Ver um aviso de segurança, redirecionamentos de spam ou utilizadores de administração estranhos no WordPress parece um murro no estômago. Respire. O pânico leva a decisões precipitadas — apagar ficheiros errados, destruir a única cópia limpa, ou partilhar palavras-passe num ticket público. Pode estabilizar a situação com uma sequência clara.
Este artigo é para donos de negócio, não para programadores. Vai ver como confirmar um compromisso, o que fazer de imediato, o que não fazer, como costuma decorrer uma limpeza (visão geral) e como reforçar o site depois. Se o site aceita pagamentos ou guarda dados de clientes, trate o assunto como continuidade do negócio — não como experiência caseira.
Não entre em pânico — o primeiro passo é controlo
Os objetivos na primeira hora são simples: parar a hemorragia, preservar evidências e recuperar um site de confiança. Anote o que reparou (hora, texto do aviso, URLs estranhas). Tire capturas de ecrã de mensagens do Google, do alojamento ou de clientes. Esse registo ajuda equipas de suporte e o alojamento a agir mais depressa.
Se vende online, considere uma página temporária de manutenção depois de confirmar um ataque ativo — é preferível uma pausa curta a clientes a aterrar em malware. Alinhe a equipa para ninguém “corrigir” em direções opostas.
Como confirmar que foi mesmo um ataque
Nem toda a falha é malware. Conflitos de plugins partem layouts. Erros de DNS enviam tráfego para o sítio errado. Ainda assim, trate estes sinais como graves até prova em contrário:
Avisos do navegador ou do Google Safe Browsing; redirecionamentos inesperados; novos administradores que não criou; conteúdo que não publicou; spam de SEO na Search Console; avisos do alojamento sobre phishing ou abuso; picos estranhos de CPU ou spam a sair do servidor.
Entre no WordPress preferencialmente a partir de um dispositivo limpo. Se o seu computador puder estar infectado, use outra máquina e altere palavras-passe depois de isolar o site.
O que fazer imediatamente
1. Contacte o alojamento. Peça análise de malware, revisão de logs de acesso e, se necessário, restrição temporária do acesso público. Muitos alojamentos isolam o site mais depressa do que consegue sozinho.
2. Altere palavras-passe críticas — com cuidado. Depois de começar o isolamento, rode as passwords de administração WordPress, painel de alojamento, FTP/SFTP, base de dados e emails associados. Ative autenticação de dois fatores onde existir. Force o logout de outras sessões WordPress se o plugin de segurança o permitir.
3. Preserve cópias de segurança antes de sobrescrever. Descarregue um backup completo e guarde uma cópia offline. Não restaure o backup mais recente de olhos fechados — pode já conter malware. Identifique o último backup conhecido como bom, anterior aos sintomas.
4. Inventarie plugins e utilizadores. Liste plugins/temas instalados e todos os utilizadores com direitos de administrador. Remova estranhos óbvios depois de ter instantâneos.
5. Informe as partes relevantes. Se puderem estar envolvidos dados de clientes, cumpra obrigações legais e de pagamentos. Em caso de dúvida, peça orientação — adivinhar mal sai caro.
O que NÃO fazer
Não apague ficheiros ao acaso na esperança de o problema desaparecer. Não instale cinco plugins de segurança de uma vez num site infectado em produção. Não ignore o assunto porque “já parece normal”. Não reutilize as mesmas palavras-passe após um compromisso. Não restaure um backup e salte a análise de malware — a reinfeção é comum quando a porta de entrada continua aberta.
Evite também partilhar em excesso. Não publique credenciais da base de dados ou conteúdos do wp-config em grupos públicos a pedir ajuda.
Como costuma decorrer a limpeza (visão geral)
Uma limpeza profissional combina análise, remoção de ficheiros e entradas maliciosas na base de dados, reposição de credenciais, correção da porta de entrada (muitas vezes um plugin desatualizado ou uma password fraca) e verificação de que redirecionamentos e páginas de spam desapareceram. Depois, o site é monitorizado para evitar reinfeção.
Pode tentar limpeza com ferramentas reputadas se a infeção for ligeira e tiver bons backups. Para lojas, sites com membros ou reinfecções repetidas, peça ajuda experiente. Limpezas parciais que deixam uma backdoor gastam mais tempo do que começar com um especialista.
Como reduzir a hipótese de voltar a acontecer
Aplique atualizações com calendário e backups primeiro. Remova plugins e temas não usados. Limite administradores. Use palavras-passe únicas e autenticação de dois fatores. Mantenha backups automáticos fora do servidor. Adicione monitorização de disponibilidade e segurança para saber de problemas por alertas — não por clientes. Reveja permissões de ficheiros e isolamento no alojamento.
A manutenção é o sistema aborrecido que evita a tarde dramática. Depois de um hack, esse sistema deixa de ser opcional.
Após a limpeza, marque um período de vigilância de 30 dias: reveja utilizadores administradores semanalmente, confirme que os backups correram e acompanhe a Search Console para novos problemas de segurança. Se o Google marcou o site como inseguro, só peça reconsideração quando tiver confiança de que o malware saiu — pedir cedo demais atrasa a recuperação.
Documente o que correu mal para o seu próprio guião: que plugin estava desatualizado, que palavra-passe era reutilizada, que alerta falhou. Esse pós-mortem curto vale mais do que outro PDF genérico de “checklist de segurança” que nunca volta a abrir.
Quando vale a pena ajuda profissional
Peça ajuda se aceita pagamentos, se a reinfeção continua, se o Google continua a assinalar o site após as suas tentativas, ou se simplesmente não pode viver dias de incerteza. Um plano de manutenção com monitorização e suporte por tickets costuma sair mais barato do que limpezas de emergência repetidas.
A SupportWP ajuda pequenas empresas com manutenção WordPress, cópias de segurança e monitorização 24/7 — e um caminho de suporte quando algo corre mal. Se está a lidar com um site comprometido ou quer reforçar antes do próximo susto, veja os planos e escolha a cobertura adequada à importância do site para a faturação diária.