Prieš kelias savaites su manimi susisiekė įmonė, kurios svetainė tiesiog nustojo normaliai veikti. Skubantis, susinervinęs balsas klausė viena: ar dar galima ką nors padaryti?
Atvėrus svetainę paaiškėjo, kad situacija kur kas blogesnė nei vien techniniai trikdžiai. Per kelias dienas (galbūt per savaitę, tiksliai nustatyti jau buvo neįmanoma) joje buvo:
- Sukurti tūkstančiai netikrų vartotojų profilių
- Įkelti šimtai įrašų, reklamuojančių internetinius kazino
- Sugadintas arba ištrintas originalus svetainės turinys
- Suardyta vidinė struktūra
- Ir, bene skausmingiausia, smarkiai pakirsta reputacija Google akyse
Priežastis? Vienas pasenęs įskiepis. Tiksliau, keli neatnaujinti įskiepiai ir trečiosios šalies tema, kurią autorius jau seniai buvo apleidęs.
Šiame straipsnyje paaiškinsiu, kodėl WordPress svetainės atnaujinimai nėra „smulkmena, kurią galima atidėti“, o tiesioginė jūsų verslo, SEO investicijų ir reputacijos apsauga. Ir kodėl ignoruojant juos visi metai investicijų į matomumą gali pavirsti dulkėmis vos per savaitę.
Kodėl būtent WordPress svetainės yra dažniausias įsilaužėlių taikinys
WordPress sistema valdo apie 43% visų pasaulio interneto svetainių. Tai milžiniška ekosistema, ir būtent dėl savo masto ji yra dažniausias automatizuotų atakų taikinys.
Svarbu suprasti vieną dalyką: įsilaužėliai paprastai neieško konkrečios jūsų svetainės. Jie naudoja botus, kurie nuolat skenuoja internetą ir ieško bet kokios svetainės su žinomu pažeidžiamumu. Kai populiariame įskiepyje atrandama saugumo skylė, informacija apie ją būna paviešinama (kartais oficialiose duomenų bazėse, pvz., CVE registre). Nuo to momento kiekviena svetainė, kurioje veikia neatnaujinta versija, tampa atviromis durimis, tereikia, kad iki jos „prieitų eilė“.
Įskiepiai, silpniausia grandis
Įskiepiai yra patogiausias būdas išplėsti WordPress galimybes, bet kartu ir didžiausias saugumo iššūkis. Daugelis jų:
- Yra kurti pavienių autorių ar mažų komandų
- Nėra reguliariai atnaujinami
- Turi tiesioginę prieigą prie svetainės duomenų bazės
- Kartais būna „apleidžiami“ autoriaus, neperspėjus vartotojų
Net populiarūs ir patikimi įskiepiai gali turėti pažeidžiamumų, skirtumas tas, kad atsakingi autoriai juos pataiso per kelias dienas. Bet jeigu jūs neatnaujinate svetainės, pataisymas jūsų atveju paprasčiausiai neegzistuoja.
Trečiųjų šalių temos, dar didesnė rizika
Jei naudojate ne savo komandos sukurtą temą, ypač nemokamą arba įsigytą iš mažiau žinomų tinklapių, rizika dar didesnė. Tokios temos dažnai turi pasenusį kodą, įtraukia trečiųjų šalių bibliotekas (kurios pačios gali būti pažeidžiamos), o kai kuriais atvejais, net paslėptą kenksmingą kodą, įdiegtą jau tema parduodant.
Tikra istorija, kaip per savaitę buvo sugriautas metų SEO darbas
Grįžkime prie minėtos įmonės. Kas konkrečiai įvyko?
Įsilaužėliai pasinaudojo pasenusio įskiepio pažeidžiamumu, kad gautų administratoriaus lygio prieigą prie svetainės. Nuo to momento jie veikė automatizuotai:
1. Sukūrė tūkstančius netikrų vartotojų profilių, kad galėtų masiškai generuoti turinį be apribojimų.
2. Įkėlė šimtus spamo įrašų, daugiausia apie internetinius kazino, lažybas ir abejotinas finansines paslaugas. Visi šie įrašai buvo viešai prieinami ir, kas svarbiausia, Googlebot’o indeksuojami.
3. Sugadino originalų turinį. Dalis straipsnių, į kuriuos klientas buvo investavęs daug laiko ir pinigų SEO prasme, tiesiog dingo arba buvo perrašyti. Kelios pagrindinės landing puslapių versijos atrodė iškraipytos.
