Site WordPress hackeado: o que fazer nas primeiras 24 horasIdentifique o tipo de invasão, contenha o estrago, limpe com método e peça a revisão ao Google, sem apagar provas nem reinfectar o site.
O alerta pode chegar de várias formas: o navegador mostra uma tela vermelha, clientes reclamam que o site abre outra página, o Google exibe resultados em japonês com o seu domínio ou a hospedagem suspende a conta. O pânico leva a erros caros, como restaurar um backup já infectado ou apagar arquivos sem saber como o invasor entrou. Este guia organiza as primeiras 24 horas em passos e traz ferramentas para cada um.
O que fazer quando o site WordPress é hackeado?
Na ordem: 1) troque as senhas de hospedagem, banco de dados, FTP e administradores e coloque o site em manutenção se ele estiver redirecionando visitantes; 2) faça uma cópia do estado atual para investigação; 3) identifique o tipo de invasão e a porta de entrada (plugin ou tema desatualizado, senha fraca, usuário desconhecido); 4) limpe reinstalando núcleo, temas e plugins de fontes oficiais e removendo arquivos e usuários estranhos; 5) atualize tudo e, se o Google marcou o site, peça a revisão no relatório de Problemas de segurança do Search Console.
Que tipo de invasão é essa?
Cada tipo tem um objetivo diferente e deixa rastros diferentes. Marque o que você está vendo.
Invasores raramente querem “derrubar” um site de pequena empresa. Eles querem usar a reputação do seu domínio: para publicar páginas de spam que aparecem no Google, para redirecionar visitantes a golpes, para hospedar páginas falsas de bancos ou para distribuir malware. Saber qual é o objetivo indica onde procurar o código malicioso e qual a urgência. Muitas invasões começam com engenharia social, descrita em golpes contra donos de sites.
Descubra o que o Google já indexou do seu site
Digite o domínio. A ferramenta gera buscas que revelam páginas de spam escondidas, que o dono do site normalmente não vê.
No tipo mais comum de invasão de SEO, o invasor cria milhares de páginas que só aparecem para o Googlebot, ou só para quem chega pelo Google. Visitando o site direto, você não vê nada de errado. A busca com o operador site: mostra o que o Google encontrou no seu domínio. Uma invasão costuma aparecer primeiro como queda de visitas sem motivo aparente.
Os resultados mostram uma amostra do índice. Para a lista completa de URLs, use o relatório de Indexação do Search Console.
Comandos que mostram o que foi alterado
Se a hospedagem oferece acesso SSH com WP-CLI, estes comandos comparam seus arquivos com os originais do WordPress e listam o que mudou recentemente.
Comandos só de leitura: eles mostram, não apagam. Se não tem SSH, peça à hospedagem ou use um plugin de segurança que compare arquivos com os originais.
Não restaure o backup de ontem sem pensar. Invasões costumam acontecer semanas antes de serem notadas. Restaurar um backup recente pode trazer o código malicioso de volta, e restaurar sem fechar a porta de entrada leva a nova invasão em dias.
As primeiras 24 horas, hora a hora
Siga a ordem. Pular a contenção para ir direto à limpeza é o erro mais comum.
- Hora 0 a 1 · conter
Feche o acesso e proteja os visitantes
Troque senhas da hospedagem, do painel, do FTP/SFTP, do banco de dados e de todos os administradores, a partir de um computador sem vírus. Se o site redireciona visitantes ou exibe phishing, coloque-o em manutenção. Avise a hospedagem.
- Hora 1 a 3 · preservar
Faça uma cópia do estado atual
Baixe arquivos, banco de dados e registros de acesso (logs). Essa cópia é para investigar, não para restaurar. Anote datas e o que foi visto.
- Hora 3 a 8 · investigar
Descubra como entraram
Liste plugins e temas desatualizados ou abandonados, usuários administradores desconhecidos, arquivos alterados recentemente e PHP em pastas de upload. Os logs mostram acessos suspeitos ao painel e a arquivos.
