Come recuperare un sito WordPress hackerato senza perdere SEO

Un redirect verso pagine pubblicitarie, un avviso di sicurezza su Google o un accesso amministratore che non riconosci richiedono un intervento immediato. La ricerca “recuperare sito WordPress hackerato” nasce quasi sempre da un’emergenza, ma reinstallare tutto senza metodo può aggravare i danni.

La priorità è isolare la violazione, conservare le prove e rimuovere il codice malevolo in modo ordinato. Solo dopo la bonifica tecnica si può lavorare sul recupero della SEO e sulla visibilità delle pagine già posizionate. Ecco una procedura concreta per siti aziendali, blog ed e-commerce WordPress.

Punti chiave

• Isola subito il sito hackerato, attiva una pagina di manutenzione e crea una copia completa di file, database, log e configurazioni prima di modificare le credenziali o rimuovere il malware.
• Individua la porta d’ingresso controllando file, plugin, temi, account, .htaccess, cron job, database e redirect condizionati, senza eliminare automaticamente wp-content o i file personalizzati.
• Completa la bonifica anche nel database, rimuovendo utenti non autorizzati, pagine spam, link nascosti e codice malevolo con particolare attenzione ai dati serializzati.
• Recupera la SEO solo dopo aver chiuso la vulnerabilità: verifica Search Console, redirect, canonical, noindex, sitemap, contenuti validi e URL compromessi, mantenendo le pagine utili quando possibile.
• Dopo il ripristino, esegui nuove scansioni, cambia tutte le credenziali, abilita l’autenticazione a due fattori e configura backup verificati, aggiornamenti e monitoraggio continuativo.

Recuperare sito WordPress hackerato: cosa fare nelle prime ore

Quando scopri un attacco, non cancellare subito file e dati del sito. Prima devi capire cosa è successo. Una rimozione frettolosa può eliminare anche i log utili per individuare la porta d’ingresso.

Attiva una pagina di manutenzione sul tuo hosting. Se il sito contiene un e-commerce, sospendi temporaneamente ordini e pagamenti. In questo modo eviti che i visitatori vedano redirect, spam o pagine alterate. Se non riesci ad accedere a WordPress, chiedi all’hosting di bloccare temporaneamente il traffico pubblico o applicare una regola lato server.

Crea poi un backup completo dello stato infetto, includendo file, dati, log e configurazioni, da conservare come copia forense:

• scarica tutti i file tramite SFTP o FTP e conserva anche wp-config.php;
• esporta il DB e gli altri dati del sito, senza limitarti alla cartella wp-content;
• conserva i file di log degli accessi, gli error log PHP e i log FTP;
• annota data, ora e sintomi rilevati;
• salva una copia separata delle configurazioni, senza sovrascriverla durante la pulizia.

Questa copia infetta non serve per rimettere online il sito. Serve per confrontare i file, ricostruire l’attacco e recuperare contenuti che non hai in altre copie.

Cambia la password solo dopo aver creato questa copia. Se l’attaccante è ancora presente, potrebbe modificare nuovamente gli accessi o cancellare tracce. Dopo aver creato la copia, aggiorna le credenziali dell’amministrazione WordPress, del pannello hosting, del server, del DB, dell’email collegata e degli eventuali servizi CDN o DNS.

Non ripristinare automaticamente l’ultimo backup disponibile. Potrebbe contenere la stessa backdoor che ha causato la violazione. Prima verifica la data del salvataggio e confronta i file con una copia integra.

Un sito hackerato può mostrare sintomi diversi su desktop e smartphone. Prova il sito in una finestra anonima, con più browser e senza cache. Controlla anche una pagina interna, non soltanto la homepage.

Come riconoscere malware e individuare la porta d’ingresso

Non tutti i problemi di WordPress indicano un malware. Un errore PHP, un plugin incompatibile o un certificato SSL scaduto possono bloccare il sito senza un’infezione. Alcuni segnali, però, richiedono una verifica immediata:

• redirect verso casinò, pubblicità, farmacie online o pagine per adulti;
• nuove pagine con testi giapponesi, cinesi o link nascosti;
• utenti amministratori, inclusi utenti sconosciuti, che non hai creato;
• homepage modificata o contenuti sostituiti;
• file PHP comparsi dentro wp-content/uploads;
• consumo anomalo di CPU e invio massivo di email;
• avvisi di Google relativi a contenuti compromessi;
• traffico organico in calo insieme a pagine indicizzate che non riconosci.

