Weboldalad feltörték? Így járj el gyorsan és hatékonyan – Az első 5 lépés a helyreállításhoz

Ha feltörték a weboldaladat, az első és legfontosabb, hogy megőrizd a nyugalmad, és mielőbb korlátozd a károkat: izoláld az oldalt, frissítsd az összes hozzáférést, állj vissza egy megbízható biztonsági mentésből, távolítsd el a rosszindulatú kódokat, és vezess be tartós biztonsági intézkedéseket. Az első kritikus 24 órában a cél, hogy megszakítsd a támadó hozzáférését, megvédd látogatóidat és adataidat, ne küldj hamis jelzéseket a keresőmotoroknak, és hitelesen helyreállítsd az oldalad működését.

Egy feltört weboldal nem csupán annyit jelent, hogy lecserélnek egy képet a főoldalon. A támadók gyakran rejtőzködnek: spam oldalak létrehozásával, fizetési űrlapok módosításával, adminisztrátori fiókok hozzáadásával, adatbázisban titkos átirányítások elhelyezésével vagy a szerveredet e-mail küldéshez használva. Ezért a helyreállítás nem egyszerű fájlok törlése – egy átgondolt, bizonyítékokat megőrző, tisztaságot igazoló és az újrahackelést megakadályozó folyamat szükséges.

Ebben az útmutatóban az első 5 sürgős lépést mutatjuk be, amelyeket egy hackelés után azonnal meg kell tenni. Technikailag egyszerűen érthető módon, ugyanakkor gyakorlati szinten megvalósíthatóan. Legyen szó WordPress-ről, egyedi fejlesztésről, webáruházról vagy vállalati weboldalról, ugyanazok az alapelvek érvényesek: izolálj, szüntesd meg a hozzáférést, állj vissza tiszta forrásra, ellenőrizz és erősítsd meg a biztonságot.

A weboldal feltörésének jelei

A hackelés nem mindig jár azonnal észrevehető összeomlással. Egyes támadások hetekig rejtve maradhatnak. Ha az alábbi jelek bármelyikét észleled, nem szabad egyszerű hibaként kezelni az esetet, hanem biztonsági incidensként kell rá tekinteni.

• Google keresési találatok között megjelennek weboldalad alatt szerencsejáték, gyógyszer, kriptovaluta vagy felnőtt tartalmú címek.
• Biztonsági figyelmeztetés böngészőben, például rosszindulatú oldal, adathalászat vagy nem biztonságos kapcsolat miatt.
• Nem tudsz belépni az admin panelbe, vagy ismeretlen admin felhasználókat találsz.
• A szerveren hirtelen megnő a CPU, RAM, lemezhasználat vagy az e-mail forgalom.
• Furcsa változások a .htaccess, index.php, wp-config.php vagy témafájlokban.
• Az oldal látogatóit más, ismeretlen domainre irányítják.
• Tudtodon kívül tömeges e-mail küldés indul a tárhelyedről.
• Biztonsági bővítmények letiltása vagy naplófájlok törlése.

Például egy blog, ami normálisan napi 2000 látogatót kap, hirtelen 30.000 kérést generálhat – ez általában nem valódi forgalomnövekedés, hanem botaktivitás, brute force próbálkozás vagy rosszindulatú szkript futtatása. Ugyanígy egy 10 MB-os téma pár nap alatt 80 MB-ra nőhet, ami backdoor fájlok jelenlétére utalhat.

A feltörés után az első 30 perc: pánik helyett bizonyítékgyűjtés és ellenőrzés

Az első reakciónk nem lehet az összes fájl törlése. Válogatás nélkül törölni a fájlokat eltüntetheti a támadás nyomait, megnehezítheti a takarítást, és akár rossz mentésből való visszaállításhoz is vezethet. Először készíts részletes állapotfelvételt: dátum, időpont, látott figyelmeztetések, érintett URL-ek, gyanús felhasználók, legutóbbi frissítések és tárhelyi naplók. Ezek az adatok megkönnyítik a technikai csapat és a szakértők gyors helyzetfelmérését.

