Prvih 5 hitnih koraka za spašavanje kada vam je web stranica hakirana

Kada vam je web stranica hakirana, najvažnije je ostati smiren, ograničiti štetu, izolirati sajt, obnoviti sve pristupne podatke, vratiti sajt iz čiste sigurnosne kopije, ukloniti maliciozne kodove i uvesti trajne sigurnosne mjere. U prvih 24 sata cilj je prekinuti pristup napadača, spriječiti daljnju štetu prema posjetiteljima i vašim podacima, ne slati pogrešne signale pretraživačima i vratiti sajt sigurno online.

Hakiranje web stranice nije samo promjena naslovne slike ili poruke na početnoj stranici. Napadači često ostaju neprimjetni; kreiraju spam stranice, mijenjaju forme za plaćanje, dodaju administratorske naloge, ostavljaju skriveni kod za preusmjeravanje u bazi ili koriste vaš server za slanje e-pošte. Zato je proces oporavka više od “brisanja datoteka”. Potrebna je sistematična intervencija koja čuva dokaze, potvrđuje čistoću i sprječava ponavljanje incidenta.

U ovom vodiču objašnjavamo prvih 5 hitnih koraka prilikom hakiranja, pojednostavljeno ali praktično, bez obzira koristite li WordPress, custom rješenje, e-trgovinu ili korporativnu web stranicu. Glavna načela su ista: izoliraj, zatvori pristup, vrati čistu kopiju, provjeri, ojačaj.

Simptomi da je vaša stranica hakirana

Hakiranje ne mora odmah biti vidljivo kroz pad stranice. Neki napadi traju sedmicama neprimijećeni. Ako primijetite i jedan od sljedećih simptoma, tretirajte to kao sigurnosni incident:

• U Google rezultatima ispod vaše stranice pojavljuju se naslovi vezani za kockanje, lijekove, kriptovalute ili adult sadržaj.
• Vaš browser prikazuje upozorenje za malicioznu stranicu, phishing ili nesigurnu vezu.
• Ne možete ući u admin panel ili su se pojavili nepoznati administratorski nalozi.
• Na serveru se iznenada povećava CPU, RAM, disk ili promet slanja e-pošte.
• Neočekivane promjene u .htaccess, index.php, wp-config.php ili tematskim datotekama.
• Posjetitelji se preusmjeravaju na druge domene.
• Vaš hosting šalje masovne e-mailove bez vašeg znanja.
• Sigurnosni pluginovi su deaktivirani ili su logovi obrisani.

Primjer: blog koji obično ima 2.000 posjeta dnevno odjednom generira 30.000 zahtjeva – to je često znak bot aktivnosti, brute-force pokušaja ili malicioznog skripta. Ako tema koja je imala 10 MB naraste na 80 MB za nekoliko dana, moguće je da je napadač ubacio backdoor datoteke.

Prvih 30 minuta nakon hakiranja: Umjesto panike, čuvajte dokaze i kontrolu

Ne trčite odmah brisati sve datoteke. Nepromišljeno brisanje može sakriti tragove napada, otežati čišćenje i dovesti do vraćanja pogrešne kopije. Prvo napravite “fotografiju” trenutnog stanja: datum, vrijeme, prikazana upozorenja, pogođeni URL-ovi, sumnjivi korisnici, zadnje izmjene i hosting logove. Ovi podaci pomažu vašoj tehničkoj podršci i sigurnosnim stručnjacima da brže dijagnosticiraju problem.

Pogotovo kod e-trgovine, članstva ili obrade ličnih podataka važno je voditi evidenciju incidenta. Zabilježite koje podatke bi napadač mogao imati, kada je napad počeo i s kojih IP adresa je pokušavan pristup. Ako vaša stranica radi na Hostragons platformi, tehničkoj podršci obavezno pošaljite naziv domene, pogođene foldere, vremenski okvir i greške koje ste primijetili – to ubrzava intervenciju. Više o izboru hostinga pročitajte na Paketi sigurnog web hostinga.

1. korak: Izolirajte sajt i ograničite štetu

Prvi hitni korak je spriječiti daljnju štetu od napadača ili malicioznog koda. To je kao da prije gašenja požara zatvorite dovod plina. Ne mora se potpuno ugasiti sajt, ali je ključno spriječiti posjetitelje da budu preusmjereni, da upisuju podatke u lažne forme ili preuzimaju zaražene datoteke.

Aktivirajte “maintenance mode” ili privremeno ograničite pristup

Za WordPress možete prikazati stranicu za održavanje; kod custom sistema vratiti HTTP 503 odgovor ili ograničiti pristup samo na određene IP adrese. Kod 503 statusa, pretraživačima šaljete ispravan signal – bolje nego prikazivati 404 ili praznu stranicu. Ako sajt širi phishing ili malware, najbolje je potpuno zatvoriti pristup.