I redirect condizionati sono più difficili da trovare. Il malware può attivare un codice malevolo solo per utenti provenienti da Google, da dispositivi mobili o alla prima visita. In questi casi, il sito reindirizza in base al dispositivo o alla provenienza. Per questo, testa il comportamento con user agent e dispositivi diversi.

Controlla anche Google Search Console. La sezione relativa ai problemi di sicurezza può mostrare pagine compromesse, download dannosi o contenuti alterati. Il rapporto sulle azioni manuali indica invece eventuali provvedimenti legati alla qualità o allo spam.

Per la prima scansione usa uno scanner di sicurezza come Wordfence o Sucuri Security. Avvia l’analisi dal menu “Scan” e, nelle opzioni avanzate, attiva “High Sensitivity” per aumentare il controllo. Una versione gratuita può bastare per l’analisi e la riparazione di base. Le versioni a pagamento possono offrire firme e protezioni più aggiornate.

Non accettare ogni risultato dello scanner senza esaminarlo. I file compromessi possono essere stati alterati dall’attacco, ma possono anche contenere personalizzazioni legittime. Apri i file segnalati uno alla volta, confrontali con una copia originale e annota ogni intervento. La guida alla rimozione del malware su WordPress è utile per seguire una sequenza ordinata tra scansione, sostituzione dei file e controllo del database.

Segna in un documento:

• il percorso di ogni file sospetto;
• la data di modifica;
• il tipo di codice trovato;
• l’utente o il processo che potrebbe averlo creato;
• le righe rilevanti nei file di log;
• i domini verso cui partono redirect o richieste esterne.

Questa lista diventa il riferimento per una seconda scansione. Se l’infezione ricompare, puoi capire quale componente non è stato eliminato.

Pulire i file di WordPress senza perdere wp-content

Dopo aver messo al sicuro una copia e completato la prima analisi, passa alla bonifica dei file. Il metodo più sicuro non consiste nel cancellare l’intera installazione. Confronta le copie originali e sostituisci i file compromessi, conservando soltanto ciò che hai verificato.

Il core di WordPress può essere riscaricato dal sito ufficiale e confrontato con i file presenti sul server. In molti casi conviene sostituire completamente le cartelle wp-admin e wp-includes, oltre ai file principali nella root. Non cancellare wp-content, perché contiene plugin, temi, immagini e altri contenuti del sito.

La sostituzione del core non deve coinvolgere automaticamente wp-config.php, che contiene i dati di accesso e le impostazioni personalizzate. Aprilo con attenzione, rimuovi eventuali righe inserite dall’attaccante e verifica che non contenga codice malevolo, funzioni sospette, chiamate remote o codice offuscato.

Controlla anche:

• .htaccess, soprattutto se contiene redirect che non hai configurato;
• index.php, wp-login.php e altri file nella root;
• functions.php del tema attivo e dei temi non attivi;
• la cartella wp-content/mu-plugins;
• i plugin installati ma non più utilizzati;
• i file PHP sospetti dentro uploads, dove normalmente dovrebbero esserci immagini e documenti;
• attività pianificate e cron job del server.

I plugin e i temi vanno aggiornati o reinstallati da fonti affidabili. Rimuovi i plugin obsoleti, abbandonati, nulli, non compatibili o scaricati da fonti non autorizzate. Verifica inoltre l’origine dei temi installati.

Lo stesso vale per gli account. Dalla bacheca WordPress controlla gli account con ruolo amministratore, editore e autore e verifica le relative credenziali. Elimina quelli che non riconosci dopo aver controllato se possiedono contenuti da trasferire a un account legittimo. Se l’accesso alla dashboard non funziona, puoi intervenire tramite uno strumento di gestione dei dati, ma serve attenzione per non modificare ruoli e dati in modo errato.

Quando la pulizia è terminata, rigenera le chiavi di sicurezza di WordPress nel file di configurazione e disconnetti tutte le sessioni attive. Poi imposta password uniche e abilita l’autenticazione a due fattori per gli account con privilegi elevati.

Pulire il database e rimuovere lo spam SEO

Ripristinare i file non basta. La sostituzione dei file compromessi non elimina necessariamente lo spam salvato nel database, dove può restare anche dopo il ripristino del core e delle estensioni.

Prima di modificare i dati, crea un’esportazione separata come backup. La tabella standard wp_options è uno dei primi punti da controllare. Verifica i valori siteurl e home, le opzioni caricate automaticamente e gli eventuali domini estranei. Nell’audit del database, cerca URL, script e nomi di funzioni che non appartengono al sito.