Különösen fontos az eseménynaplózás e-kereskedelmi, tagkezelős vagy személyes adatokat kezelő oldalak esetén. Jegyezd fel, milyen adatok érintettek, mikor kezdődött a támadás és mely IP-címekről próbáltak hozzáférni. Ha Hostragons tárhelyen vagy, a gyorsabb segítség érdekében oszd meg a támogatással a domaint, érintett mappát, időintervallumot és az esetlegesen tapasztalt hibakódokat. Biztonságos tárhelyszolgáltatásokról bővebben a Biztonságos web hosting csomagok oldalon tájékozódhatsz.

1. lépés: Izoláld az oldalt és korlátozd a károkat

Amint észleled a feltörést, az első sürgős lépés, hogy megakadályozd, hogy a támadó vagy a rosszindulatú kód további károkat okozzon. Ez olyan, mintha egy tűzoltás előtt elzárnád a gázcsapot. Az oldalnak nem kell teljesen leállnia, de meg kell akadályozni, hogy a látogatók rosszindulatú átirányításokkal, hamis fizetési űrlapokkal vagy fertőzött fájlokkal találkozzanak.

Kapcsold karbantartási módba vagy korlátozd ideiglenesen a hozzáférést

Ha WordPress-t használsz, megjeleníthetsz karbantartási módot, egyedi fejlesztés esetén visszaadhatsz 503-as HTTP státuszkódot, vagy csak bizonyos IP-címek számára engedélyezheted a hozzáférést. A 503-as kód azt jelzi a keresőmotoroknak, hogy az oldal ideiglenesen nem elérhető, így jobb jelzés, mint a 404-es vagy üres oldal megjelenítése. Ha az oldalad adathalász vagy rosszindulatú programokat terjeszt, akkor a teljes hozzáférés korlátozása a legbiztonságosabb.

• Ne hagyd nyitva az admin panelt mindenki előtt, használj IP-szűrést.
• Átmenetileg tiltsd le a PHP futtatást a fájlfeltöltési mappákban.
• Ha az e-mail küldést visszaélésre használják, függeszd fel az SMTP hozzáférést.
• Fizetési oldal érintettsége esetén ideiglenesen kapcsold ki a virtuális POS-t és a fizetési integrációkat.

Őrizd meg a naplókat és a jelenlegi fájlállapotot

Az izoláció során meg kell őrizni a hozzáférési naplókat, hibajelentéseket, FTP logokat és a tárhely kezelőfelületének művelettörténetét. Sok támadás első belépési pontja egy elavult plugin, gyenge FTP jelszó, feltört admin fiók vagy hibás fájl jogosultság. Naplók nélkül nehéz megtalálni a kiváltó okot, ami azt eredményezheti, hogy a megtisztított oldal néhány nap múlva újra feltörik.

Érdemes a szerveren lévő fájlokat lementeni egy helyi, biztonságos gépre vizsgálatra, de mivel ezek tartalmazhatnak rosszindulatú kódot, csak vírusvédelmi szoftverrel védett környezetben dolgozz. Ha a tárhely szolgáltató kínál mentési lehetőséget, az esemény idejéből származó mentést csak elemzésre tárold, ne abból állíts vissza közvetlenül. Rendszeres mentési stratégiákról többet olvashatsz a automatikus biztonsági mentéssel rendelkező tárhely megoldások oldalon.

2. lépés: Frissítsd az összes hozzáférést, jelszót és kulcsot

Sokan csak az admin felület jelszavát cserélik le egy feltörés után, pedig a támadás forrása lehet FTP, adatbázis felhasználó, tárhely kezelő, SSH kulcs, e-mail fiók, API token vagy külső integráció. Ezért a második sürgős lépés, hogy minden hozzáférési adatot alaposan újra kell generálni.

Mely jelszavakat cseréld le?