• Ne ostavljajte admin panel otvoren – koristite IP restrikcije.
• Privremeno onemogućite izvršavanje PHP-a u folderima za upload datoteka.
• Zaustavite SMTP ako primijetite zloupotrebu slanja e-mailova.
• Ako je pogođena stranica za plaćanje, deaktivirajte virtualni POS i integracije za plaćanje.

Sačuvajte logove i trenutno stanje datoteka

Prilikom izolacije obavezno sačuvajte pristupne logove, error logove, FTP žurnal i historiju akcija u panelu. Napadi često počinju preko starog plugina, slabog FTP passworda, kompromitiranog admin naloga ili greške u permissions. Bez logova je teško utvrditi korijenski uzrok, što može dovesti do ponovnog hakiranja nakon “čišćenja”.

Preporučujemo da skinete kopiju datoteka na lokalni računar i analizirate ih u sigurnom okruženju – ali obavezno koristite antivirus. Ako hosting panel nudi backup opciju, napravite snapshot incidenta samo za analizu, ne vraćajte odmah kao “čistu” kopiju. Za strategije backup-a pogledajte rješenja za hosting sa automatskim backupom.

2. korak: Promijenite sve pristupne podatke, šifre, ključeve

Mnogi vlasnici sajtova nakon hakiranja mijenjaju samo admin password. Pristup napadača može biti kroz FTP, bazu podataka, hosting panel, SSH ključ, e-mail, API token ili eksternu integraciju. Drugi hitni korak je kompletna izmjena svih pristupnih podataka.

Koje šifre treba promijeniti?

• Šifra za hosting kontrolni panel.
• FTP, SFTP i SSH korisnički passwordi.
• Šifra za bazu podataka i konfiguraciju povezivanja.
• CMS admin nalozi i svi editor nalozi.
• E-mail nalozi, posebno oni koji šalju preko vaše domene.
• API ključevi, tokeni za plaćanje, pristup CDN i DNS panelima.
• Ključevi za Git, deployment, automatizaciju i backup servise.

Jaka šifra mora imati barem 16 karaktera, biti jedinstvena i nepredvidljiva. Korištenje iste šifre na drugim platformama direktno ugrožava vaš sajt zbog mogućih curenja podataka. Na svim panelima aktivirajte dvofaktorsku autentifikaciju. Posebno za admin nalog, 2FA značajno smanjuje efekat brute-force napada.

Uklonite sumnjive korisnike i zatvorite aktivne sesije

Nepoznate korisnike u CMS-u ne treba samo deaktivirati; zabilježite njihov status, datum kreiranja i akcije, pa ih tek onda izbrišite. Na WordPressu možete poništiti sve korisničke sesije izmjenom sigurnosnih ključeva. Kod custom sistema može se očistiti session tabela. Kod e-trgovine prioritet je provjera naloga osoblja s administratorskim ovlastima, ne korisničkih naloga.

Primjer: napadač je pristupio starom editor nalogu i putem plugina za upload datoteka podigao web-shell. Ako mijenjate samo admin password, editor nalog ostaje aktivan. Zato je važno pregledati ovlasti, smanjiti broj administratorskih i editorskih naloga, a domenu, DNS i SSL također zaštititi – više na Upravljanje domenom i DNS sigurnost i Rešenja za SSL certifikate.

3. korak: Vratite sajt iz čiste sigurnosne kopije ili karantiniranih dijelova

Najbrži i najsigurniji način je povratak iz kopije nastale prije napada. Ključna riječ je “čista”. Backup od jučer može biti zaražen ako je napad počeo prije sedmicu. Zato usporedite datume backup-a, logove i vrijeme izmjena datoteka.

Kako odabrati čistu kopiju?

Prvo odredite kada su se pojavili prvi simptomi hakiranja. Ako je Search Console pokazao sigurnosno upozorenje 12. marta, ali u server logovima imate sumnjive POST zahtjeve od 5. marta, backup od 12. nije pouzdan. Analizirajte backup od 4. marta ili ranije. Prije povratka, prođite backup kroz sigurnosni skener.

• Datum backup-a mora biti prije početka napada.
• Ne smije biti nepoznatih admin korisnika u backupu.
• Provjerite integritet datoteka – usporedite core CMS datoteke s originalnim paketom.
• Pretražite bazu za skriveni iframe, base64 kod, sumnjive skripte i spam sadržaj.
• Nakon povratka obavezno sve update-ujte.

Ako nemate backup?

Ako nemate čistu kopiju, oporavak mora biti još pažljiviji. Prvo kopirajte sajt u “staging” ili privremenu zonu. Sumnjive datoteke premještajte u karantin, zamijenite core CMS datoteke službenim izvorom, teme i pluginove instalirajte iz čistih paketa. Folder za upload je često skriveno mjesto napadača – provjerite .php, .phtml, .phar datoteke.

