Saber o que fazer após invasão no WordPress é o conjunto de ações que expulsa o invasor, remove o código malicioso e fecha a porta de entrada original, na ordem certa. Não basta deletar um arquivo estranho ou restaurar um backup antigo: você pode limpar todo o malware visível e ainda deixar um backdoor, um usuário fantasma ou uma sessão ativa que devolvem o acesso ao atacante na semana seguinte. A diferença entre um site que se recupera de vez e um que é reinvadido em ciclo está na sequência das ações. Este guia mostra os 7 passos técnicos para responder a uma invasão sem perder o conteúdo, parte dos guias de segurança WordPress da FULL.

Diagnóstico rápido: O que fazer após invasão no WordPress primeiro

Antes de qualquer comando, entenda que o que fazer após invasão no WordPress tem uma ordem inegociável: isolar em até 1 hora, conter o acesso, limpar e só depois restaurar. A tabela abaixo resume as 5 frentes de resposta, o objetivo direto de cada uma e o check que confirma a etapa concluída.

O erro mais comum que a gente vê no suporte da FULL é inverter essa sequência: gente que restaura um backup primeiro, sem fechar a brecha, e vê o site reinfectar em poucas horas. Por isso o diagnóstico vem antes de tudo, para você agir na ordem que de fato resolve.

Cada frente do que fazer após invasão no WordPress depende da anterior. Se você ainda não tem certeza do comprometimento, o passo zero é confirmar: veja os sinais em como saber se o WordPress foi hackeado antes de seguir. Pular a confirmação faz você limpar um site que talvez só esteja com erro de plugin.

Passo a passo: O que fazer após invasão no WordPress

Saber o que fazer após invasão no WordPress de forma completa leva de 2 a 5 horas em um site comum e segue 7 passos encadeados. A regra de ouro: você só restaura o acesso público depois que o invasor perdeu todo acesso residual e a brecha original foi fechada com o núcleo limpo.

Cada passo abaixo é um H3 e deve ser feito na ordem, porque restaurar antes de limpar, por exemplo, reintroduz o backdoor. Pular etapas é exatamente o que transforma uma invasão pontual em uma reinfecção cíclica, semana após semana.

Passo 1: Isole o site e ative a manutenção

O primeiro item do que fazer após invasão no WordPress é isolar, que leva cerca de 10 minutos e corta o sangramento: coloque o site em modo de manutenção e restrinja o /wp-admin/ ao seu IP antes de tudo. Um site comprometido no ar entra em blacklist do Google em menos de 24 horas, espalhando spam ou phishing em nome do seu domínio e derrubando o tráfego.

Bloqueie o acesso ao /wp-admin/ e ao /wp-login.php por IP no arquivo .htaccess ou no painel da hospedagem, e suba uma página de manutenção. Se for um e-commerce, avise os clientes que o atendimento está pausado. O isolamento não corrige nada sozinho, mas dá a você um ambiente estável para trabalhar sem que o invasor reaja às suas ações em tempo real.

Passo 2: Troque todas as senhas e credenciais

No que fazer após invasão no WordPress, trocar senhas é o passo que mais gente faz pela metade: 1 senha nova de admin não basta se o FTP, o banco de dados e o painel da hospedagem seguem com a credencial antiga. O invasor que entrou uma vez quase sempre tem mais de um caminho de volta ao site.

Redefina, na ordem: senha do administrador no WordPress, senha do banco de dados (atualizando o wp-config.php), credenciais de FTP e SFTP, senha do painel da hospedagem e do e-mail associado. Use senhas longas e únicas; o padrão recomendado está em como aplicar senhas fortes no WordPress. Senha reaproveitada entre serviços é a porta que mantém o atacante dentro mesmo depois da troca aparente.

Passo 3: Rotacione os salts e revogue as sessões

Rotacionar os salts é o passo invisível que expulsa o invasor: trocar a senha não derruba um cookie de autenticação já roubado, mas mudar as 8 chaves de segurança do wp-config.php invalida toda sessão aberta na hora, inclusive a do atacante. Sem isso, ele segue editando o site com a senha nova.

Gere novas chaves no gerador oficial do WordPress e cole no lugar das antigas em wp-config.php. Isso força todos os usuários a logar de novo. Em sites com object cache persistente, limpe o cache logo depois, porque os salts antigos podem ficar em memória por alguns minutos antes da revogação valer de fato no servidor.

Passo 4: Audite os usuários e remova admins fantasmas

Auditar usuários é uma etapa central do que fazer após invasão no WordPress e revela a marca registrada do ataque: em boa parte dos casos que chegam ao suporte da FULL, o invasor cria 1 ou 2 administradores extras com nomes discretos para garantir reentrada. Vá em Usuários no painel e confira a lista de administradores contra a sua equipe real, conta por conta.

Apague qualquer conta que você não reconhece, rebaixe usuários com permissão acima do necessário e revise o e-mail de administrador em Configurações, porque alterá-lo é uma forma silenciosa de sequestrar a recuperação de senha. Conferir a tabela wp_users direto pelo phpMyAdmin ajuda quando o invasor esconde a conta da interface com um plugin malicioso.