Fai attenzione ai dati serializzati. Una sostituzione manuale eseguita con una query generica può corrompere la struttura interna delle opzioni e causare errori. Non usare comandi di ricerca e sostituzione su tutte le tabelle senza sapere come WordPress gestisce i valori serializzati.

Controlla poi:

• wp_posts e wp_postmeta, alla ricerca di articoli, pagine e metadati inseriti dall’attaccante;
• wp_users e wp_usermeta, per individuare account e ruoli non autorizzati;
• commenti con link spam;
• widget e menu modificati;
• codici JavaScript nascosti nei contenuti;
• meta title, description e campi SEO alterati;
• URL che generano pagine di spam senza collegamenti visibili nel menu.

Lo spam SEO giapponese spesso crea molte pagine con titoli e link irrilevanti. Altre infezioni, comprese campagne associate al nome AnonymousFox, possono aggiungere account amministrativi, backdoor e file nascosti. Il nome dell’infezione non è sufficiente per la diagnosi. Devi verificare file, dati e log.

Rimuovi le pagine spam dalle tabelle e assicurati che restituiscano un corretto errore 404 o 410, quando non esiste un contenuto equivalente. Non usare lo stesso redirect per mandarle tutte alla homepage. Un redirect generico confonde utenti e motori di ricerca.

Se non riconosci le tabelle o non sai distinguere un’opzione legittima da una backdoor, fermati. Un errore nell’archivio può causare perdita di contenuti, problemi di login e nuove anomalie SEO. In questi casi, affidare l’intervento a un tecnico WordPress costa meno di una ricostruzione completa.

Ripristinare il posizionamento dopo l’attacco

La SEO va verificata soltanto dopo aver chiuso la vulnerabilità. Se chiedi una revisione a Google mentre la minaccia è ancora attiva, il problema può ripresentarsi e allungare i tempi di recupero.

Inizia da Google Search Console:

1. controlla i problemi di sicurezza;
2. verifica eventuali azioni manuali;
3. analizza le pagine escluse o indicizzate di recente;
4. ispeziona gli URL principali;
5. invia nuovamente la sitemap XML;
6. richiedi una revisione dopo che la scansione ha confermato l’assenza di file compromessi residui.

Non eliminare pagine valide soltanto perché hanno perso traffico. Conserva gli URL, i testi, i link interni e i dati strutturati che funzionavano prima dell’attacco. Se una pagina è stata modificata, ripristina il contenuto corretto usando il backup, le revisioni di WordPress o una copia disponibile.

Controlla ogni redirect. Un 301 verso una pagina pertinente può conservare parte dei segnali esistenti. Un redirect verso una pagina pubblicitaria o verso la homepage può danneggiare la qualità percepita del sito. Verifica anche canonical, tag noindex, robots.txt, sitemap, .htaccess, certificato SSL, titoli SEO e meta description.

Dopo una violazione, possono rimanere:

• link nascosti nel codice HTML;
• pagine doorway;
• script che cambiano il contenuto in base al dispositivo;
• dati strutturati manipolati;
• immagini sostituite o con URL esterni;
• contenuti spam visibili soltanto ai crawler.

La procedura di recupero della SEO dopo un attacco hacker può aiutarti a collegare bonifica, redirect, verifica delle pagine indicizzate e controlli in Search Console.

Controlla anche mobile, form e conversioni

Un sito ripulito non è ancora un sito recuperato se da smartphone il visitatore finisce su una pagina inattesa, non riesce a leggere i contenuti o non può inviare una richiesta.

Testa la homepage, le pagine servizio, il form di contatto, il numero di telefono, WhatsApp e il checkout su Android, iPhone, Chrome e Safari. Controlla che i pulsanti siano abbastanza grandi, distanziati e facili da usare con un dito.

La CTA conta. “Contattaci” è generico. “Richiedi un preventivo” o “Prenota una prima consulenza” chiarisce cosa succede dopo il clic e guida meglio la lead generation.

Dopo un attacco, osserva i dati di Google Analytics 4 separando desktop e smartphone. Un tasso medio del 2% può nascondere un 4% da desktop e uno 0,8% da mobile. In quel caso non devi attribuire subito il calo al mercato o alle campagne. Potrebbe esserci ancora un redirect condizionale, un form rotto o una pagina lenta.

Il tasso di conversione è un feedback diretto sul funzionamento del sito. Misura richieste di preventivo, telefonate, acquisti e microconversioni come clic sul numero o apertura del modulo. Il confronto più utile è con i dati storici del tuo progetto, non con una media astratta di settore.