Čišćenje baze je jednako važno kao i datoteka. Maliciozni redirecti mogu biti u postavkama sajta, widgetima, opcijama tema ili sadržaju postova. U velikim bazama pretražujte pojmove kao što su script, iframe, eval, atob, base64_decode, gzinflate, shell_exec, document.location. Ali svaki base64 nije nužno štetan – nepromišljeno brisanje može pokvariti sajt. Zato obavezno napravite kopiju baze prije čišćenja.

4. korak: Uklonite maliciozni kod, update-ujte i zatvorite ranjivost

Povratak sajta nije dovoljan – ako ne otkrijete kako je napadač upao, moguće je ponovno hakiranje. Četvrti korak je kompletno čišćenje datoteka i baze, zatvaranje sigurnosnih rupa i ispravljanje grešaka u konfiguraciji.

Kontrolni checklist za datoteke

• Prikažite datoteke po datumu izmjene i analizirajte neočekivane promjene.
• Usporedite core CMS datoteke s originalnom verzijom.
• Provjerite ima li izvršnih datoteka u upload folderima.
• Analizirajte skrivene datoteke (.user.ini, .htaccess i sl.) – često služe za redirect.
• Ograničite permissions – standard je 644 za datoteke, 755 za foldere.
• Obrišite nepotrebne teme, plugine, stare backup zipove i test foldere.

Na WordPressu ne koristite samo deaktivaciju plugina – obrišite sve nepotrebne. Stari slider, form builder ili file manager plugin može biti rizik iako je “neaktivan”. Nulled teme i nelicencirani pluginovi često sadrže backdoor kod – kratkoročna ušteda može dugoročno ugroziti reputaciju i podatke.

Pravilni redoslijed update-a

Prvo update-ujte core sistem, zatim temu, pa pluginove. Ako je PHP verzija zastarjela, nakon testiranja kompatibilnosti pređite na najnoviju podržanu verziju. Po standardima za 2026. sajtovi na starom PHP-u su ozbiljan rizik – ne dobijaju sigurnosne zakrpe. Na hosting strani je bitna podrška za noviji PHP, izolacija korisničkih računa, backup i firewall. Više na Hostragons web hosting.

Provjerite i validnost SSL certifikata. SSL sam po sebi ne štiti od hakiranja, ali šifrira podatke između korisnika i servera i smanjuje rizik od krađe podataka na lažnim formama. Na login, checkout i članstvu SSL je obavezno. Za SSL ponudu pogledajte Kupi SSL certifikat.

5. korak: Prije objave provjerite, pratite i uspostavite trajnu zaštitu

Peti korak je potvrditi da je sajt zaista čist i spriječiti ponavljanje incidenta. Ako preskočite ovaj korak, upozorenja se mogu pojaviti opet nakon par dana. Provjera obuhvata tehnički i proceduralni aspekt.

Šta provjeriti prije ponovnog objavljivanja?

• Testirajte homepage, login, checkout i najposjećenije URL-ove na više uređaja.
• Provjerite Google Search Console za sigurnosne probleme i manualne akcije.
• Analizirajte sitemap i robots.txt datoteku.
• U server logovima provjerite ponovljene 404, 500, POST i login pokušaje.
• Analizirajte reputaciju slanja e-pošte; ako ste na blacklisti, pokrenite proces skidanja.
• Testirajte forme za plaćanje, kontakt i upload datoteka.

Ako su Google ili browser označili vaš sajt kao maliciozan, nakon čišćenja pošaljite zahtjev za ponovnu evaluaciju. U zahtjevu jasno navedite šta ste očistili, koje ranjivosti ste zakrpili i koje mjere ste poduzeli. Umjesto općih fraza, napišite konkretno: uklonjen je stari file manager plugin, svi admin passwordi su promijenjeni, upload folder ima zabranu PHP-a itd.

Praktične mjere za trajnu zaštitu

Sigurnost nije jednokratni posao, već stalni proces. Čak i kod malih poslovnih sajtova preporučuje se mjesečni plan održavanja – to značajno smanjuje rizik od hakiranja. Minimalno: tjedni update, dnevni backup, jaka password politika i monitoring logova. Na sajtovima s velikim prometom preporučuje se WAF, CDN, napredna bot zaštita i skeneri izvana.

U firmama treba pisano podijeliti odgovornosti: ko radi update, ko provjerava backup, kome se javlja kod sigurnosnih upozorenja, ko aktivira maintenance? Odgovori na ova pitanja moraju biti poznati prije incidenta. Tako ekipa reagira prema planu, bez panike kad se napad dogodi.