4. Suardė vidinę nuorodų struktūrą, nukreipdami autoritetą į savo kazino spamo puslapius. Tai reiškia, kad teisėtų puslapių „svoris“ Google akyse buvo iššvaistytas į svetimą turinį.
Bet pati blogiausia detalė, visa tai įvyko tyliai. Klientas pastebėjo problemą tik tada, kai svetainė pradėjo veikti netinkamai (perkrautas serveris, lėtumas, klaidos administravimo skydelyje). O tai reiškia, kad Google jau buvo spėjęs visa tai indeksuoti ir įvertinti.
Kodėl tai sugriauna SEO, ir kodėl atstatyti pozicijas yra labai sunku
Daugelis verslo savininkų galvoja: „Na, įsilaužimas, nemalonu, bet pasitvarkysime, ištrinsime spamą ir judėsime toliau.“ Realybėje viskas kur kas sudėtingiau, ypač SEO požiūriu.
Štai kas vyksta su jūsų svetaine Google akimis, kai ji yra nulaužta:
1. Google užfiksuoja kompromituotą turinį
Kiekvienas kazino spamo postas, kurį spėjo indeksuoti Googlebot’as, yra signalas paieškos sistemai, kad svetainėje vyksta kažkas neįprasto. Algoritmas pradeda mažinti pasitikėjimą visa svetaine, ne tik „blogais“ puslapiais.
2. Atsiranda „Šis tinklalapis gali būti nulaužtas“ įspėjimas
Tai nėra vien kosmetinė problema. Toks įspėjimas paieškos rezultatuose praktiškai nužudo paspaudimų skaičių (CTR). Net jei jūsų pozicija formaliai išliktų, niekas neklikčios ant rezultato su tokiu įspėjimu. Kelios savaitės su tokiu įspėjimu reiškia, kad nuolatiniai klientai pradeda jus pamiršti.
3. Manualinė sankcija (Manual Action)
Sunkesniais atvejais Google taiko rankinę sankciją, svetainė tiesiog dingsta iš paieškos rezultatų arba krenta į neegzistuojančias pozicijas (3-as, 5-as ar 10-as puslapis). Šios sankcijos pašalinimas reikalauja oficialaus prašymo Google Search Console, įrodymų, kad problema išspręsta, ir gali užtrukti savaites ar net mėnesius.
4. Crawl budget švaistymas
Tūkstančiai netikrų puslapių reiškia, kad Googlebot’as praleidžia laiką juos skenuodamas vietoje to, kad indeksuotų jūsų realų, vertingą turinį. Net pašalinus spamą, Google dar ilgai grįžta tikrinti tų URL adresų, ir tai mažina dėmesį jūsų svarbiausiems puslapiams.
5. Backlink toksiškumas
Įsilaužėlių sukurti puslapiai dažnai būna susieti su kitais juodojo SEO tinklais (kazino, vaistų, suklastotų prekių svetainėmis). Tai užteršia jūsų svetainės „kaimynystę“ Google akyse, algoritmas pradeda manyti, kad ir jūs priklausote tam pačiam tinklui.
6. Brand ir klientų pasitikėjimo praradimas
Jei potencialus klientas paieškoje pamato jūsų svetainę su kazino reklamomis arba spustelėjęs patenka į netinkamą turinį, pasitikėjimas dingsta. Net pilnai sutvarkius techninę pusę, žmogus tai prisimins ir kitą kartą rinksis konkurentą.
Realybė tokia: SEO darbas, į kurį investavote mėnesius ar metus, gali per savaitę pavirsti dulkėmis. O atstatymas, jeigu apskritai įmanomas pilnai, kainuoja kelis kartus daugiau nei būtų kainavusi reguliari priežiūra.
Ką ir kaip dažnai būtina atnaujinti
Atsakingas WordPress svetainės administravimas apima reguliarų kelių komponentų atnaujinimą. Štai svarbiausi:
WordPress branduolys (core)
Pagrindinė sistema. Atnaujinimai išleidžiami reguliariai, ypač saugumo pataisymai. Kritinius saugumo atnaujinimus reikia diegti per kelias dienas nuo jų išleidimo, ne mėnesius vėliau, kaip dažnai būna realybėje.
Įskiepiai (plugins)
Tikrinti reikia bent kartą per savaitę. Bet svarbu suprasti, kad atnaujinti, ne vienintelis žingsnis. Reikia ir:
- Pašalinti nenaudojamus įskiepius (kiekvienas neaktyvus, bet įdiegtas įskiepis vis tiek yra rizika)
- Atsisakyti įskiepių, kurių autorius nustojo palaikyti
- Stebėti, ar yra saugesnių alternatyvų
Tema (theme)
Net jei vizualiai jokio skirtumo nematote, tema yra svetainės pagrindas. Ją reikia atnaujinti, o jei naudojate child temą, įsitikinti, kad atnaujinimai netrikdo jūsų pritaikymų.
