Сайтвзломали:какпонятьичтоделать

Сайт взломали, если на нём работает чужой код: посетителей перебрасывает на другие сайты, появились незнакомые страницы, файлы или администраторы, а Яндекс, браузер или хостинг предупреждают об опасности. Что делать: сделайте копию, смените все пароли, удалите код, закройте дыру и отправьте сайт на перепроверку. Ниже проверка за 10 минут, порядок действий и тексты для хостинга.

Взлом часто выглядит как обычная поломка. В январе 2026 магазин инструментов на Битриксе попросил поменять адрес и телефон. Визуальный редактор вечно грузился, новый адрес на карте не ставился даже по координатам. Я предложил аудит и в первый же день нашёл файл, который перехватывал действия сайта. Всего вирусов оказалось три, один из них бэкдор. После чистки сайт ожил, а карта заработала.

Как понять, что сайт взломали

Что видите	Что это может значить	Где проверить
Посетителей перебрасывает на чужой сайт, особенно с телефона	Вредоносный редирект	Телефон, мобильный интернет, вход из поиска
В поиске страницы про казино, лекарства или на чужом языке	Взломанный контент	Запрос site:ваш-сайт.ru, «Страницы в поиске» в Вебмастере
Предупреждение в выдаче или браузере	Сайт уже признан опасным	Яндекс Вебмастер, Google Search Console
Хостинг пишет о вирусе, спаме или нагрузке	С сайта запускают чужой код или рассылку	Письма хостинга, панель
Незнакомый администратор или плагин	Злоумышленник закрепился в админке	Список пользователей и плагинов
Пропал вход в админку	Пароль сменили или учётную запись убрали	Панель хостинга, база
Виснет редактор, ломаются формы или корзина	Вредонос мешает работе сайта	Сканер, журнал, даты файлов

Владелец может ничего не заметить. Редирект часто срабатывает только с мобильных или только у посетителей из поиска. Сайт открывается у вас, а клиенты уходят на чужую страницу.

Похожие признаки перечисляет WordPress: сайт в чёрных списках, хостинг отключил сайт, антивирусы посетителей срабатывают, появились новые пользователи.

Как проверить сайт на вирусы за 10 минут

1. Вебмастер. Откройте в Яндекс Вебмастере раздел «Оптимизация сайта → Безопасность и нарушения». В Google Search Console это отчёт «Проблемы безопасности».
2. Выдача. Наберите site:ваш-сайт.ru. Ищите чужие заголовки и странные адреса.
3. Телефон. Откройте сайт из поисковой выдачи через мобильный интернет, не заходя в админку.
4. Пользователи. Посмотрите администраторов, плагины и задания cron.
5. Даты файлов. В файловом менеджере отсортируйте файлы по дате изменения. Смотрите .htaccess, index.php, файлы темы. По SSH это делает команда find . -name "*.php" -mtime -7, она покажет PHP-файлы, изменённые за 7 дней.
6. Внешний сканер. WordPress советует VirusTotal и Sitecheck. Они видят только то, что снаружи, поэтому чистый отчёт не доказывает отсутствие вируса.
7. Сканер файлов. Включите антивирус в панели хостинга, если он есть. На WordPress подойдут Wordfence или AI-Bolit. На Битриксе есть раздел «Настройки > Проактивная защита»: там «Сканер безопасности» и «Поиск троянов».

Сканер выдаёт подозрения, а не приговор. В феврале 2025 у того же магазина пропал доступ в админку: это была волна взломов сайтов на решениях Аспро. Сканер показал 85 потенциально небезопасных файлов. Часть таких срабатываний может быть обычным кодом, поэтому каждый файл нужно смотреть глазами.

