Nulled-плагины и пиратские темы WordPress опасны для сайта компании тем, что их код изменил неизвестный человек: в такой сборке нет официальных обновлений, нет поддержки разработчика, и в нее часто встроен вредоносный код. Последствия: спам-ссылки, скрытые администраторы, предупреждения в Google и Яндексе. Замена простая: купить лицензию или подобрать бесплатный аналог из официального каталога.
Типичная картина, с которой к нам приходят: сайт делал фрилансер, сдал работу, исчез. Через полгода в поиске под названием компании появляются страницы со ставками и таблетками, а хостинг присылает письмо о рассылке спама с аккаунта. При проверке выясняется, что премиальная тема и пара платных плагинов скачаны с «бесплатного» сайта-сборника. Владелец об этом не знал: в админке все выглядело как обычно.
Что такое nulled-плагин и чем он отличается от лицензионного
Nulled-плагин — это платное расширение WordPress, из которого вырезали проверку лицензионного ключа и выложили в открытый доступ. То же самое с темами: «взломанная тема» работает без покупки, но приходит не от автора, а от посредника, которого никто не проверял.
Здесь часто возникает путаница с лицензией GPL. WordPress распространяется под GPLv2 или более поздней версией, и на странице о лицензии WordPress команда проекта прямо пишет, что считает плагины и темы производными работами, которые наследуют GPL. Отсюда аргумент продавцов «сборников»: раз код открытый, распространять его законно. Формально часть кода действительно можно распространять. Но лицензия кода ничего не говорит о том, что посредник положил в архив. И она не дает права на обновления, ключ активации и поддержку: это услуги разработчика, за которые и платят.
| Что получает сайт | Лицензионная версия | Nulled-версия |
|---|---|---|
| Источник файлов | Сайт разработчика или официальный маркетплейс | Форум, телеграм-канал, сайт-сборник |
| Обновления безопасности | Автоматически из админки, пока действует ключ | Нет, или вручную от того же посредника |
| Поддержка разработчика | Есть, по условиям лицензии | Нет |
| Гарантия, что код не изменен | Есть | Нет |
| Платные дополнения и интеграции | Подключаются по ключу | Часто не работают |
Чем рискует сайт компании: пять реальных последствий
Самый серьезный риск — вредоносный код внутри архива, который запускается при первой активации плагина или темы. Остальные проблемы вытекают из него или из отсутствия обновлений.
1. Встроенный бэкдор и скрытый администратор
Самый известный пример — кампания WP-VCD. Исследователи Wordfence описывали ее в 2019 году как самое распространенное заражение WordPress: вредонос распространялся именно через пиратские темы и плагины. После активации такой сборки на сайте появлялся скрытый пользователь с правами администратора, а в страницы встраивались спам-ссылки. Взлома как такового не было: владелец сайта сам установил зараженный архив. В 2025 году та же компания описывала новую схему: в подделанные премиальные плагины вшивали код, который отключал защитный плагин на сайте.
Со скрытым администратором справиться труднее всего. Его нет в списке пользователей, пароль сменили, а доступ у злоумышленника остается. Если вы подозреваете такое заражение, пароли и права доступа нужно проверять системно; базовый порядок действий мы описали в статье как защитить сайт на WordPress от взлома.
2. Спам-страницы и потеря позиций в поиске
Заражение почти всегда бьет по SEO. Злоумышленнику нужен трафик и ссылочный вес вашего домена, поэтому на сайте появляются страницы казино, аптек и кредитов, часто на чужом языке. Поисковики находят их раньше владельца.
Google в отчете «Проблемы безопасности» в Search Console выделяет три типа нарушений: взломанный контент, вредоносное и нежелательное ПО, социальная инженерия. Страницы с такими проблемами могут получить пометку в результатах поиска, а браузер может показать посетителю предупреждающий экран перед входом на сайт. Снять пометку можно только после того, как исправлены все проблемы на всех страницах и отправлен запрос на проверку; Google пишет, что проверка обычно занимает от нескольких дней до нескольких недель.
В Яндексе действует похожая схема. Нарушения видны в Вебмастере в разделе «Оптимизация сайта» → «Безопасность и нарушения», а в выдаче Яндекс может показывать предупреждение об опасности сайта. По справке Яндекс Вебмастера об ограничениях за нарушения, проверка после исправления длится до 30 дней, а если ограничение не сняли, повторно отправить сайт можно не раньше чем через 30 дней. Для компании, которая получает заявки из поиска, это месяц, а то и два без органического трафика.