PHP versija
Daugelis verslo savininkų net nesusimąsto, kad jų svetainė vis dar veikia su PHP 7.2 ar net senesne versija, seniai nebepalaikoma. Naujesnės PHP versijos ne tik iki 30% greitesnės, bet ir žymiai saugesnės.
Atsarginės kopijos, SSL, duomenų bazė
Mažiau matomi, bet ne mažiau svarbūs elementai. Atsarginė kopija, kurios niekada nebandėte atstatyti, yra ne atsarginė kopija, o iliuzija.
Kodėl atnaujinimai be pasiruošimo, taip pat rizika
Yra ir kita problemos pusė. Aklas „atnaujinti viską iš karto, paspaudus visus mygtukus“ gali sugriauti svetainę kitaip, per nesuderinamumus tarp komponentų versijų.
Profesionalus atnaujinimas reiškia:
- Pilna atsarginė kopija prieš atnaujinimą (ne tik failai, bet ir duomenų bazė, saugoma atskirai nuo serverio)
- Testavimas staging aplinkoje, ne tiesiogiai gyvoje svetainėje
- Veikimo stebėjimas po atnaujinimo, ar viskas užkrauna, ar formos veikia, ar e-parduotuvė priima užsakymus
- Greitas atstatymas (rollback), jei kažkas neveikia
Štai kodėl daugelis savininkų atidėlioja atnaujinimus, jie bijo, kad svetainė „nulūš“ ir teks samdyti pagalbą. Realybė tokia, kad neatnaujinimas yra kelis kartus didesnė rizika nei galimas trumpalaikis suderinamumo nesklandumas, kurį patyręs specialistas išspręstų per kelias minutes.
Ką galite padaryti jau šiandien
Jei skaitote šį straipsnį ir esate WordPress svetainės savininkas Lietuvoje, štai keli žingsniai, kuriuos verta atlikti dabar:
- Patikrinkite, kada paskutinį kartą atnaujinote svetainę. Jei neprisimenate, situacija jau kritinė.
- Įdiekite kokybišką saugumo įskiepį (pvz., Wordfence, Sucuri, iThemes Security).
- Įsitikinkite, kad turite veikiančias atsargines kopijas, ne serveryje, o atskiroje vietoje (pvz., Google Drive, Dropbox, atskirame debesyje).
- Pašalinkite nenaudojamus įskiepius ir temas, net neaktyvūs jie yra rizika.
- Patikrinkite vartotojų sąrašą, ar nėra jums nepažįstamų administratorių.
- Patikrinkite Google Search Console, ar nėra įspėjimų apie saugumo problemas.
Atvirai kalbant, šie žingsniai reikalauja techninių žinių. Vienas neteisingas spustelėjimas atnaujinant, ir svetainė neveikia. Vienas netinkamai pašalintas įskiepis, ir prarasti duomenys.
Profesionali svetainės priežiūra Lietuvoje, kaip nedingti iš Google ir miegoti ramiai
Kaip web developerio ir SEO specialisto Lietuvoje veikla mane dažnai atveda į panašias situacijas, kai jau per vėlu. Atstatyti nulaužtą svetainę kainuoja kelis kartus daugiau nei reguliari kasmėnesinė priežiūra. O atstatyti SEO pozicijas po Google manualinės sankcijos kartais užtrunka mėnesius arba neįvyksta apskritai.
Štai kodėl siūlau WordPress svetainių administravimo paslaugą, kuri apima:
- Reguliarius branduolio, įskiepių ir temos atnaujinimus testuotoje aplinkoje
- Atsarginių kopijų valdymą ir saugojimą atskirai nuo serverio
- Saugumo stebėseną ir greitą reagavimą įvykus problemai
- Greitumo ir veikimo priežiūrą
- Mėnesinę ataskaitą apie svetainės būklę
Geriausias laikas pradėti rūpintis svetainės saugumu buvo prieš metus. Antras geriausias, šiandien.
Jei abejojate dėl savo svetainės būklės, siūlau pradėti nuo nemokamo audito. Patikrinsiu, ar jūsų WordPress versija, įskiepiai ir tema yra atnaujinti, ar nėra saugumo signalų ir kokie pirmieji žingsniai būtų svarbiausi.