• A tárhely kezelőpanel jelszava.
• FTP, SFTP és SSH felhasználók jelszavai.
• Adatbázis felhasználó jelszava és kapcsolódó beállítások.
• A CMS adminisztrátor és szerkesztői fiókok jelszavai.
• E-mail fiókok, különösen a domainhez tartozó küldő címek.
• API kulcsok, fizetési tokenek, CDN és DNS vezérlőpanelek hozzáférései.
• Git, automatizációs, deploy és mentési szolgáltatások kulcsai.

Egy erős jelszó legalább 16 karakter hosszú, egyedi és nehezen kitalálható legyen. Az azonos jelszó használata több platformon közvetlenül veszélyezteti a weboldalad biztonságát adatvédelmi incidensek esetén. Minden lehetséges felületen engedélyezd a kétfaktoros autentikációt (2FA). Különösen az admin fiókoknál ez jelentősen csökkenti a brute force támadások sikerességét.

Szűrd ki a gyanús felhasználókat és zárd le az aktív munkameneteket

Ha a CMS-ben ismeretlen felhasználók vannak, nem elég csak inaktiválni őket. Először jegyezd fel a szerepüket, létrehozásuk időpontját és tevékenységüket, majd töröld őket. WordPress esetén a biztonsági kulcsok cseréjével az összes felhasználói munkamenet megszüntethető. Egyedi fejlesztéseknél a session táblát vagy hasonló mechanizmust kell kitisztítani. E-kereskedelmi oldalak esetén a vásárlói fiókok helyett a jogosultsággal rendelkező adminisztrátorokat és személyzetet kell elsőként ellenőrizni.

Például egy támadó hozzáférhetett egy régi szerkesztői fiókhoz, és egy fájlfeltöltő bővítményen keresztül webshellt telepített. Ha csak az admin jelszót változtatod meg, az editori fiók továbbra is aktív marad. Ezért vizsgáld át a jogosultságokat, és csökkentsd a felesleges admin és szerkesztői szerepköröket. A domain, DNS és SSL kezelésének biztonsága is kulcsfontosságú; erről bővebben a domainkezelés és DNS biztonság és SSL tanúsítvány megoldások oldalakon olvashatsz.

3. lépés: Állj vissza tiszta mentésből vagy karanténozd a fertőzött részeket

A leggyorsabb és legbiztonságosabb megoldás, ha egy támadás előtti, hitelesen tiszta mentésből állsz vissza. Kritikus azonban, hogy valóban tiszta legyen a mentés. Ha a támadás például egy héttel korábban kezdődött, a tegnapi mentés már fertőzött lehet. Ezért a mentések időpontját, naplókat és fájlmódosításokat együttesen kell értékelni.

Hogyan válassz tiszta mentést?

Először határozd meg, mikor jelentkeztek az első hackelés jelei. Ha például a Google Search Console biztonsági figyelmeztetése március 12-én érkezett, de a szerver naplóiban március 5-én gyanús POST kérések voltak, akkor a március 12-i mentés nem megbízható. Vizsgáld meg inkább a március 4-ei vagy korábbi mentéseket. A visszaállítás előtt a mentett fájlokat vírusellenőrzővel is vizsgáld át.

• A mentés időpontja legyen a feltételezett támadás kezdete előtt.
• Ne legyenek ismeretlen admin felhasználók a mentésben.
• Ellenőrizd a fájlok integritását, hasonlítsd össze a CMS eredeti csomagjával.
• Az adatbázisban keress rejtett iframe-eket, base64 kódokat, gyanús szkripteket és spam tartalmakat.
• A visszaállítás után telepítsd az összes frissítést és javítást.

Mi a teendő, ha nincs tiszta mentés?

Ha nincs megbízható mentés, a helyreállítást fokozott óvatossággal kell végezni. Először készíts másolatot az oldalról staging vagy teszt környezetbe. A gyanús fájlokat helyezd karanténba, a CMS alapfájljait töltsd le hivatalos forrásból, a témákat és bővítményeket tiszta verziókra cseréld. A fájlfeltöltési mappák a támadók kedvelt rejtekhelyei, ezért itt különösen ellenőrizd a .php, .phtml, .phar és egyéb futtatható fájlokat.