3. Нет обновлений безопасности
Даже «чистая» пиратская копия опасна, потому что она застывает на одной версии. В популярных плагинах регулярно находят уязвимости, и разработчик закрывает их обновлением. Лицензионный сайт получает исправление через админку. Сайт с nulled-версией остается с открытой дырой, о которой уже знают все, кто сканирует интернет в поисках уязвимых версий.
На b2bpro.kz мы регулярно разбираем такие случаи: например, уязвимость Bricksforge, которую использовали в атаках. Владельцу лицензии достаточно было обновить плагин. Владельцу пиратской копии обновлять нечего.
4. Сломанные интеграции и неожиданные отказы
Многие коммерческие плагины работают в связке с сервером разработчика: проверяют ключ, загружают шаблоны, подключают облачные функции. В nulled-версии эти вызовы вырезаны или подменены, поэтому часть функций работает странно. Формы перестают отправлять заявки, конструктор страниц не загружает блоки, импорт демо-данных зависает. Отладка такого сайта легко обходится дороже лицензии: разработчик тратит часы на поиск ошибки, которой в оригинальном коде нет.
5. Юридические и репутационные риски
С юридической стороной все не так однозначно, как с технической. Код под GPL распространять можно, но названия, логотипы, дизайн-материалы и сервисы разработчика под эту лицензию часто не попадают. Мы не юристы и не беремся оценивать конкретный случай. Практический риск понятнее: если сайт компании начнет рассылать спам или заражать посетителей, хостинг заблокирует аккаунт, а клиенты увидят предупреждение браузера рядом с вашим брендом.
Как проверить, есть ли на сайте nulled-плагины
Проверить сайт можно за час без специальных знаний, если идти по списку. Если подрядчик передавал вам сайт без доступов к аккаунтам разработчиков плагинов, считайте это первым тревожным сигналом.
- Откройте в админке раздел «Плагины» и выпишите все платные расширения: конструкторы страниц, плагины форм, SEO-плагины в премиальной версии, слайдеры, фильтры для магазина.
- Для каждого платного плагина проверьте, есть ли на сайте введенный лицензионный ключ. Обычно он виден в настройках плагина или на отдельной странице «Лицензия». Пустое поле или надпись вроде «Activated by …» без ключа — повод разобраться.
- Спросите у подрядчика, на какой аккаунт куплены лицензии. Ключ должен принадлежать компании, а не фрилансеру: иначе после окончания сотрудничества вы потеряете обновления.
- Посмотрите версии. Если рядом с плагином давно висит сообщение о доступном обновлении, но оно не устанавливается из-за «недействительной лицензии», это почти всегда пиратская копия или истекший ключ.
- Откройте раздел «Пользователи» и проверьте всех администраторов. Незнакомая учетная запись с ролью «Администратор» — признак заражения.
- Проверьте сайт в Google Search Console (отчет «Проблемы безопасности») и в Яндекс Вебмастере (раздел «Безопасность и нарушения»). Если сайт туда не добавлен, добавьте: уведомления о проблемах приходят на почту.
- Поищите в Google запрос вида
site:вашдомен.kz казиноилиsite:вашдомен.kz viagra. Найденные страницы, которых вы не создавали, означают взлом. - Запустите проверку защитным плагином или попросите хостинг проверить файлы антивирусом. У казахстанских хостеров такая проверка часто есть в панели управления.
Если проверка что-то нашла, не удаляйте файлы наугад. Сначала сделайте полную резервную копию сайта и базы данных: она понадобится, чтобы понять, когда и через что произошло заражение.
Что делать, если сайт уже заражен через пиратский плагин
Если заражение подтвердилось, порядок действий такой: изолировать проблему, вычистить сайт целиком, закрыть причину и только потом просить поисковики снять пометку. Попытка «быстро удалить подозрительный файл» обычно заканчивается повторным заражением через неделю, потому что бэкдор остается в другом месте.
- Сделайте полную копию файлов и базы данных в текущем состоянии и сохраните ее отдельно от хостинга.
