или плагин, в котором закрыли критическую уязвимость? Бот-сканер найдет это за 5 минут.
3. Слабые пароли. admin123 на FTP или в админку — это не пароль, а приглашение для хакеров.

Кстати, базовые вещи, которые должны быть настроены у каждого, я подробно расписал в статье про Безопасность сайта: минимум, который должен быть у каждого бизнеса. Почитайте, это сэкономит вам нервы.

Что делать, если сайт просто «упал» (это не всегда взлом)

Иногда белый экран смерти (Error 500) или критическая ошибка — это не происки хакеров, а результат кривого обновления плагина или падения базы данных на хостинге. Прежде чем бить тревогу и искать вирусы, нужно понять природу проблемы. Если вы не уверены, Сайт упал: Кто виноват и что делать — читайте по ссылке, там есть простой алгоритм диагностики без паники.

Типичные ошибки при самостоятельном лечении

Когда владельцы пытаются спасти сайт сами, они часто делают только хуже. Разберем частые грабли:

• Ошибка: Откатить бэкап, не проверив его дату.
  Решение: Хакеры часто сидят в системе неделями до того, как активируются. Если вы восстановите бэкап, сделанный после заражения, вы просто вернете себе вирус. Всегда проверяйте чистоту бэкапа. Подробнее про то, как настроить бэкапы правильно, чтобы не попасть в такую ловушку, я писал в материале Резервное копирование сайта: как не потерять всё за 5 минут.
• Ошибка: Удалить только видимый вирусный файл.
  Решение: Искать первопричину. Если не закрыть уязвимость (например, не обновить дырявый плагин), хакер зайдет через нее снова через час.
• Ошибка: Поменять пароль только в админке WordPress.
  Решение: Менять пароли везде: в админке WP, в базе данных, на FTP/SFTP, в панели управления хостингом.
• Ошибка: Надеяться на один антивирусный плагин.
  Решение: Плагины (типа Wordfence) хороши для мониторинга, но если сайт уже взломан, они часто не видят глубоко замаскированный код в ядре или базе. Нужна ручная работа.

Вывод

Взлом сайта — это не конец света, но это отличный повод пересмотреть свое отношение к цифровой гигиене бизнеса. Главная ценность при лечении — не просто вернуть «картинку», а найти и закрыть дыру, через которую попали злоумышленники, и сохранить накопленные SEO-позиции. Экономить на качественной чистке — значит платить за повторный взлом и простой бизнеса.

Если ваш сайт попал в беду, или вы просто хотите спать спокойно и знать, что ваш WordPress под надежным присмотром — обращайтесь. Занимаюсь поддержкой и разработкой WordPress-сайтов уже 15 лет, знаю все болячки этой CMS изнутри.

Взломали сайт на WordPress?

Закажите бесплатный аудит вашего сайта на вирусы. Посмотрю и подскажу стоимость восстановления работы. Без накруток.

Заказать в телеграм

Чек-лист: что сделать после восстановления сайта

Чтобы сон был крепким, после лечения прогоните сайт по этому чек-листу:

✅ 1. Проверить целостность файлов ядра WordPress (сравнить с оригиналом).
✅ 2. Просканировать базу данных на наличие скрытых пользователей с ролью «Администратор».
✅ 3. Сменить пароли везде (WP, БД, FTP, хостинг, email привязанный к сайту).
✅ 4. Обновить WordPress, все плагины и темы до последних версий.
✅ 5. Удалить неактивные плагины и темы (они тоже вектор атаки).
✅ 6. Проверить файл .htaccess на наличие чужих редиректов.
✅ 7. Настроить двухфакторную аутентификацию (2FA) для всех админов.
✅ 8. Ограничить количество попыток входа в админку.
✅ 9. Проверить права доступа к файлам и папкам (644 для файлов, 755 для папок).
✅ 10. Установить и настроить надежный плагин безопасности (или WAF на уровне хостинга).
✅ 11. Настроить автоматические ежедневные бэкапы с хранением на внешнем сервере.
✅ 12. После полной очистки — отправить сайт на повторную проверку в Яндекс.Вебмастер и Google Search Console, чтобы снять санкции за вредоносный код.

FAQ

1. Поисковики навсегда забанят мой сайт за взлом?
Нет, если вы быстро среагируете. После полной очистки и закрытия уязвимости нужно отправить сайт на повторную проверку через Яндекс.Вебмастер и Google Search Console. Обычно плашка «сайт взломан» снимается в течение 1-3 дней.

2. Могу ли я почистить сайт сам с помощью бесплатного плагина?
Можете попробовать, если у вас есть опыт чтения PHP-кода и работы с серверными логами. Но если вы не разработчик, вы с вероятностью 90% не найдете замаскированный бэкдор, и сайт взломают снова.

3. Зачем хакерам мой маленький сайт-визитка?
Им не нужен ваш бизнес. Боты сканируют весь интернет. Ваш домен используют для фишинговых рассылок, проксирования трафика, майнинга крипты за счет ресурсов хостинга или простановки спам-ссылок.

4. Поможет ли полная переустановка WordPress с нуля?
Поможет, но это путь боли. Вам придется переносить контент, а если вирус уже сидит в базе данных, вы перенесете его вместе с контентом. Гораздо быстрее и безопаснее вычистить код и БД на текущем месте.

5. Сколько времени занимает восстановление?
Зависит от глубины поражения. Простую чистку от спама в базе можно сделать за 2-4 часа. Если хакеры переписали ядро, внедрились в темы и оставили десяток бэкдоров — работа займет от 1 до 2 суток.