Az adatbázis tisztítása ugyanolyan fontos, mint a fájloké. A rosszindulatú átirányítások gyakran nem fájlokban, hanem az oldal beállításaiban, widgetekben, témabeállításokban vagy cikkekben bújnak meg. Nagy adatbázisok esetén kereshetsz a script, iframe, eval, atob, base64_decode, gzinflate, shell_exec és document.location kifejezésekre. Azonban minden base64 kód nem feltétlenül rosszindulatú, ezért csak körültekintően törölj. Mindig készíts adatbázis mentést a módosítások előtt.

4. lépés: Távolítsd el a rosszindulatú kódokat, frissíts és javíts

Az oldal visszaállítása önmagában nem elég. Ha nem deríted fel, hogyan jutott be a támadó, ugyanazon hibán keresztül újra feltörhetik az oldalt. A negyedik lépés célja, hogy befejezd a fájl- és adatbázistisztítást, bezárd a biztonsági réseket, és kijavítsd a konfigurációs hibákat.

Fájlrendszer ellenőrző lista

• Listázd az utoljára módosított fájlokat és vizsgáld át a váratlan változásokat.
• Hasonlítsd össze a CMS fő fájljait az eredeti verziókkal.
• Ellenőrizd a feltöltési mappákat futtatható fájlok után kutatva.
• Vizsgáld át a rejtett fájlokat, például .user.ini, .htaccess, melyek átirányításra alkalmasak lehetnek.
• Szűkítsd a fájlok jogosultságait; általános szabály a 644 fájlokra és 755 könyvtárakra.
• Távolíts el felesleges témákat, bővítményeket, régi mentéseket és tesztmappákat.

WordPress esetén töröld a nem használt bővítményeket, ne csak inaktiváld őket. Egy régi slider vagy űrlapkezelő bővítmény, még ha le is van tiltva, kockázatot jelenthet, ha a fájljai megmaradnak. A kalóz (nulled) témák és bővítmények gyakran backdoor kódokat tartalmaznak. Ez rövid távon költséghatékony megoldásnak tűnhet, de hosszú távon a márka hírnevét és az ügyféladatokat veszélyezteti.

Milyen sorrendben frissíts?

Tisztítás közben először a CMS magját, majd a témákat, végül a bővítményeket frissítsd. Ha az aktuális PHP verzió elavult, előbb kompatibilitási teszteket végezz, majd válts egy támogatott és biztonságos verzióra. 2026-ban az elavult PHP verziók használata súlyos biztonsági kockázatot jelent, mert nem kapnak hibajavításokat. A tárhelyszolgáltatásnál is fontos a modern PHP támogatás, izolált fiókok, rendszeres mentés és tűzfal támogatás. Erről további információt a Hostragons web hosting oldalon találsz.

Győződj meg róla, hogy az SSL tanúsítvány érvényes és működik. Az SSL önmagában nem véd meg a feltöréstől, de titkosítja a felhasználó és a szerver közötti adatforgalmat, és csökkenti az adathalász kísérletek kockázatát. Különösen a bejelentkezési, fizetési és regisztrációs oldalak esetén kötelező a használata. Tanúsítvány beszerzéséhez lásd a SSL tanúsítvány vásárlása oldalt.

5. lépés: Ellenőrizd, monitorozd és állíts be tartós védelmet, mielőtt újraindítod az oldalt

Az utolsó lépés, hogy megbizonyosodj arról, az oldal valóban tiszta, és megakadályozd a jövőbeni támadásokat. Ha ezt kihagyod, pár nap múlva újra megjelenhetnek a hibák és figyelmeztetések. Az ellenőrzésnek mind technikai, mind üzleti folyamatokat érintenie kell.