- Смените пароли всех администраторов WordPress, панели хостинга, FTP и базы данных. Удалите незнакомых пользователей с ролью «Администратор».
- Замените файлы ядра WordPress на оригинальные с wordpress.org той же версии, а файлы плагинов и тем на оригинальные от разработчиков. Пиратские копии удалите полностью, не обновляйте их поверх.
- Проверьте базу данных: вредоносные скрипты часто прячутся в записях, настройках виджетов и в таблице параметров сайта.
- Обновите ключи безопасности в файле wp-config.php, чтобы старые сессии злоумышленника перестали действовать.
- Удалите спам-страницы и проверьте, что сайт снова чистый, повторным сканированием.
- Только после этого отправьте запрос на проверку в Google Search Console и Яндекс Вебмастере, подробно описав, что было исправлено.
Если резервная копия «до заражения» есть и вы точно знаете дату установки пиратской сборки, иногда проще восстановить сайт из нее и сразу поставить лицензионные версии. Но копия, сделанная уже после активации nulled-плагина, бесполезна: вместе с сайтом она восстановит и вредоносный код.
Чем заменить пиратские плагины и темы
Заменить nulled-сборку можно тремя способами: купить лицензию той же темы или плагина, перейти на бесплатный аналог из официального каталога или убрать расширение и сделать функцию кодом темы. Выбор зависит от того, насколько глубоко сайт завязан на конкретный плагин.
Вариант 1. Купить лицензию того же продукта
Это самый быстрый путь, если на nulled-теме или конструкторе собран весь дизайн сайта. Лицензионную версию ставят поверх, вводят ключ, и сайт продолжает работать в том же виде. Но ставить ее нужно не на зараженную копию: сначала сайт чистят, потом заменяют файлы на оригинальные с сайта разработчика.
Вариант 2. Бесплатный аналог из каталога WordPress.org
В официальном каталоге плагинов WordPress.org есть десятки тысяч бесплатных расширений. У каталога есть правила, и они важны именно для безопасности. По правилам размещения плагинов в каталоге WordPress, каждый плагин проверяют перед публикацией, обфусцированный (намеренно запутанный) код запрещен, а обращаться к внешним серверам без явного согласия пользователя плагин не вправе. Плагины с проблемами безопасности могут закрыть до исправления.
Для многих задач бесплатной версии хватает: формы, кэширование, SEO-разметка, резервные копии. Перед установкой посмотрите на дату последнего обновления, число активных установок и совместимость с вашей версией WordPress.
Вариант 3. Убрать лишнее и сделать функцию в коде
Часто платный плагин ставили ради одной мелочи: кнопки «Наверх», слайдера на главной, таймера акции. Такую задачу разработчик решает несколькими строками в теме, без стороннего расширения. Чем меньше плагинов, тем меньше точек, через которые можно взломать сайт, и тем быстрее он работает. Подробнее об этом подходе — в статье о том, как сократить количество плагинов на WordPress.
Как купить лицензию плагина WordPress в Казахстане
Купить лицензию плагина WordPress из Казахстана можно напрямую у разработчика или на официальном маркетплейсе, оплатив картой казахстанского банка, которая работает для зарубежных интернет-платежей. Большинство разработчиков продают ключи на своих сайтах, часть продуктов продается только через маркетплейсы вроде Envato Market (ThemeForest для тем, CodeCanyon для плагинов).
Что стоит учесть при покупке:
- Аккаунт у разработчика регистрируйте на корпоративную почту, к которой есть доступ у нескольких человек, а не на личный ящик подрядчика. Так лицензия не уйдет вместе с фрилансером.
- Сверьте условия до оплаты. Лицензии бывают на один сайт, на несколько сайтов, годовые и бессрочные. У годовой по окончании срока плагин обычно продолжает работать, но перестает получать обновления. Точные условия смотрите на странице покупки конкретного продукта.
- Если у сайта есть тестовый поддомен, проверьте, разрешает ли лицензия использовать ключ на нем.
- Ключи храните в одном месте: таблица с названием плагина, датой покупки, сроком, аккаунтом и ключом решает половину проблем при смене подрядчика.
- Продление закладывайте в бюджет. Годовые лицензии продлеваются каждый год, и это нормальная часть стоимости владения сайтом, как хостинг и домен.
