外贸网站被黑了怎么办：
先止血，再查根。

外贸站被黑，最坏的结果往往不是「打不开」，而是客户收到了一封以你公司名义发来的假发票邮件。去年那种「网站被挂马」的老剧本，现在多半变成收款账号诈骗。所以处理顺序要反过来：先断掉别人用你域名说话的能力，再谈清理。

怎么确认是不是真的被黑了？

六个体征，中一条就该查：

• 搜索结果标题被改。site:你的域名 一看，标题里冒出赌博、药品、影视这类词，内容页却是你的。
• 点进去跳走。手机端尤其明显：PC 打开正常，手机打开跳到一个陌生站——这是按 UA 分流的脚本。
• Google 提示风险。搜索结果里出现「此网站可能已被入侵」或浏览器整页红色警告。
• 主机发来告警。多数共享主机有滥用检测，发信量异常、CPU 被打满、命中木马特征都会发邮件。
• 后台多出账号。管理员列表里有你不认识的人，或者你的密码突然失效。
• 文件时间戳对不上。网站目录里出现了你没上传过的 .php 文件，或者核心文件的修改时间是你没登录过的日期。

头 60 分钟：顺序别搞错

慌的时候最容易做的事是「赶紧重装」，而这一步会把证据一起删掉。正确的顺序是：

1. 留证。截屏搜索结果、跳转后的地址、异常文件列表。这些后面申请复审时要交。
2. 整站备份现场。把网站目录和数据库打包存到别处，别覆盖主机上现有的备份。
3. 断入口。改主机面板、后台、FTP、数据库四处密码，全部启用两步验证，踢掉所有会话；顺手停掉所有半年没用过的插件和主题。
4. 查发信。看主机邮局或 SMTP 服务的发信日志，有没有大量你不认识的收件人。有就说明账号已经被人拿去发垃圾邮件了。
5. 通知客户。如果客户收到过假邮件、假收款通知，早发一封说明比晚发强得多。

四种最常见的入侵路径

知道从哪进来的，才知道清完以后怎么堵。按这几年的公开数据，绝大多数的洞不在 WordPress 本体：

“91% of new vulnerabilities were found in plugins, and 9% were found in themes. There were only 6 vulnerabilities reported in the WordPress core, but these were low priority issues.”

Patchstack 年报原文：新增漏洞里 91% 在插件、9% 在主题，核心只有 6 个且全是低危。翻译成一句人话——你被黑，大概率是你装的那个插件或主题被人找到了口子。

Patchstack · State of WordPress Security 2026

清得干净吗？三条路选一条

这是被黑之后最需要判断力的一步：

• 清理：适合能定位到入口、能圈出改动范围的情况。前提是有干净的正版来源可以覆盖文件，而且你愿意花时间逐个核对。难点在于后门往往不止一个——攻击者进来第一件事常常是留第二个入口。
• 回滚：有备份就能回。但要注意备份的时间点：如果「最近的备份」里已经有马了，回滚等于把马一起恢复。判断方法很简单，备份里文件的时间戳如果集中在案发前后，就别用。
• 重做：入口是早就停更的插件、或者清理报价已经接近重建，那就重做。重做的前提是内容还在——产品参数、图片、文章，这些能不能导出来，决定了重做是一周还是一个月。

外贸站被黑，损失和别的站不一样

内贸站被黑，最多是打不开几天。外贸站有三笔额外的账：

1. 域名信誉进黑名单。你的域名被拿去发垃圾邮件之后，正常询盘邮件会进客户的垃圾箱。清完站只是第一步，还要各邮件服务商申诉解封，这个过程可能几周。
2. 商务邮件诈骗。常见剧本是：攻击者读你的邮件，知道哪笔单子在谈，然后用一个像你域名的地址发「收款账号变更」。这一笔损失可能是几万美金，而且客户会怪你。
3. 投放与自然流量一起掉。Google 标记风险页之后，广告账户也可能被暂停；自然排名的恢复要等复审通过。

清完之后，怎么让 Google 重新信任？

删掉马、改完密码，不代表搜索里那个红色警告会自己消失。要到 Search Console 的「安全问题和手动操作」里看具体是什么类型的问题，修完再提交审核，写清做了哪些修复——不是只点一下提交。Google 的说明在这里：Google 搜索中心 · 安全问题与复审。

同一个域名如果反复被黑，复审会一次比一次难。第二次的时候，与其继续清，不如换一个干净的实现方式。

防复发：哪六件事真有用？

• 插件数量做减法。不用的删掉，不是停用。
• 后台开两步验证，密码不复用——尤其别和邮箱同一个密码，邮箱才是真正的总开关。
• 不用破解版主题和插件。省下的几十美元，赔的是一次入侵。
• 每天一份自动备份，且备份存到主机之外的地方。
• 给后台登录地址改名、限制尝试次数。
• 把域名注册邮箱也开两步验证。很多「站被黑」最后查出来是域名账号先被拿了。

那静态站是不是就没事了？

不能说「不会」。准确的说法是：静态站上没有一个能被远程执行的口子——服务器只把文件发出去，不解析脚本，没有插件，没有登录页面。上面四种入侵路径，前三种在静态站上没有落点。

它仍然有两处风险：托管平台的账号被盗，或者域名账号被盗。区别在于后果——文件是可见的、有版本记录的，被改动能查出来、能回滚；而不是像数据库站那样，后门可以藏在某个插件的表里，你翻三天也翻不干净。

如果站已经被黑了，先别重装。把网址和主机面板的截图发我，我看一眼日志和文件，告诉你还能清、还是该重做。