A DMedica nőgyógyászati és szülészeti szakrendelő Belgrádban, a Slavija téren. Mielőtt elindítják a Google-hirdetéseket, megkértek minket, hogy tegyük rendbe az oldalt.
Az ok egyszerű. A hirdetés elhozza az embert az oldalra. Hogy utána mi történik, az már csak az oldalon múlik.
Kívülről az oldal rendezettnek tűnt. Belül három dolgot találtunk, amit évek óta senki sem vett észre.
Üzenetek, amelyek sosem értek el a rendelőhöz
Az oldalon van egy időpontfoglaló űrlap. Az emberek kitöltötték: név, telefonszám, mi a panaszuk, mikor tudnának jönni. Rákattintanak a „Küldés” gombra, látják, hogy az üzenet elment, és várják a hívást.
A hívás nem jött. A rendelő nem is tudott ezekről az üzenetekről.
Aki az oldalt készítette, a saját címét hagyta címzettként az űrlapokban. Nagyjából öt évig minden üzenet hozzá ment, nem a rendelőhöz. (Senki sem csinálta szándékosan. Csak senki sem ellenőrizte.)
Az üzenetek végig ott voltak az oldal adatbázisában. A spam kiszűrése után 476 valódi betegmegkeresés maradt.
Az oldal mind a 45 űrlapját átállítottuk, hogy a rendelő e-mail-címére küldjenek. Ráadásul az e-mailből küldött válasz most egyenesen a beteghez megy, a tárgyban pedig ott áll az író neve. A próbaüzenet megérkezett.
476valódi páciens-megkeresés várt az oldal adatbázisában. A rendelő nem is tudott róluk.
Az oldalt feltörték, és senki sem tudott róla
A behatolás első nyomai 2024 augusztusából valók. A legtöbb 2026 februárja és júniusa között történt: hamis bővítmény, fájlfeltöltő szkriptek, egy régi gyorsítótár-bővítmény beállításaiba beírt kód és egy adminisztrátori fiók, amelyet senki sem hozott létre a rendelőből.
A tárhely vírusirtója a fájlok egy részét megtisztította. Az ajtó, amelyen a támadó bejött, nyitva maradt.
Először biztonsági mentést készítettünk a teljes oldalról. Aztán sorban:
- eltávolítottuk a visszamaradt kódot, a hamis bővítményt és az ismeretlen fiókokat;
- frissítettük a WordPresst és az összes bővítményt, a licenc nélküli bővítménymásolatokat pedig licencesre cseréltük;
- a PHP-t a 7.4-es verzióról 8.5-re váltottuk;
- a bejelentkezést másik címre tettük, letiltottuk a kód szerkesztését az adminból, és lezártuk azokat a bejáratokat, amelyekkel a botok a leggyakrabban próbálkoznak.
Közben arra is rájöttünk, miért volt 1,7 GB az adatbázis: több ezer régi oldalverzió és több száz spamüzenet. Most 70 MB.
2024 augusztusaa betörés első nyomai. A legtöbb aktivitás 2026 februárja és júniusa között volt, és senki sem tudott róla.
Telefonon a nyitóoldal majdnem 12 másodpercig töltött
Aki nőgyógyászt keres, többnyire telefonról teszi. Gyakran este, gyakran akkor, amikor valami aggasztja. A DMedicánál a nyitóoldal fő képe 11,7 másodperc után jelent meg.
Az oldal egy kész témán és Elementoron fut, még négy bővítménycsomaggal. Mindegyik a saját fájljait teszi be minden oldalra. A nyitóoldal 5,5 MB volt.
Nem építettük újra az oldalt. Fogtuk, ami van, és levágtuk a felesleget:
- 11 221 kép WebP-be konvertálva, 803 MB-ról 169 MB-ra;
- az ikonbetűkészlet 454 KB-ról 3 KB-ra csökkentve, mert az oldal a több száz ikonból 14-et használ;
- kilenc Google Fonts-kérés egybe vonva, a Font Awesome dupla példányai kidobva;
- az oldal tetejének stílusa azonnal betöltődik, a többi utána jön, így az oldal már azelőtt látszik, hogy minden betöltődne;
- a videós csúszkák csak akkor indulnak, amikor odagörgetsz.
Google PageSpeed telefonon: 60-ról 91-re. Számítógépen: 81-ről 99-re.
Ez az oldal határa is. Amíg a téma és a négy bővítménycsomag viszi, a nyitóoldalon 47 szkript van, és ennél tovább csak egy könnyebb alapra váltással lehet jutni.
A Google üres oldalakat és lorem ipsumot látott
Egyetlen oldalnak sem volt fő címsora. A 69 címből 52-n sablonszöveg állt: lorem ipsum, kitalált kérdések, hamis telefonszám. Voltak üres oldalak, ugyanarra a beavatkozásra két-három oldal és elgépelt címek.
A Search Console nem volt bekötve, így ezt senki sem láthatta. A Google igen.
- a sablonszöveget valódira cseréltük, az oldalakon lévő kérdéseket pedig abból állítottuk össze, amit az emberek ténylegesen beírnak a Google-be;
- 35 üres oldalt és duplikátumot levettünk, 37 régi címet átirányítottunk a megfelelőre, 244 belső linket javítottunk;
- fő címsor 48 oldalon, keresési címek és leírások 20 oldalon, leírás 33 képen;
- a Google most tudja, hogy ez egy orvosi rendelő, címmel, nyitvatartással és orvosokkal;
- bekötöttük a Search Console-t, és beküldtük az oldaltérképet.
Egy érintés a rendelőig
Telefonon most oldalt három gomb van: hívás, WhatsApp és Viber. A szövegben lévő telefonszámok linkek lettek, így nem kell átmásolni őket.
Előtte és utána
- Űrlapok: előtte a fejlesztőhöz mentek, most a rendelőhöz érkeznek.
- Biztonság: előtte behatolás és ismeretlen adminisztrátor, most megtisztítva, frissítve és lezárva.
- Sebesség telefonon: PageSpeed 60, most 91.
- A nyitóoldal mérete: 5,5 MB, most nagyjából 1 MB.
- Keresés: előtte címsorok nélkül és lorem ipsummal, most SEO 100 a PageSpeedben és bekötött Search Console.
A következő lépés a Google-hirdetések. Az oldal, ahová vezetnek, most azt csinálja, amit a látogató elvár tőle.
Nézd meg a saját oldalad öt perc alatt
Nyisd meg az oldaladat telefonról, töltsd ki a kapcsolatfelvételi űrlapot, és küldj üzenetet magadnak. Ha öt percen belül nem érkezik meg, valami nincs rendben. (Itt öt évig így volt.)
Ha szeretnéd, hogy valaki a többit is megnézze, küldd el a címet az írásos weboldal-ellenőrzéshez. Ha olyan valakit keresel, aki ezután is vigyáz az oldalra, nézd meg a weboldal-karbantartást.