WordPress gehackt: wat nu? Zo herstel je je site

Je bezoekers komen ineens op een spamsite terecht, Google toont “Deze site is mogelijk gehackt”, of je hoster heeft je site offline gezet wegens malware. Een gehackte WordPress-site is vervelend, maar wel op te lossen. Het belangrijkste: rustig en in de goede volgorde werken, zodat je niet alleen de symptomen weghaalt maar ook het lek dicht. Dat lees je hier.

Signalen dat je site gehackt is

• Bezoekers worden (soms alleen vanaf Google of op mobiel) doorgestuurd naar een andere site.
• In Google staan bij je site vreemde titels, vaak in het Japans of over medicijnen, of een waarschuwing dat de site gehackt kan zijn.
• Er staan onbekende beheerders in je gebruikerslijst.
• Je hoster meldt malware of je site verstuurt ineens massaal spam.
• Er staan PHP-bestanden in je uploadmap (wp-content/uploads), waar alleen afbeeldingen en documenten horen.
• Je site is plotseling veel trager of je beheerderswachtwoord werkt niet meer.

Let op: sommige hacks tonen zich alleen aan bezoekers die niet zijn ingelogd. Controleer daarom ook in een privévenster en via een ander apparaat.

Stap 1: beperk de schade

1. Maak een kopie van de huidige situatie (bestanden en database), ook al is hij besmet. Die heb je nodig om te zien wat er is gebeurd.
2. Zet de site eventueel tijdelijk in onderhoudsmodus, zodat bezoekers niet op een schadelijke site terechtkomen.
3. Wijzig alle wachtwoorden: van je hostingaccount, FTP/SFTP, de database en alle WordPress-beheerders. Doe dat vanaf een computer waarvan je zeker weet dat hij schoon is.

Stap 2: vind en verwijder de besmetting

• Scan de site met een beveiligingsplugin zoals Wordfence of een vergelijkbare scanner. Die vergelijkt je bestanden met de originele versies en vindt bekende malware.
• Vervang WordPress zelf door een verse kopie. Overschrijf alles behalve wp-content en wp-config.php.
• Installeer plugins en thema’s opnieuw vanuit een betrouwbare bron. Verwijder alles wat je niet gebruikt. Gebruik nooit illegaal gekopieerde (“nulled”) premium plugins: daar zit regelmatig de achterdeur in.
• Controleer wp-content/uploads op PHP-bestanden en verwijder die.
• Controleer wp-config.php en .htaccess op vreemde regels.
• Controleer de gebruikers en verwijder onbekende beheerders. Kijk in de database ook naar onbekende accounts die in het beheer niet zichtbaar zijn.
• Vernieuw de beveiligingssleutels (salts) in wp-config.php. Daarmee wordt iedereen uitgelogd, ook een inbreker die nog een sessie had.

Een schone back-up van vóór de hack terugzetten kan sneller zijn, maar alleen als je zeker weet dat die echt van vóór de inbraak is en je daarna meteen het lek dicht. Anders ben je binnen een paar dagen weer terug bij af.

Stap 3: dicht het lek

Zoek uit hoe de inbreker binnenkwam. Vaak is dat een verouderde plugin met een bekend lek, een zwak of gelekt wachtwoord of een verlaten plugin die niet meer wordt bijgewerkt. Werk alles bij, verwijder wat niet nodig is, zet tweestapsverificatie aan voor alle beheerders en volg de checklist in WordPress beveiligen.

Stap 4: herstel je naam bij Google

Heeft Google een waarschuwing bij je site gezet, vraag dan na het opschonen een beoordeling aan via Google Search Console (onderdeel Beveiligingsproblemen). Verwijder daarnaast spampagina’s die de hacker heeft aangemaakt, zodat ze een 404 of 410 geven en uit de zoekresultaten verdwijnen. Controleer ook of je domein niet op een spamlijst staat als je site mail heeft verstuurd.

Wat je beter niet doet

• Alleen de zichtbare spam weghalen. De achterdeur blijft dan staan en de spam komt terug.
• Direct alles verwijderen zonder kopie. Dan kun je niet meer nagaan hoe de inbreker binnenkwam.
• Alleen je WordPress-wachtwoord wijzigen. Ook hosting, FTP en database moeten nieuwe wachtwoorden krijgen.
• De site weer online zetten zonder updates. Het lek waardoor de hacker binnenkwam zit er dan nog.
• Wachten tot het vanzelf overgaat. Hoe langer een hack blijft staan, hoe groter de kans dat Google je site markeert of je hoster hem offline haalt.

Zelf opschonen of laten doen?

Zelf opschonen kan als je weet wat je doet en de besmetting beperkt is. Mis je één achterdeur, dan komt de hacker terug. Bij een webshop of een site met klantgegevens speelt ook de AVG: bij een datalek moet je soms melding doen bij de Autoriteit Persoonsgegevens.

Wil je het uit handen geven, ga dan naar WordPress-spoedhulp. Een doorlopende controle op malware kan met de WordPress malware-scan. Om herhaling te voorkomen kun je je site laten draaien op onze WordPress hosting en het onderhoud laten doen, zodat updates niet meer blijven liggen.

Lees ook: WordPress-spoedhulp · WordPress hosting · WordPress onderhoud · WordPress beveiligen · WordPress malware-scan · inloggen lukt niet

← Terug naar de kennisbank