WordPress Hackeado: O Que Fazer Agora (Guia de Emergência)

Seu site WordPress foi hackeado. Pode ser que você tenha descoberto agora, com um redirecionamento estranho, um aviso do Google, spam aparecendo nas páginas. A situação é urgente, mas tem solução.

O mais importante neste momento: não entre em pânico e não apague nada antes de ler este guia . Ações precipitadas podem piorar a situação ou destruir evidências necessárias para a limpeza.

Vamos ao passo a passo.

Este artigo complementa nosso Guia Completo de Erros WordPress .

Como Saber Se Seu WordPress Foi Hackeado

Nem toda invasão é óbvia. Alguns sinais são sutis e podem passar despercebidos por semanas. Fique atento a estes indicadores:

Sinais evidentes

Redirecionamentos estranhos: visitantes são enviados para sites de spam, farmácia ou cassino
Aviso do Google: mensagem "Este site pode danificar seu computador" nos resultados de busca
Páginas de spam no seu site que você não criou
Pop-ups ou anúncios que você não inseriu
Painel bloqueado: você não consegue mais fazer login no wp-admin
Usuários desconhecidos com privilégio de administrador

Sinais menos óbvios

Queda súbita no tráfego. Google pode ter removido ou penalizado seu site
E-mails de spam sendo enviados pelo seu servidor
Arquivos PHP desconhecidos na raiz do site ou em /wp-content/uploads/
Código estranho no functions.php , .htaccess ou wp-config.php
Cron jobs suspeitos no servidor
Site extremamente lento sem motivo aparente (mineração de criptomoeda)
Hospedagem suspendeu sua conta por uso abusivo de recursos

Ações Imediatas (Primeiros 30 Minutos)

Tempo é crítico. Quanto mais rápido você agir, menor o dano.

1. Faça um backup do site hackeado

Parece contraditório, mas faça backup do site no estado atual antes de qualquer alteração. Esse backup serve como:

Evidência para análise forense
Ponto de restauração caso você quebre algo durante a limpeza
Material para identificar exatamente o que foi alterado

Faça backup completo: arquivos + banco de dados.

2. Coloque o site em modo de manutenção

Impeça que visitantes acessem o site comprometido. Crie um arquivo maintenance.html e configure o servidor para exibi-lo, ou use o .htaccess :

RewriteEngine On
RewriteCond %{REQUEST_URI} !maintenance.html
RewriteCond %{REMOTE_ADDR} !^SEU\.IP\.AQUI$
RewriteRule ^(.*)$ /maintenance.html [R=503,L]

Substitua SEU.IP.AQUI pelo seu IP (descubra em whatismyip.com) para que você ainda consiga acessar o site.

3. Troque TODAS as senhas imediatamente

WordPress: todos os usuários administradores
FTP/SFTP: todos os usuários
Banco de dados: usuário MySQL (atualize também no wp-config.php )
Painel da hospedagem: cPanel, Plesk, etc.
Chaves de segurança do WordPress: gere novas em api.wordpress.org/secret-key e substitua no wp-config.php

As chaves de segurança no wp-config.php são estas:

define('AUTH_KEY',         'coloque-valor-unico-aqui');
define('SECURE_AUTH_KEY',  'coloque-valor-unico-aqui');
define('LOGGED_IN_KEY',    'coloque-valor-unico-aqui');
define('NONCE_KEY',        'coloque-valor-unico-aqui');
define('AUTH_SALT',        'coloque-valor-unico-aqui');
define('SECURE_AUTH_SALT', 'coloque-valor-unico-aqui');
define('LOGGED_IN_SALT',   'coloque-valor-unico-aqui');
define('NONCE_SALT',       'coloque-valor-unico-aqui');

Trocar essas chaves invalida todas as sessões ativas, inclusive a do invasor.

4. Verifique usuários administradores

No banco de dados (phpMyAdmin), consulte a tabela wp_users e wp_usermeta :

Procure usuários que você não reconhece
Verifique quem tem wp_capabilities com valor administrator
Delete qualquer usuário administrador desconhecido

Escaneie e Identifique o Malware

Agora que você conteve a situação, é hora de encontrar exatamente o que foi comprometido.