Расходы на лицензии обычно меньше, чем стоимость одной чистки сайта после заражения, не говоря о потерянных заявках за месяц под фильтром.
Сколько стоит перейти с пиратских сборок на лицензионные
Стоимость перехода складывается из трех частей: цены лицензий, работы по замене и, если сайт уже заражен, работы по очистке. Цены лицензий называть не будем: они различаются в разы и часто меняются, актуальную сумму показывает сайт разработчика в момент покупки.
Объем работы определяют два вопроса. Первый: заражен ли сайт. Если да, сначала нужна очистка, удаление скрытых пользователей, смена всех паролей и ключей, проверка базы данных на внедренные скрипты, а затем запрос на снятие пометки в Search Console и Вебмастере. Второй: насколько сайт зависит от пиратской темы. Если на ней держится весь дизайн, разумнее купить лицензию той же темы. Если тема старая и разработчик ее больше не поддерживает, переход превращается в редизайн.
По нашему опыту на проектах B2BPRO.KZ, пиратские сборки чаще всего находятся на сайтах, которые собирались быстро и недорого, без договора и передачи доступов. Поэтому при аудите мы сразу смотрим не только на плагины, но и на то, кому принадлежат аккаунты хостинга, домена и лицензий.
Как не получить nulled-плагины от подрядчика
Защититься от пиратских сборок проще всего на этапе договора: закрепите в нем, что все платные плагины и темы покупаются на компанию и передаются вместе с сайтом. Подрядчик, который работает честно, против такого пункта не возражает.
Что стоит прописать в техническом задании и договоре:
- Перечень платных плагинов и тем с указанием, кто их покупает и на какой аккаунт.
- Передачу всех ключей и доступов к аккаунтам разработчиков при сдаче сайта.
- Запрет на установку расширений из неофициальных источников.
- Обязанность подрядчика обновлять плагины в период гарантии или поддержки.
При приемке работы проверьте пункт с лицензиями так же внимательно, как дизайн и формы. Чек-лист для этого этапа есть в статье как принять сайт у подрядчика.
Если нужен сайт, где все расширения легальные, а ключи оформлены на вашу компанию с первого дня, это часть нашей стандартной работы: заказать разработку сайта на WordPress можно с аудитом текущего сайта, и мы заранее скажем, какие плагины проще купить, а какие заменить.
Частые вопросы
Законно ли использовать nulled-плагины WordPress, если они под GPL?
Код WordPress-плагинов в большинстве случаев распространяется под GPL, поэтому сам код распространять можно. Но GPL не дает права на ключ активации, обновления и поддержку разработчика, а логотипы и сервисы под эту лицензию часто не попадают. Главная проблема nulled-сборок не юридическая: их код изменил неизвестный посредник, и проверить, что он туда добавил, невозможно.
Как понять, что на сайте стоит взломанная тема WordPress?
Проверьте, введен ли в настройках темы лицензионный ключ и на чей аккаунт он куплен. Тревожные признаки: тема не обновляется из админки, рядом висит сообщение о недействительной лицензии, подрядчик не может показать аккаунт покупки. Дополнительно посмотрите список администраторов и отчеты о безопасности в Google Search Console и Яндекс Вебмастере.
Можно ли просто удалить nulled-плагин и поставить лицензионный?
Можно, если сайт не заражен. Если пиратская сборка уже работала на сайте, удаление плагина не убирает вредоносный код: он мог остаться в других файлах, в базе данных или в виде скрытого администратора. Сначала сделайте резервную копию, проверьте сайт антивирусом и учетные записи, смените пароли, и только потом ставьте оригинальные файлы.
Где купить лицензию плагина WordPress в Казахстане?
Лицензию покупают напрямую на сайте разработчика плагина или на официальном маркетплейсе, например Envato Market. Оплатить можно картой казахстанского банка с поддержкой зарубежных интернет-платежей. Регистрируйте аккаунт на корпоративную почту компании, чтобы лицензия и обновления не зависели от конкретного подрядчика.
Сколько времени сайт может висеть с пометкой опасного после заражения?
В Google проверка после исправления обычно занимает от нескольких дней до нескольких недель. В Яндексе проверка длится до 30 дней, а при отказе повторно отправить сайт можно не раньше чем через 30 дней. Поэтому важно вычистить все проблемы до запроса проверки, а не отправлять его после частичного исправления.