Skaner bezpieczeństwa strony

Sprawdzanie strony na wirusy z zewnątrz: co naprawdę da się wykryć

Skaner online działa tak jak przeglądarka odwiedzającego: pobiera stronę główną i sprawdza, co zwrócił serwer. Jeśli złośliwy kod jest osadzony na tej stronie — skrypt przekierowujący, ukryty iframe, koparka kryptowalut, skimmer w formularzu płatności — będzie widoczny. Jeśli malware siedzi w plikach na serwerze i nic nie wyświetla na stronie głównej, żaden zewnętrzny skaner go nie znajdzie, niezależnie od tego, co obiecuje. Dlatego wynik „czysto” oznacza „brak oznak infekcji na stronie głównej i w publicznych bazach”, a nie „strona na pewno nie została zhakowana”.

Objawy włamania na stronę

O infekcji najczęściej dowiadujemy się z objawów, a nie ze skanera. Warto się przyjrzeć, gdy:

• w wynikach Google pod stroną pojawia się informacja o możliwym włamaniu albo Chrome pokazuje czerwone ostrzeżenie;
• użytkownicy telefonów lub osoby z wyszukiwarki trafiają na obcą stronę, a bezpośrednie wejście z komputera wygląda normalnie;
• zapytanie site:twojadomena.pl pokazuje podstrony, których nie tworzyłeś: kasyna, apteki, japoński spam;
• w Search Console jest komunikat w raporcie dotyczącym problemów z bezpieczeństwem;
• hosting zablokował konto lub przysłał maila o złośliwych plikach;
• w panelu CMS pojawili się nieznani administratorzy, a poczta z domeny trafia do spamu.

Wiele z tych objawów to właśnie malware, który ukrywa się przed bezpośrednim wejściem. Jeśli objawy są, a skan zewnętrzny jest czysty, szukaj w plikach serwera i w raporcie Search Console — Google podaje tam przykładowe zainfekowane adresy.

Co zrobić, gdy skan wykrył oznaki infekcji

1. Zrób kopię strony i bazy w obecnym stanie — przyda się, żeby ustalić, jak doszło do włamania.
2. Zmień hasła: hosting, FTP/SSH, panel CMS, baza danych. Usuń nieznanych administratorów.
3. Znajdź źródło. Kod z raportu wyszukaj w plikach motywu, w index.php, .htaccess i w bazie. Przejrzyj ostatnio zmienione pliki oraz pliki PHP w katalogu uploads — nie powinno ich tam być.
4. Zaktualizuj CMS, wtyczki i motywy, usuń nieużywane. Przestarzały komponent z raportu to prawdopodobna furtka.
5. Sprawdź ponownie, a jeśli Google oznaczył stronę, poproś o ponowne sprawdzenie z poziomu raportu bezpieczeństwa w Search Console.

Etykieta „do weryfikacji” oznacza sygnał heurystyczny. Zaciemniony kod zdarza się na przykład w legalnych skryptach statystyk. Zanim coś usuniesz, upewnij się, że to nie Twój własny skrypt.

Skan podatności strony: od czego zacząć

Nawet bez infekcji raport pokazuje słabe punkty. Rozsądna kolejność:

• Krytyczne i wysokie — przestarzały CMS lub wtyczka ze znanymi CVE, wygasły certyfikat, brak HTTPS. To naprawia się w pierwszej kolejności.
• Średnie — brak HSTS i Content-Security-Policy, cookies bez Secure, stare TLS 1.0/1.1. Zwykle kilka linijek w konfiguracji serwera. Szczegóły nagłówków pokaże Security Headers, certyfikatu — sprawdzenie SSL.
• Niskie i informacyjne — ujawniona wersja serwera, brak SPF, DMARC lub CAA. Rekordy poczty utrudniają wysyłanie maili podszywających się pod Twoją domenę; ustawisz je z pomocą sprawdzania SPF i DMARC.

Jeśli poczta z domeny trafia do spamu, sprawdź też IP serwera na czarnych listach — to reputacja niezależna od domeny.

Kiedy skan z zewnątrz to za mało

Skaner zewnętrzny nie zastąpi sprawdzenia plików. Jeśli strona była już zhakowana, przyjmuje płatności albo przynosi realny dochód, warto przeprowadzić głębszą kontrolę z dostępem do serwera. Po potwierdzeniu własności PromoPilot Shield dodaje wyszukiwanie odsłoniętych plików serwisowych (.git, .env, kopie zapasowe), test cloakingu oczami Googlebota, agenta serwerowego tylko do odczytu, który szuka backdoorów w plikach, oraz monitoring z alertami o nowych zagrożeniach.