Jak sprawdzić, czy strona jest zawirusowana — 7 objawów i szybki test

Klient pisze, że po kliknięciu w Twoją stronę z Google trafił na podejrzaną aptekę albo kasyno. Ty otwierasz stronę na swoim komputerze i wszystko wygląda normalnie. To typowy obraz infekcji — i dobry moment, żeby spokojnie sprawdzić, czy strona jest zawirusowana, zanim zrobią to za Ciebie Google albo hosting.

Dlaczego wirus na stronie często jest niewidoczny dla właściciela

Złośliwy kod na stronie rzadko „rzuca się w oczy”. Włamywaczowi zależy na tym, żeby strona działała jak dawniej, a zarabiała dla niego po cichu: wyświetlała spam w Google, przekierowywała część ruchu albo wysyłała pocztę z Twojego serwera.

Dlatego szkodliwy kod często pokazuje się tylko wybranym osobom: użytkownikom telefonów, gościom wchodzącym z wyszukiwarki albo robotom Google. Zalogowany administrator, który wpisuje adres ręcznie, zwykle widzi czystą stronę. Właśnie z tego powodu warto znać objawy i mieć prosty test, który przejdziesz w kwadrans.

7 objawów, że na stronie może być wirus

1. Przekierowania tylko dla części odwiedzających. Strona otwiera się poprawnie, gdy wpisujesz adres, ale wejście z wyników Google albo z telefonu kończy się na obcej stronie (hazard, „wygrałeś nagrodę”, fałszywy sklep).
2. Obce treści w wynikach wyszukiwania. Po wpisaniu w Google site:twojadomena.pl widzisz podstrony, których nigdy nie tworzyłeś — często po japońsku, z nazwami leków, podróbek markowych produktów albo z linkami do obcych serwisów.
3. Ostrzeżenia przeglądarki. Chrome, Firefox lub Safari wyświetlają czerwony ekran „Ta witryna może być niebezpieczna” albo „Witryna wprowadzająca w błąd”.
4. Komunikat w Google Search Console. W sekcji „Bezpieczeństwo i ręczne działania” pojawia się wpis w raporcie „Problemy dotyczące bezpieczeństwa” — np. zhakowane treści lub złośliwe oprogramowanie.
5. Spam z serwera albo blokada od hostingu. Firma hostingowa informuje o masowej wysyłce poczty, wstrzymuje wysyłkę maili albo blokuje konto. Bywa też, że Twoje firmowe maile nagle zaczynają trafiać do spamu u klientów.
6. Nieznane konta administratorów. W panelu CMS (systemu zarządzania treścią, np. WordPress czy Joomla) pojawił się użytkownik z uprawnieniami administratora, którego nikt w firmie nie zakładał.
7. Nowe pliki PHP tam, gdzie ich być nie powinno. W katalogach na obrazki i załączniki (np. images, wp-content/uploads, tmp) leżą pliki .php o dziwnych nazwach albo pliki podszywające się pod systemowe. To często tzw. webshelle — złośliwe skrypty, które dają włamywaczowi zdalny dostęp do serwera.

Inne sygnały, które warto potraktować poważnie: nagły spadek ruchu z Google, wyraźne spowolnienie strony, obciążenie serwera bez wzrostu odwiedzin, zmienione pliki .htaccess lub index.php.

Szybki test krok po kroku

Poniższe kroki nie wymagają wiedzy programistycznej. Wykonaj je po kolei i notuj, co znalazłeś — przyda się to później przy czyszczeniu.

1. Sprawdź, co Google wie o Twojej stronie. Wpisz w wyszukiwarkę site:twojadomena.pl i przejrzyj kilka stron wyników. Szukaj tytułów i opisów, które nie pasują do Twojej firmy. Możesz zawęzić wyszukiwanie, np. site:twojadomena.pl viagra albo site:twojadomena.pl kasyno.
2. Skorzystaj z narzędzia Google Safe Browsing. Pod adresem transparencyreport.google.com/safe-browsing/search wpisz swoją domenę. Narzędzie pokaże, czy Google oznacza stronę jako niebezpieczną (stan na październik 2026).
3. Otwórz raport bezpieczeństwa w Google Search Console. Jeśli masz dostęp do Search Console (bezpłatnego narzędzia Google dla właścicieli stron), wejdź w „Bezpieczeństwo i ręczne działania” → „Problemy dotyczące bezpieczeństwa”. Brak wpisów to dobra wiadomość, ale nie dowód, że strona jest czysta.
4. Wejdź na stronę jak klient. Na telefonie, najlepiej poza firmową siecią Wi-Fi i w trybie prywatnym przeglądarki, wyszukaj swoją firmę w Google i kliknij wynik. Powtórz to dla 2–3 podstron. Przekierowania „tylko z telefonu” wychodzą właśnie w ten sposób.
5. Przejrzyj ostatnio zmienione pliki u hostingu. W menedżerze plików panelu hostingu (lub przez SFTP) posortuj pliki według daty modyfikacji. Jeśli w ostatnich dniach nikt nie aktualizował strony, a zmieniły się pliki w głównym katalogu lub w folderach z obrazkami — to mocny sygnał.
6. Sprawdź listę użytkowników w CMS. Przejrzyj konta z uprawnieniami administratora i datę ich ostatniego logowania.
7. Użyj skanera online jako uzupełnienia. Bezpłatne skanery stron sprawdzają kod widoczny z zewnątrz i listy zablokowanych witryn. Pamiętaj jednak: czysty wynik skanera nie wyklucza infekcji. Skaner nie widzi plików na serwerze, a złośliwy kod często ukrywa się przed automatami.