Ferramentas de scan

Wordfence (plugin) - scan completo de arquivos e banco de dados
Sucuri SiteCheck (online) - scan externo gratuito em sitecheck.sucuri.net
MalCare (plugin) - scan profundo com limpeza automatizada
Anti-Malware Security (plugin) - detecção de padrões conhecidos

O que procurar manualmente

Verifique estes arquivos e locais por código suspeito:

Arquivos da raiz: index.php , wp-config.php , .htaccess
wp-content/uploads/ , pois arquivos PHP não deveriam estar aqui
wp-includes/ , comparando com uma instalação limpa do WordPress
functions.php do tema ativo
Plugins desconhecidos em /wp-content/plugins/

Padrões de código malicioso comuns

Fique atento a:

Funções como eval() , base64_decode() , gzinflate() , str_rot13()
Código ofuscado (strings longas de caracteres aleatórios)
Includes de URLs externas
Arquivos PHP com nomes que imitam arquivos do core (ex: wp-tmp.php , class-wp.php em locais errados)
Código inserido no início ou final de arquivos PHP existentes

Como Limpar o WordPress Hackeado

Opção 1: Limpeza manual (recomendado para quem tem experiência)

Reinstale o WordPress core
Baixe a versão mais recente em br.wordpress.org
Substitua as pastas wp-admin e wp-includes inteiras
Substitua os arquivos PHP da raiz (exceto wp-config.php )
Limpe o wp-config.php
Compare com o arquivo wp-config-sample.php da instalação limpa
Remova qualquer código que não deveria estar lá
Atualize as chaves de segurança (já mencionado acima)
Reinstale plugins e temas
Delete todos os plugins e reinstale das fontes oficiais
Delete e reinstale o tema
Nunca use plugins ou temas piratas ("nulled"), pois são a principal porta de entrada para malware
Limpe a pasta uploads
Verifique cada subpasta em /wp-content/uploads/
Delete qualquer arquivo .php , .js ou .html suspeito
Arquivos de upload devem ser apenas imagens, PDFs e similares
Limpe o banco de dados
Verifique a tabela wp_options por URLs de spam em siteurl e home
Procure por conteúdo spam em wp_posts
Verifique wp_users por usuários desconhecidos

Opção 2: Restaurar backup limpo

Se você tem um backup de antes da invasão:

Restaure o backup completo (arquivos + banco de dados)
Atualize TUDO imediatamente (WordPress, plugins, temas)
Troque todas as senhas e chaves de segurança
Escaneie para garantir que o backup não estava já comprometido

Após a Limpeza

Verifique se o site está limpo

Rode o scan do Wordfence ou Sucuri novamente
Acesse o site em modo anônimo para verificar redirecionamentos
Teste o Google Search Console para alertas
Monitore nos próximos dias

Solicite revisão ao Google

Se o Google marcou seu site como perigoso:

Acesse o Google Search Console
Vá em Segurança e ações manuais > Problemas de segurança
Clique em Solicitar revisão
O Google geralmente revisa em 1 a 3 dias

Verifique blacklists

Além do Google, verifique se seu site ou IP está em blacklists:

Sucuri SiteCheck
VirusTotal
MXToolbox (para blacklists de e-mail)

Como Prevenir Futuras Invasões

A limpeza resolve o problema imediato, mas sem prevenção o site será hackeado novamente. Implemente estas medidas:

Medidas essenciais

Mantenha tudo atualizado. WordPress, plugins e temas. Atualizações corrigem vulnerabilidades de segurança.
Use senhas fortes. Mínimo 16 caracteres com letras, números e símbolos. Use um gerenciador de senhas.
Ative autenticação em dois fatores (2FA) no wp-admin, com plugins como WP 2FA ou Two Factor.
Limite tentativas de login com plugins como Limit Login Attempts Reloaded ou Login Lockdown.
Nunca use plugins ou temas piratas. "Nulled" é sinônimo de malware.
Remova plugins e temas inativos. Mesmo desativados, podem ter vulnerabilidades exploráveis.
Use SFTP em vez de FTP. FTP transmite senhas em texto puro.

Medidas avançadas

Configure headers de segurança: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options
Desative a edição de arquivos pelo painel. Adicione ao wp-config.php :

define('DISALLOW_FILE_EDIT', true);

Mude o prefixo das tabelas. Não use wp_ padrão em novas instalações.
Configure backups automáticos diários. Armazene em local externo (Google Drive, S3, etc.)
Monitore o site regularmente. Configure alertas para alterações em arquivos.

Precisa de Ajuda Urgente?

Limpar um site hackeado exige cuidado e conhecimento técnico. Um passo errado pode piorar a situação ou deixar backdoors que permitirão novas invasões.

Se você não se sente seguro para fazer a limpeza sozinho, ou se o site continua sendo comprometido após a limpeza, a HOSTWP pode resolver. Nosso suporte cobre do servidor ao site: identificamos a origem da invasão, limpamos o malware, fechamos as vulnerabilidades e implementamos proteção para evitar que aconteça novamente. Fale com a HOSTWP agora .