Сайт взломали: что делать по шагам

1. Запишите, что видите. Время, адреса страниц, скриншоты, что делали накануне. Это основа для хостинга и разработчика.
2. Сделайте копию как есть. Файлы и база, даже заражённые. Если чистка что-то сломает, будет куда вернуться. Копия понадобится и для поиска причины.
3. Напишите хостингу. На общем хостинге могут быть задеты соседние сайты. Хостинг подскажет свои антивирусы, журналы и резервные копии.
4. Смените пароли. Хостинг, FTP и SFTP, админка, база данных, почта домена. Для всех пользователей с доступом, а не только для себя.
5. Проверьте компьютеры. Заражение часто начинается с компьютера, откуда вводили пароли. Проверьте антивирусом все машины с доступом, иначе новый пароль уйдёт туда же.
6. Решите: откат или чистка. Сравнение ниже.
7. Удалите код. Проверьте файлы и базу, замените файлы системы чистыми.
8. Закройте дыру. Обновите систему, плагины, шаблон и PHP. Удалите лишнее и пиратское.
9. Смените пароли ещё раз. WordPress прямо советует сделать это после чистки: первые могли утечь, пока вирус был на сайте.
10. Отправьте сайт на перепроверку. В Яндекс Вебмастере и Google Search Console.
11. Следите дальше. Регулярно сканируйте файлы. Вирус, который вернулся, значит, что дыру не закрыли.

На WordPress сбросьте и активные сессии: создайте новые секретные ключи в wp-config.php. Все, кто вошёл в админку, вылетят из неё, включая злоумышленника.

Закрывать ли сайт на время чистки, решайте по вреду. Если вирус отправляет посетителей на опасные страницы, заглушка на пару часов разумнее. Перед отправкой на проверку снимите её: Яндекс не рекомендует ограничивать доступ, а при ответах 5xx откладывает проверку. Запись старая, 2016 года, но другого разъяснения я не нашёл.

Чистить сайт или откатить из копии

	Откат из копии	Чистка на месте
Подходит, когда	Есть копия до заражения, и дата заражения понятна	Копий нет, заражение старое или свежие заказы терять нельзя
Риск	Вирус мог быть и в копии. Дыра остаётся открытой	Можно пропустить файл, и вирус вернётся
Потери	Заказы, заявки и правки после даты копии	Время и деньги на разбор
После работы	Всё равно обновить и закрыть дыру	Всё равно обновить и закрыть дыру

Иногда выбора нет. В декабре 2023 я смотрел сайт, где вредонос удалял старые файлы и ставил свои. Заменено было почти всё, чистить стало нечего. Данные от хостинга у владельцев тоже уже не подходили. Оставался откат из архива, а в старых архивах вирус тоже мог сидеть, и тогда пришлось бы и откатывать, и чистить.

Чистка тоже бывает опасной. В апреле 2024 на WordPress-сайте одной компании появился плагин, который никто не ставил: в админку там давно не заходили. Вредоносный код лез в шапку сайта и сам себя распространял. После удаления кода сайт перестал открываться, поддержка хостинга помочь не смогла, и поднялся он только на следующий день. Поэтому копия до чистки обязательна.

Где обычно прячется вредоносный код

WordPress. Документация называет .htaccess, index.php, header.php, footer.php и functions.php. Добавьте к ним PHP-файлы в папке загрузок: там их быть не должно.

Папки wp-admin и wp-includes можно заменить чистыми той же версии. Сначала удалите старые папки, потом загрузите чистые по SFTP. Загрузка поверх и кнопка переустановки в админке перезаписывают существующие файлы, а лишние оставляют на месте.

Битрикс. Смотрите init.php, .htaccess, header.php, новые файлы в /upload/ и /bitrix/.

База данных. Вирус бывает и там: чужие скрипты в записях, настройках, новые администраторы. Чистка файлов такое не уберёт.

Типичный след в коде: eval(base64_decode(...)) и другие длинные нечитаемые строки. Удаляйте такой код только с копией под рукой.

Что написать хостингу

Здравствуйте. Подозреваем взлом сайта ваш-сайт.ru. С 09:15 по Москве посетителей перебрасывает на чужой адрес [адрес].

Помогите, пожалуйста:

1. Есть ли у вас уведомления о вредоносном коде или рассылке с нашего аккаунта.
2. Пришлите журналы доступа и FTP за последние 14 дней.
3. Какие резервные копии есть и за какие даты.
4. Запустите антивирус по аккаунту и пришлите список файлов.
5. Задеты ли другие сайты на аккаунте.

Сразу спросите, не отключит ли хостинг сайт за вредоносный код. Бывает и такое, и лучше узнать сроки заранее.

Что передать разработчику

• что вы увидели, когда, скриншоты и адреса страниц;
• уведомления Яндекса, Google, хостинга;
• кто имел доступ к сайту за последний год;
• версии системы, плагинов и шаблона, есть ли пиратские;
• копию до чистки и даты всех копий;
• отчёт сканера и журналы хостинга;
• новые доступы отдельным пользователем.