Verificare la bonifica e prevenire una nuova violazione

Dopo ogni intervento esegui una nuova scansione. In Wordfence, esamina nuovamente i file modificati e verifica l’esito con Sucuri. Se il malware ritorna, non limitarti a cancellare ciò che viene ricreato. Cerca la backdoor, il plugin vulnerabile, l’account compromesso o il processo server che lo genera.

Cambia tutte le password una seconda volta se sono state utilizzate durante l’attacco. L’elenco delle credenziali da proteggere comprende WordPress, FTP/SFTP, SSH, email, DNS, CDN, API e servizi per le campagne pubblicitarie.

Imposta poi un piano di manutenzione ordinato:

• esegui aggiornamenti regolari di WordPress e temi;
• rimuovi plugin obsoleti e software inutilizzato;
• limita il ruolo degli utenti;
• attiva l’autenticazione a due fattori per gli amministratori;
• disattiva l’editor interno dei file;
• configura backup automatici e conservali fuori dal server;
• prova periodicamente il ripristino dei salvataggi;
• configura un Firewall per proteggere il login dai tentativi di forza bruta;
• attiva il monitoraggio uptime e le scansioni automatiche;
• controlla i log e le notifiche di accesso.

Un backup che non hai mai provato a ripristinare non è una garanzia. Per un sito aziendale, conserva più versioni e mantieni almeno una copia separata dall’hosting principale.

La guida alla manutenzione WordPress offre una panoramica utile sulle attività ricorrenti che aiutano a mantenere insieme sicurezza e prestazioni. Sul sito aziendale puoi anche approfondire le strategie per proteggere la sicurezza dei siti web.

Per una PMI, lasciare un sito compromesso online significa rischiare contatti persi, dati esposti, campagne sprecate e calo della fiducia. Se non hai un backup verificato di recente o il sito gestisce pagamenti, affidati a un intervento tecnico documentato. Puoi valutare anche un servizio di assistenza tecnica WordPress per aziende con controlli e monitoraggio continuativi.

Il sito può tornare online senza perdere la SEO

Ripristinare un sito WordPress colpito da un attacco non significa soltanto rimuovere un elemento sospetto. Devi chiudere la vulnerabilità, ripulire file e dati del sito, proteggere gli URL validi e verificare l’esperienza reale degli utenti.

La sequenza corretta è semplice: conserva le prove, completa la bonifica e verifica l’indicizzazione. Testa il percorso degli utenti su mobile e nelle conversioni. Poi attiva una gestione continuativa con manutenzione costante, così puoi tornare online senza ricostruire tutto da zero.

Domande frequenti sul recupero di WordPress

Come faccio a capire se il mio sito WordPress è stato hackerato?

Controlla redirect anomali, utenti sconosciuti, file sospetti dentro uploads, pagine spam, modifiche alla homepage e avvisi di Google Search Console. Prova il sito da smartphone e browser diversi, perché alcuni problemi compaiono soltanto a determinati visitatori.

Cosa fare quando WordPress reindirizza verso pubblicità o spam?

Metti il sito offline e crea una copia completa di file e dati del sito. Controlla .htaccess, i file di configurazione, plugin e temi. Esegui una scansione lato server e verifica i redirect condizionati a dispositivo, browser o provenienza del traffico.

È possibile recuperare sito WordPress hackerato senza un backup recente?

Sì, ma l’analisi richiede più tempo. Se non hai un backup integro, usa versioni pulite del core, reinstalla componenti da fonti affidabili e recupera contenuti dalle revisioni. Confronta i registri disponibili e modifica il database con cautela, perché non sempre è semplice distinguere dati legittimi e inserimenti dell’attaccante.

Come elimino utenti amministratori non autorizzati?

Se hai accesso alla bacheca, controlla gli utenti amministratori e trasferisci eventuali contenuti legittimi prima di rimuoverli. Se non accedi, crea un backup prima di intervenire sulle tabelle users e usermeta. Rimuovi gli utenti sconosciuti, poi cambia la password e le chiavi di sicurezza.

Come sostituisco i file principali senza perdere i contenuti?

Scarica una copia pulita della stessa versione di WordPress e sostituisci wp-admin, wp-includes e i file principali verificati. Non cancellare wp-content, che contiene immagini, temi e plugin. Reinstalla i componenti necessari da fonti ufficiali, poi controlla separatamente wp-config.php e .htaccess.