- Hora 8 a 20 · limpar
Reinstale a partir de fontes oficiais
Substitua o núcleo do WordPress, temas e plugins por cópias baixadas das fontes oficiais. Remova o que não usa, apague usuários estranhos, revise
wp-config.php,.htaccesse tarefas agendadas e procure conteúdo injetado no banco. - Hora 20 a 24 · fechar e revisar
Feche a porta e peça a revisão
Atualize tudo, gere novas chaves de segurança no
wp-config.php, ative duas etapas no painel e um firewall. Se o Google exibiu aviso, peça a revisão em Problemas de segurança no Search Console, explicando o que foi feito.
Como não passar por isso de novo
A maioria das invasões em sites WordPress de pequenas empresas explora o mesmo punhado de falhas.
Plugins e temas em dia
Componentes desatualizados ou abandonados pelo desenvolvedor são a porta de entrada mais comum. Remova o que não usa e evite versões “nulled” (piratas) de plugins pagos.
Senhas únicas e duas etapas
Cada administrador com sua conta, senha forte, verificação em duas etapas e o mínimo de permissões necessário.
Cópias fora do servidor
Backups diários guardados em outro local, com várias semanas de histórico, para poder voltar a uma data anterior à invasão.
Filtro na entrada
Um firewall de aplicação (no servidor, na CDN ou em plugin) bloqueia tentativas automáticas antes de chegarem ao WordPress.
Search Console ativo
Com o site verificado, o Google avisa por e-mail sobre problemas de segurança. Configure também alertas de alteração de arquivos.
PHP e hospedagem atuais
Versões de PHP sem suporte não recebem correções de segurança. Veja Hospedagem: compartilhada, VPS ou gerenciada.
Checklist pós-incidente e resumo
Só considere o incidente encerrado com todos os itens marcados.
Resumindo: contenha, preserve, investigue, limpe e feche a porta, nessa ordem. A limpeza só se sustenta se a causa for eliminada. E se o Google marcou o site, a revisão no Search Console é o que remove o aviso.
Se a invasão derrubou o tráfego, veja Por que meu site perdeu visitas sem eu mudar nada.
Revise também a hospedagem do site e, se o servidor enviou spam, a autenticação de e-mail.
Como este guia foi feito
Guia produzido pela equipe da Agência Playbrand com base na documentação do Google sobre sites comprometidos, nas recomendações de segurança do WordPress e em atendimentos a sites invadidos. Última revisão em 20 de outubro de 2026.
Comandos e procedimentos devem ser executados por quem tem familiaridade com o servidor. Em caso de dados de clientes expostos, avalie também as obrigações da LGPD sobre incidentes.
Perguntas frequentes
Respostas rápidas para as dúvidas mais comuns sobre o tema.
Como saber se meu site WordPress foi hackeado?
Sinais comuns: aviso de site perigoso no navegador, visitantes redirecionados para outros sites, páginas de spam com seu domínio no Google, administradores desconhecidos, arquivos alterados e alertas da hospedagem ou do Search Console.
Restaurar um backup resolve a invasão?
Só se o backup for anterior à invasão e a porta de entrada for fechada. Muitas invasões acontecem semanas antes de serem notadas, e restaurar sem corrigir a causa leva a nova invasão.
Como tirar o aviso de site perigoso do Google?
Depois de limpar o site e corrigir a vulnerabilidade, solicite a revisão no relatório de Problemas de segurança do Search Console, descrevendo as ações realizadas.
Por que vejo páginas em japonês com meu domínio no Google?
É um tipo comum de invasão de spam de SEO, em que páginas são criadas para aparecer só para buscadores. Use a busca site:seudominio.com.br e o relatório de Indexação para identificar as URLs.
Plugin pirata (nulled) é perigoso?
Sim. Versões piratas de plugins e temas pagos frequentemente vêm com código malicioso e não recebem atualizações de segurança.
Leia também
Outros guias práticos da Agência Playbrand para quem quer decidir melhor.
Seu site foi invadido?
Fazemos a contenção, limpeza, correção da causa e o pedido de revisão no Google, com relatório do que foi encontrado.