Újraindítás előtti ellenőrzések

• Teszteld a főoldalt, bejelentkezési és fizetési oldalakat, valamint a legnépszerűbb URL-eket különböző eszközökön.
• Vizsgáld át a Google Search Console biztonsági jelentéseit és kézi kezelési értesítéseit.
• Nézd át a weboldal térképét (sitemap) és a robots.txt fájlt.
• Elemezd a szerver naplókat ismétlődő 404, 500, POST és belépési kísérletek után.
• Ellenőrizd az e-mail küldési reputációt, és ha szerepelsz feketelistán, kezd el a levételi folyamatot.
• Teszteld a fizetési, kapcsolatfelvételi űrlapokat és a fájlfeltöltési funkciókat.

Ha a Google vagy a böngészők rosszindulatúként jelölik az oldaladat, a tisztítás után kérelmezd az újraértékelést. A kérvényezésben részletesen ismertesd, mit tisztítottál meg, milyen biztonsági réseket javítottál, és milyen megelőző intézkedéseket vezettél be. Kerüld a homályos, rövid leírásokat; például írd le, hogy eltávolítottad az elavult fájlkezelő bővítményt, megújítottad az összes admin jelszót, és letiltottad a PHP futtatást az upload mappákban.

Hosszú távú védelemhez ajánlott intézkedések

A biztonság nem egyszeri művelet, hanem folyamatos feladat. Egy kisebb vállalati oldalon is érdemes havi karbantartási tervet készíteni, ami jelentősen csökkenti a feltörés esélyét. Legalább heti frissítés ellenőrzés, napi mentés, erős jelszóhasználat és naplófigyelés ajánlott. Nagy forgalmú oldalakon érdemes tűzfalat (WAF), CDN-t, fejlett botvédelmet és külső biztonsági szkennelést is alkalmazni.

Vállalati oldalaknál a felelősségek is írásban legyenek rögzítve: ki frissít, ki ellenőrzi a mentéseket, kiket értesítenek biztonsági esemény esetén, mikor kell karbantartási módba kapcsolni az oldalt. Így a csapat pánik nélkül tudja követni az előírt protokollt egy esetleges feltöréskor.

SEO, hírnév és felhasználói bizalom helyreállítása

Még ha technikailag megtisztítottad is az oldalt, a SEO szempontjából további lépések szükségesek. A támadók gyakran generálnak több ezer spam URL-t. Ha ezek bekerültek a keresőindexbe, a tisztítás után 404-es, 410-es vagy megfelelő átirányítási stratégiát kell alkalmazni. Nem ajánlott az összes spam oldalt egy az egyben a főoldalra irányítani, mert a Google ezt negatív minősítésként értékelheti.

Ellenőrizd a Search Console-ban az indexelt oldalak listáját, a biztonsági problémákat, kézi intézkedéseket és a webhelytérképeket. A rosszindulatú tartalom eltávolítása után küldd újra a sitemap fájlokat, de előtte győződj meg róla, hogy a spam oldalak valóban eltűntek. Ha a márka keresésekor rosszindulatú címek jelennek meg, kérj újratárgyalást a Google-tól az oldalak újraindexelésére.

A felhasználói bizalom helyreállítása érdekében fontos a transzparens, de nem pánikkeltő kommunikáció. Ha felmerül a felhasználói adatok, fizetési információk vagy regisztrált fiókok érintettsége, akkor a jogi követelményeket és adatvédelmi folyamatokat is be kell tartani. Egy egyszerű bemutatkozó oldal esetén ez kevésbé kritikus, de webáruházaknál és tagkezelős rendszereknél elengedhetetlen a professzionális megközelítés.

Gyakori hibák, amiket el kell kerülni

A helyreállítás során elkövetett hibák súlyosabb károkat okozhatnak, mint maga a támadás. A leggyakoribb, hogy azt gondolják, az oldal újraindítása után vége a problémának. Ha maradnak backdoor fájlok, a támadó újra beléphet. Másik tipikus hiba, hogy ellenőrizetlen mentést állítanak vissza, ami újra visszahozza a rosszindulatú kódot.

