Se o seu site WordPress foi invadido, a ordem dos primeiros passos importa mais que a velocidade: registrar o que está acontecendo, cortar os acessos, guardar uma cópia e só então limpar. É a sequência que a própria documentação do WordPress.org recomenda, e é a que seguimos na Amicatek. Abaixo está o roteiro e o ponto em que vale chamar ajuda.
Como saber se o site WordPress foi invadido
A documentação do WordPress.org lista sinais claros de comprometimento:
- o Google, o Bing ou outro buscador marcou o site como perigoso;
- a hospedagem suspendeu o site;
- o site foi apontado como distribuidor de malware;
- visitantes contam que o antivírus deles bloqueia o site;
- alguém avisou que o seu site está sendo usado para atacar outros;
- apareceram ações que ninguém autorizou, como usuários novos;
- a invasão é visível quando você abre o site no navegador.
O que fazer nas primeiras horas
- Anote o que está vendo. O que indica a invasão, a hora em que você percebeu e o que mudou no site nos últimos dias (plugin novo, troca de tema, widget alterado). Essa anotação vira o relatório do incidente, seja você quem vai limpar ou uma empresa.
- Fale com a hospedagem. Em hospedagem compartilhada, a invasão pode ter atingido mais de um site. A hospedagem também confirma se é invasão ou só queda do serviço.
- Corte os acessos. Troque todas as senhas: wp-admin, FTP/SFTP, painel da hospedagem e banco de dados, de todos os usuários. Gere novas chaves de segurança no wp-config.php para derrubar quem ainda estiver logado.
- Faça uma cópia antes de limpar. Mesmo infectada. Se a limpeza der errado, você tem o estado original para consultar.
- Verifique o seu computador. Muitas invasões começam com um vírus na máquina de quem administra o site, que captura as senhas. Rode um antivírus completo.
Limpeza: o que costuma estar infectado
A limpeza depende do tipo de invasão. A documentação do WordPress.org recomenda reinstalar as pastas /wp-admin e /wp-includes pela mesma versão em uso, por FTP/SFTP, porque o reinstalador do painel só sobrescreve arquivos e o invasor costuma criar arquivos novos. Em wp-content, onde ficam temas e plugins, o trabalho é arquivo por arquivo. Os pontos mais visados são o .htaccess e os arquivos index.php, header.php, footer.php e functions.php do tema.
Depois de limpo: atualize o WordPress, os plugins e o tema, troque as senhas de novo (as trocadas durante a invasão podem ter vazado) e descubra por onde o invasor entrou. Sem isso, a invasão tende a voltar pelo mesmo caminho.
Quando chamar ajuda
Vale chamar uma equipe especializada quando o site é a sua fonte de vendas ou contatos, quando o Google já marcou o site, quando a invasão voltou depois de uma limpeza ou quando você não tem acesso ao painel. A Amicatek faz a limpeza, restaura a partir de um backup limpo e reforça a segurança. Para quem está em um plano de manutenção, isso não tem custo adicional.
Perguntas frequentes
Meu site WordPress foi invadido. Qual o primeiro passo?
Anote os sintomas e o horário, avise a hospedagem e troque todas as senhas de acesso. Só depois faça uma cópia e comece a limpeza.
Restaurar um backup resolve?
Só se o backup for de antes da invasão e se a falha que permitiu a entrada for corrigida. Senão o invasor volta pelo mesmo caminho.
Perdi o acesso ao painel. E agora?
Pelo phpMyAdmin ou Adminer da hospedagem dá para trocar o e-mail do usuário administrador e usar o “esqueci minha senha” na tela de login.
A Amicatek limpa site invadido?
Sim. Clientes de manutenção têm limpeza e restauração sem custo adicional. Para outros sites, peça um diagnóstico.
Leia também: Corrigindo o hack de palavras japonesas e planos de manutenção WordPress.
Fontes
- WordPress.org: FAQ My site was hacked (atualizado em 26/07/2026)