Proprietários de sites em WordPress protegem seus sites mantendo tudo atualizado, usando senhas fortes, fazendo backups frequentes e agindo rápido ao primeiro sinal de infecção. Quando o malware já entrou, a remoção exige isolar o site, limpar arquivos e banco de dados, fechar a brecha e trocar todas as credenciais. Vamos ao passo a passo.
Por que proprietários de sites em WordPress são alvos tão frequentes?
O WordPress é o alvo preferido porque é muito popular, e atacar uma falha comum rende resultado em escala. Os criminosos raramente escolhem um site pelo que ele é, e sim pela vulnerabilidade que ele tem.
Na prática, a maioria das invasões não vem do núcleo do WordPress, mas de plugins e temas desatualizados, ou de aqueles baixados em sites duvidosos. Senhas fracas e usuários esquecidos completam o cenário.
Um site pequeno não passa despercebido. Robôs varrem a internet o tempo todo, sem se importar com o tamanho do seu negócio. Eles usam o servidor para enviar spam, hospedar páginas falsas ou redirecionar seus visitantes para golpes.
Como saber se meu site WordPress está infectado?
Os sinais mais comuns são redirecionamentos estranhos, alertas de “site perigoso” no navegador e queda repentina de tráfego. Nem sempre o problema é visível, então vale conhecer os indícios menos óbvios.
Sinais que merecem atenção imediata
- Visitantes sendo enviados para sites de apostas, farmácias ou páginas desconhecidas.
- Aviso vermelho do Google ou do navegador ao abrir o endereço.
- Novos usuários administradores que você não criou.
- Páginas em japonês ou conteúdo estranho aparecendo nos resultados de busca.
- Lentidão repentina ou a hospedagem avisando sobre uso excessivo de recursos.
- Arquivos desconhecidos nas pastas do servidor, principalmente com nomes aleatórios.
Teste em aba anônima
Alguns malwares só aparecem para quem chega pelo Google ou para quem não está logado. Abra seu site em uma aba anônima, pelo celular, antes de dizer que está tudo bem.
Como remover malware de um site WordPress passo a passo?
Primeiro isole o site, depois faça uma cópia de segurança do estado atual e só então comece a limpeza. A ordem importa: apagar arquivos sem critério pode piorar o problema ou destruir evidências de como o ataque aconteceu.
Etapa 1: contenção e backup
Coloque o site em modo de manutenção ou peça à hospedagem para suspendê-lo temporariamente. Em seguida, baixe uma cópia completa dos arquivos e do banco de dados, mesmo infectada, para consulta futura.
Etapa 2: limpeza
- Troque as senhas do painel de hospedagem, do FTP, do banco de dados e de todos os usuários do WordPress.
- Reinstale o núcleo do WordPress com uma cópia limpa, baixada do site oficial.
- Remova plugins e temas não utilizados e reinstale os demais a partir de fontes confiáveis.
- Procure arquivos suspeitos na pasta wp-content/uploads, onde não deveria haver código executável.
- Revise o banco de dados em busca de scripts injetados em posts, widgets e opções.
- Exclua usuários desconhecidos e verifique o arquivo .htaccess.
Limpar não basta
Se você remover o código malicioso, mas não fechar a brecha que o deixou entrar, a reinfecção costuma ser questão de dias. Descubra o ponto de entrada antes de colocar o site no ar.
Etapa 3: reputação e retorno ao ar
Com tudo limpo, confira o site no Google Search Console. Se o Google marcou o domínio como inseguro, solicite uma nova análise. Isso costuma destravar o aviso nos navegadores.
Plugin, limpeza manual ou serviço profissional: qual escolher?
Para infecções simples, um bom plugin de segurança resolve. Quando há reinfecção, e-commerce envolvido ou dados de clientes em risco, o ideal é chamar um especialista.
| Opção | Indicada quando | Limitação |
|---|---|---|
| Plugin de segurança | Infecção leve e você tem backup recente |