• Nem készítenek mentést a takarítás előtt.
• Csak a látható fertőzött fájlokat törlik, és nem keresik meg az okokat.
• Régi bővítmény vagy téma verziókat használnak tovább.
• Minden admin felhasználónak felesleges, teljes jogosultságot adnak.
• Naplófájlokat törölnek vagy felülírnak vizsgálat nélkül.
• Az SSL megléte miatt teljes biztonságot feltételeznek.
• Olcsó, ellenőrizetlen forrásból származó témákat és bővítményeket töltenek le.

Különösen a fájl jogosultságokat ne engedd túlzottan nyitottra; a 777-es engedélyek – bár kényelmesnek tűnnek – súlyos biztonsági kockázatot jelentenek éles környezetben. Mindig az “szükséges minimum jogosultság” elvét alkalmazd, és a írási engedélyeket csak az arra valóban szoruló könyvtárakra add meg.

Gyors, sürgős intézkedések összefoglalója

Ha feltörték a weboldalad, tartsd be a sorrendet a sikeres helyreállításhoz: először izoláld az oldalt, majd cseréld le az összes hozzáférést, állj vissza megbízható mentésből vagy tisztítsd meg kontrollált módon a rendszert, zárd le a biztonsági réseket, és végül indulás előtt ellenőrizd le az oldalt. Ez a módszer csökkenti a technikai kockázatokat, valamint a SEO- és hírnévkárokat.

A Hostragons biztonságos hosting infrastruktúrájával, SSL tanúsítványokkal, domain kezeléssel és mentési megoldásokkal növelheted weboldalad ellenálló képességét. Ha szükséges, nézd meg a jelenlegi szolgáltatásod, és mérlegeld az átváltást a Hostragons hosting csomagok és Domain ellenőrzés és domain kezelés oldalakon. Vásárlás előtt mindig azt tartsd szem előtt, hogy a sebesség, biztonság, mentés és támogatás egyensúlya legyen a legfontosabb.

Gyakran ismételt kérdések

Feltörés után azonnal le kell venni az oldalt a netről?

Ha az oldal rosszindulatú programokat terjeszt, más oldalakra irányít, vagy a fizetési űrlapokat veszélyezteti, akkor a hozzáférést azonnal korlátozni kell. Enyhébb esetekben elegendő a 503-as karbantartási mód vagy IP alapú szűrés. A cél, hogy megvédd a látogatókat, miközben a keresőmotoroknak jelezd, hogy csak átmeneti a probléma.

Mindig elegendő egy tiszta mentésből visszaállni?

Nem. A tiszta mentés gyors helyreállítást tesz lehetővé, de ha nem deríted fel, hogyan jutott be a támadó, újra feltörhetik az oldalt. A visszaállítás után mindenképp cseréld le a jelszavakat, telepíts frissítéseket, ellenőrizd a fájl jogosultságokat, és szüntesd meg a sérülékenységeket.

Elveszti a SEO helyezéseit a feltört oldal?

Ha gyorsan és megfelelően kezeled az esetet, nem feltétlenül lesz tartós SEO-veszteség. Ha azonban spam oldalak kerülnek be a kereső indexbe, vagy a Google biztonsági figyelmeztetést jelenít meg, illetve az oldal hosszú ideig elérhetetlen, a helyezések romolhatnak. A tisztítás után ellenőrizd a Search Console-t, kérj újraindexelést, és távolítsd el a spam URL-eket.

Miért törik fel újra és újra a WordPress oldalam?

Ismétlődő feltörések oka lehet a megmaradt backdoor fájlok, elavult bővítmények, gyenge jelszavak, felesleges admin fiókok, hibás fájl jogosultságok vagy fertőzött mentések. Nem elég a látható kártevő kódot eltávolítani, meg kell találni a támadás forrását és minden hozzáférést frissíteni kell.

Befolyásolja a hosting szolgáltató a weboldal biztonságát?

Igen. Az izolált fiókstruktúra, naprakész PHP verzió, rendszeres mentések, tűzfal, rosszindulatú kódok szűrése, gyors ügyféltámogatás és SSL támogatás mind közvetlenül befolyásolja a biztonságot. Egy megbízható tárhely nem szünteti meg az összes kockázatot, de csökkenti a támadási felületet és gyorsítja a helyreállítást.