Jeśli przynajmniej jeden krok dał niepokojący wynik, przyjmij roboczo, że strona jest zainfekowana, i przejdź do kolejnej części.

Potwierdziłeś infekcję — co zrobić najpierw

Pierwszy odruch to zwykle „usunąć podejrzany plik i mieć spokój”. To najczęstszy błąd. Usunięcie jednego pliku nie zamyka drogi, którą włamywacz wszedł, a często zostawia kolejne furtki w innych miejscach.

• Nie kasuj na ślepo. Zanim cokolwiek usuniesz, zrób pełną kopię plików i bazy danych w obecnym stanie — także zainfekowanym. Pozwoli ona ustalić, którędy nastąpiło włamanie, i wrócić do punktu wyjścia, jeśli coś pójdzie nie tak.
• Zmień hasła. Do panelu CMS, konta hostingowego, FTP/SFTP, bazy danych i skrzynek pocztowych w domenie. Zrób to z komputera, co do którego masz pewność, że jest czysty.
• Usuń nieznane konta. Zanotuj ich nazwy i daty utworzenia, zanim je skasujesz.
• Nie przywracaj od razu starej kopii. Kopia sprzed tygodnia może już zawierać ukryty kod, a nawet czysta kopia nie usuwa luki, przez którą weszło włamanie.
• Poinformuj hosting, jeśli zablokował konto — zwykle podaje, które pliki uznał za szkodliwe.

Pełną procedurę czyszczenia opisaliśmy w poradniku jak usunąć wirusa ze strony. Jeśli Twoja strona działa na Joomli, zajrzyj też do tekstu o usuwaniu wirusów z Joomli — tam są typowe miejsca, w których chowa się złośliwy kod w tym systemie.

Z naszej praktyki: webshelle w katalogach z obrazkami

W ostatnich tygodniach porządkowaliśmy kilka stron Joomla po włamaniach. Scenariusz powtarzał się: przez dziurawe rozszerzenie (np. kreator stron, którego nikt nie aktualizował od lat) ktoś wgrał na serwer webshelle — niewielkie pliki PHP, często o nazwach udających obrazki lub pliki systemowe.

Właściciele zauważali problem dopiero po skutkach: spamie w wynikach Google albo komunikacie od hostingu. Sama strona dla nich wyglądała normalnie. Usunięcie widocznego śmiecia nie wystarczało, bo webshell pozwalał włamywaczowi wrócić następnego dnia. Skuteczne było dopiero połączenie trzech rzeczy: przejrzenia wszystkich plików PHP w katalogach na treści, usunięcia lub zaktualizowania podatnego rozszerzenia i zablokowania uruchamiania PHP tam, gdzie powinny leżeć tylko obrazki.

Jak takie blokady ustawić, opisujemy w tekście o tym, jak zabezpieczyć stronę na hostingu.

Jak nie wrócić do punktu wyjścia

Większość infekcji, które widzimy, ma jedną z trzech przyczyn: nieaktualny CMS lub rozszerzenia, słabe albo wielokrotnie używane hasła, brak kopii zapasowej, z której da się bezpiecznie odtworzyć stronę. Po wyczyszczeniu strony warto więc:

• zaktualizować system i wszystkie rozszerzenia, a nieużywane usunąć,
• włączyć logowanie dwuetapowe dla kont administratorów,
• ustawić regularne kopie zapasowe przechowywane poza serwerem,
• włączyć monitoring, który powie Ci o problemie wcześniej niż klient.

Więcej o tym ostatnim punkcie przeczytasz w artykule o monitoringu strony i kopii zapasowej. Jeśli wolisz oddać stałą opiekę nad stroną w ręce specjalistów, zobacz, co obejmuje nasz serwis i bezpieczeństwo stron.

Najczęstsze pytania

Jak sprawdzić, czy strona jest zawirusowana, bez dostępu do serwera?

Możesz wykonać część testu z zewnątrz: wyszukać site:twojadomena.pl w Google, sprawdzić domenę w Google Safe Browsing, wejść na stronę z telefonu przez wyszukiwarkę i użyć skanera online. To jednak tylko wstępna diagnoza — pewność daje dopiero przegląd plików i bazy danych na serwerze.

Czy skaner online wystarczy, żeby wykluczyć wirusa na stronie?

Nie. Skaner widzi to, co strona pokazuje jemu. Wiele infekcji ukrywa się przed automatami albo uaktywnia tylko dla określonych odwiedzających. Czysty wynik skanera to dobry znak, ale nie dowód, że strona jest bezpieczna.

Jak usunąć wirusa ze strony samodzielnie?

Zacznij od kopii obecnego stanu, zmiany haseł i usunięcia nieznanych kont. Potem trzeba znaleźć i usunąć złośliwe pliki oraz wpisy w bazie danych, a przede wszystkim zamknąć lukę, przez którą nastąpiło włamanie. Bez tego ostatniego kroku infekcja zwykle wraca.

Ile czasu Google potrzebuje, żeby zdjąć ostrzeżenie po wyczyszczeniu strony?

Po usunięciu problemu zgłaszasz prośbę o weryfikację w raporcie „Problemy dotyczące bezpieczeństwa” w Google Search Console. Według dokumentacji Google weryfikacja może potrwać od kilku dni do kilku tygodni, dlatego zgłoszenie warto wysłać dopiero wtedy, gdy masz pewność, że strona jest czysta.