Passo 5: Limpe o malware dos arquivos e do banco

No roteiro do que fazer após invasão no WordPress, limpar o malware é o passo mais técnico: rode um scan com o Wordfence ou o All in One Security e cruze com o Sucuri SiteCheck para listar arquivos modificados, código injetado e links ocultos. Foque no diretório wp-content, onde 9 em cada 10 infecções deixam o payload escondido em uploads ou plugins.

Substitua o núcleo do WordPress 6.x, todos os plugins e o tema por cópias limpas baixadas das fontes oficiais, nunca de sites de plugin nulled. O malware costuma se espalhar pelo banco em wp_options e wp_posts, então cheque também essas tabelas. A limpeza profunda está detalhada em como limpar e recuperar um site hackeado, que complementa este passo.

Passo 6: Feche a brecha de entrada original

A etapa decisiva do que fazer após invasão no WordPress é fechar a brecha, e é ela que impede a reinfecção: identifique como o invasor entrou, porque limpar sem fechar a porta original devolve o acesso em horas. Na maioria dos casos, a brecha é um plugin desatualizado, um tema nulled ou uma senha fraca exposta a força bruta.

Atualize ou remova o plugin vulnerável, troque temas e plugins piratas por versões oficiais e cheque vulnerabilidades conhecidas antes de reabrir. O passo completo de varredura está em verificar vulnerabilidades no WordPress após invasão. Reinstalar da mesma fonte pirata que causou a brecha é o erro que reintroduz o backdoor e reinicia o ciclo do zero.

Passo 7: Restaure o acesso e reforce a defesa

No que fazer após invasão no WordPress, restaurar é o último passo, não o primeiro: só reabra o login público depois de limpar e fechar a brecha, e ative camadas extras de defesa antes de sair da manutenção. Ative a autenticação de dois fatores, que barra mais de 99% das tentativas automatizadas contra o wp-admin mesmo com senha vazada.

Configure o 2FA por função em todos os admins, limite as tentativas de login para bloquear o IP após 5 erros e adicione um firewall de aplicação. O passo a passo está em configurar autenticação de dois fatores no WordPress. Se você restaurou de backup, use uma cópia anterior à invasão e rode um scan nela antes de publicar, para não reintroduzir o malware pelo próprio backup.

Como restaurar o conteúdo sem reintroduzir o malware

Parte do que fazer após invasão no WordPress é restaurar com segurança, e isso exige escolher o backup certo: use uma cópia datada de antes da invasão e sempre rode um scan nela antes de publicar, porque um backup infectado reinstala o malware com 1 clique. Backups automáticos do UpdraftPlus guardam várias versões, o que permite voltar a um ponto limpo sem perder os posts recentes.

Se o único backup disponível for posterior ao ataque, não descarte: extraia dele só a pasta wp-content/uploads e o conteúdo do banco depois de limpos, e reconstrua o resto a partir das fontes oficiais. O passo a passo de recuperação a partir de cópia está em como restaurar o WordPress a partir do backup. Restaurar é a frente onde mais gente reinfecta o site, então trate o backup como suspeito até o scan provar o contrário.

Garanta seu site sem rodar plugin pirata

A parte final do que fazer após invasão no WordPress é prevenir, e manter a defesa contínua sai mais barato que reagir a uma segunda invasão: a licença anual de um plugin de segurança premium costuma passar de US$99 por site quando comprada avulsa. A gente vê no suporte da FULL que sites invadidos quase sempre rodavam versão pirata para poupar essa licença, e a economia de fachada é justamente o que abre a porta para o ataque.

No plano PRO da FULL, por R$849, você ativa em 1 clique o pacote com All in One Security, UpdraftPlus e mais 15 plugins premium em até 10 sites, o que dá cerca de R$85 por site. Para comparar o que cada plano inclui, veja os planos da FULL. O ponto não é gastar mais, é parar de pagar o preço escondido de rodar segurança pirata em um site que processa dados de clientes.

Perguntas frequentes sobre o que fazer após invasão no WordPress

Próximos passos para manter o WordPress blindado

O que fazer após invasão no WordPress não termina quando o site volta ao ar: a invasão é o sinal de que a rotina de segurança precisa virar permanente. Depois de concluir os 7 passos, agende um scan semanal, mantenha plugins e núcleo sempre atualizados e revise os administradores a cada mês.

Saber o que fazer após invasão no WordPress inclui prevenir a próxima: configure um backup automático fora do servidor para que um novo ataque seja apenas um susto, não uma perda de dados. Para transformar cada camada de defesa em hábito, o guia de segurança para WordPress reúne os tutoriais na sequência certa. O site protegido é o resultado de um processo contínuo, e quem trata segurança como rotina raramente passa por uma reinvasão.

Legenda: o scan limpo após fechar a brecha confirma que a invasão foi contida, não apenas escondida.