Dodatni koraci za SEO, reputaciju i povjerenje korisnika

Tehničko čišćenje nije dovoljno – za SEO treba dodatne provjere. Napadači često generiraju hiljade spam URL-ova. Ako su ti URL-ovi indexirani, nakon čišćenja treba primijeniti 404, 410 ili odgovarajuću strategiju redirecta. Nije uvijek dobro sve spam stranice preusmjeriti na homepage – Google to može negativno ocijeniti.

U Search Console provjerite indexirane stranice, sigurnosne probleme, manualne akcije i sitemap. Nakon čišćenja ponovno pošaljite sitemap, ali provjerite da su spam stranice stvarno uklonjene. Ako se u brand pretragama pojavljuju maliciozni naslovi, tražite ponovno crawl čistih stranica.

Za povjerenje korisnika važno je transparentno, ali ne panično komunicirati. Ako su ugroženi korisnički podaci, plaćanja ili članski nalozi, obavezno provjerite pravne obaveze i procese zaštite podataka. Kod jednostavnih prezentacijskih sajtova situacija je drugačija, ali kod e-trgovine i članstva treba procijeniti incident profesionalno.

Najčešće greške koje treba izbjegavati

Pogreške u procesu oporavka mogu napraviti veću štetu nego sam napad. Najčešća greška je pretpostaviti da je problem riješen čim je sajt online. Ako je backdoor ostao, napadač se može vratiti. Druga greška je povratak iz backup-a bez provjere čistoće – zaraženi backup vraća maliciozni kod online.

• Ne raditi backup prije čišćenja.
• Brisati samo vidljive maliciozne datoteke, bez analize korijena problema.
• Nastaviti koristiti stare verzije plugina ili tema.
• Davati svim admin korisnicima nepotrebne ovlasti.
• Brisati logove ili ih prepisivati bez analize.
• Pretpostaviti da SSL znači potpunu sigurnost.
• Preuzimati teme i pluginove s neprovjerenih izvora.

Posebno kod permissions – prevelike ovlasti (npr. 777) olakšavaju posao napadaču. U produkciji treba primijeniti minimalne ovlasti – write access samo za foldere koji to stvarno trebaju.

Kratki hitni sažetak

Za uspješan oporavak držite se ispravnog redoslijeda: prvo izolirajte sajt, zatim obnovite sve pristupne podatke, vratite sajt iz čiste kopije ili očistite pod kontrolom, zatvorite ranjivost i prije objave detaljno provjerite. Ova strategija smanjuje tehnički rizik, SEO štetu i gubitak reputacije.

Hostragons nudi sigurnu hosting infrastrukturu, SSL, upravljanje domenom i backup rješenja koji pomažu otpornosti vašeg sajta. Ako želite preispitati hosting ili domenu, pogledajte Hostragons paketi hostinga i pretraga domena i upravljanje domenama. Prije odluke, ne zaboravite da je ključ ravnoteža brzine, sigurnosti, backup-a i podrške.

Često postavljana pitanja

Treba li odmah ugasiti sajt nakon hakiranja?

Ako sajt širi malware, preusmjerava korisnike ili su pogođene forme za plaćanje, odmah ograničite pristup. U blažim slučajevima koristite 503 maintenance mode ili IP restrikcije. Cilj je zaštititi korisnike i pretraživačima signalizirati da je stanje privremeno.

Je li povratak iz backup-a uvijek dovoljan?

Ne. Backup je brz način oporavka, ali ako ne otkrijete kako je napadač ušao, sajt može biti ponovo hakiran. Nakon povratka promijenite šifre, napravite update, provjerite permissions i uklonite ranjivi plugin, temu ili grešku u konfiguraciji.

Hoće li hakirani sajt izgubiti SEO pozicije?

Kod kratkih i pravilno vođenih incidenata ne mora biti trajnog gubitka. Ako spam stranice uđu u index, Google pokaže sigurnosno upozorenje ili je sajt dugo offline, moguće su padovi u pozicijama. Nakon čišćenja provjerite Search Console, pošaljite ponovnu evaluaciju i uklonite spam URL-ove.

Zašto mi se WordPress sajt stalno hakira?

Najčešće je razlog ostavljeni backdoor, zastarjeli pluginovi, slabe šifre, nepotrebni admin nalozi, greške u permissions i povratak iz zaraženih backup-a. Ne treba brisati samo vidljivi kod, nego analizirati korijen problema i obnoviti sve pristupne podatke.

Da li izbor hostinga utječe na sigurnost?

Da. Izolirani korisnički računi, noviji PHP, backup, firewall, malware scan, brza podrška i SSL kompatibilnost direktno utječu na sigurnost. Siguran hosting ne uklanja sve rizike, ali smanjuje površinu napada i ubrzava oporavak.