Спросите разработчика, как вирус попал на сайт. Если ответа нет, чистка закончена наполовину. Заказчик того магазина задал правильные вопросы: какие вирусы нашли, как устранили, что теперь стоит на сайте и надо ли это обновлять. Такой отчёт стоит просить всегда.

Как снять предупреждение Яндекса и Google

Яндекс. По текущей справке порядок такой:

1. Откройте «Оптимизация сайта → Безопасность и нарушения».
2. В блоке нарушения опишите, что исправили, при необходимости приложите файлы.
3. Поставьте отметку «Нарушение исправлено».
4. Нажмите «Отправить на проверку».

Срок проверки в справке: в течение 30 дней. Если ограничение не сняли, следующая отправка возможна только через 30 дней. В старых инструкциях встречается кнопка «Я все исправил», интерфейс менялся. Поэтому не спешите: сначала убедитесь, что вирус удалён полностью.

Закрывать страницы в robots.txt бесполезно. Яндекс проверяет сайты на опасность независимо от него. После снятия ограничения отметка об опасности из поиска пропадает, а вот возврат прежних позиций никто не обещает.

Google. В отчёте о проблемах безопасности нажмите «Запросить проверку», опишите проблему, что сделали и доказательства. Рассмотрение обычно занимает несколько дней или недель. Если запросить проверку, не устранив проблему, сайт может получить статус «Неоднократные нарушения».

Если могли утечь данные клиентов

Часто думают только о сайте и забывают про базу заявок и заказов. Если злоумышленник мог получить персональные данные, у оператора есть обязанность по части 3.1 статьи 21 закона 152-ФЗ: уведомить Роскомнадзор в течение 24 часов, а результаты расследования передать в течение 72 часов. Сроки считаются с момента обнаружения.

Проверьте с юристом, ваш ли это случай. Сайт хранил заказы или заявки с телефонами, значит, вопрос стоит задать сразу, не дожидаясь конца чистки. Подробнее о требованиях к сайту в статье о требованиях 2026 года.

Как защитить сайт на WordPress

Основа списка взята из руководства WordPress по защите.

• Обновления. WordPress, плагины, тема и PHP. Старые версии опаснее всего: детали их уязвимостей уже опубликованы.
• Пароли и вход. Длинные, разные, с двухэтапной проверкой.
• Лишнее. Удалите неиспользуемые плагины и темы. Пиратские не ставьте вовсе.
• Редактор файлов. Отключите его строкой define( 'DISALLOW_FILE_EDIT', true ); в wp-config.php.
• Права файлов. Обычно 755 для папок и 644 для файлов, wp-config.php строже.
• SFTP вместо FTP. Пароль не должен идти открытым текстом.
• Копии. По расписанию, с датами, вне сайта.
• Наблюдение. Журналы и контроль изменений файлов.

На Битриксе добавьте установку обновлений, «Контроль целостности» и «Веб-антивирус». На том магазине я поставил защиту на уровне файловой системы, защиту от прямых запросов и фоновый запуск антивируса. Гарантий такие меры не дают, но новую атаку они усложняют и быстрее показывают.

Самые опасные дни наступают, когда выходит новость. 21 октября 2026 PHP закрыл две критические уязвимости, и ответ разработчиков был один: обновляться. Я заранее поставил мониторы на сайты клиентов, потому что после выхода исправления счёт идёт на часы. Владельцу сайта в такой день нужен человек, который следит за этим вместо него.

Когда звать специалиста

Сами вы можете проверить признаки, собрать данные, сменить пароли, написать хостингу, откатиться на копию, если она заведомо чистая.

Разработчик нужен, если вирус вернулся, нет чистой копии, сайт приносит деньги или хранит данные клиентов, Яндекс уже поставил метку, а причина заражения неизвестна. Если сайт ещё и выдаёт ошибку вместо страниц, начните с разбора критической ошибки WordPress.

Цены из опыта: чистка маленького сайта на WordPress от 3 000 ₽, срочная чистка магазина на Битриксе после массовой уязвимости 7 000 ₽, аудит с чисткой и защитой такого магазина 14 000 ₽. Точную сумму называю после просмотра файлов, разбор стоит 3 000 ₽ и идёт в зачёт работы.

Пришлите признаки и адрес сайта через бесплатный разбор. Постоянные обновления и резервные копии входят в поддержку от 10 000 ₽ в месяц.