| Sintoma visível | Causa raiz provável | Ação de recuperação |
|---|---|---|
| Redirecionamento estranho | Injeção em .htaccess | Restaurar site pré-infecção |
| Aviso vermelho no Google | Pharma hack no banco | Limpar banco e restaurar |
| Admin desconhecido | Brute force | Trocar senhas e restaurar |
| Picos de CPU | Minerador injetado | Isolar e restaurar validado |
Legenda: o alerta de segurança no Search Console confirma que a invasão já afetou o índice, não só o servidor.
Se você ainda não sabe se foi invadido, o guia como saber se WordPress foi hackeado lista os 12 sinais que antecedem essa decisão. Confirmado o ataque, siga para o isolamento. --- ## Passo a passo: Como restaurar site WordPress após invasão Restaurar site exige uma ordem rígida: isolar, diagnosticar, restaurar do backup limpo, varrer, blindar e revalidar no Google. Pular qualquer etapa reabre a brecha. Em , com firewalls de aplicação mais acessíveis, a recuperação completa de um WordPress de porte médio leva de 2 a 4 horas quando o backup está validado. Os seis passos abaixo são H3 dentro deste procedimento único. ### Passo 1: Isole o site do ar imediatamente Tire o site do ar antes de mexer em qualquer arquivo. Ative o modo de manutenção ou aponte o domínio para uma página estática: isso impede que visitantes peguem malware e que o Google rastreie páginas infectadas durante o reparo. Bloqueie o acesso por IP no servidor e suspenda tarefas cron. Em sites WooCommerce, congele o checkout para não processar pedidos durante a janela de invasão. O guia colocar WordPress em modo manutenção cobre as três formas de fazer isso sem quebrar o SEO. Isolar primeiro evita que a limpeza compita com novas reinfecções em tempo real. ### Passo 2: Identifique o backup limpo pré-infecção Localize um backup anterior à data da invasão, não o mais recente. Compare as datas de modificação dos arquivos via SFTP com a data do primeiro sintoma: o backup válido é o último antes dessa marca. Plugins como UpdraftPlus e o BackWPup guardam histórico datado, o que facilita escolher o ponto certo. Se todos os backups recentes estiverem infectados, parta para a limpeza manual do Passo 4. O artigo como restaurar site hackeado usando backup detalha como auditar cada snapshot antes de confiar nele. Restaurar site de um ponto comprometido é o que faz a invasão voltar em horas. ### Passo 3: Restaure o site a partir do backup validado Com o ponto limpo escolhido, faça a restauração em ambiente isolado primeiro. Restaure arquivos e banco em um ambiente de staging antes de tocar a produção: isso permite testar o site recuperado sem reexpor o público. O UpdraftPlus restaura arquivos e banco em paralelo; o BackupBuddy empacota tudo num único arquivo. Valide login, páginas internas e checkout no staging. Só promova para produção depois que o site restaurado abrir sem redirecionamentos e sem PHP suspeito rodando em segundo plano. ### Passo 4: Varra e remova o malware residual Mesmo após restaurar site do backup, varra tudo: um backup de poucos dias pode já conter a backdoor inicial. Rode um scanner como Wordfence, Sucuri SiteCheck ou MalCare contra o site recuperado e cruze com a varredura manual de wp-content. Procure arquivos PHP recém-modificados em uploads, eval() ofuscado e includes estranhos no functions.php. O tutorial como remover malware do WordPress traz os comandos de terminal para caçar o que o scanner automático perde. Limpar o resíduo é o que diferencia restaurar site de só adiar a próxima queda. ### Passo 5: Blinde o WordPress contra reinfecção Feche as portas que permitiram a invasão antes de voltar ao ar. Troque todas as senhas (admin, FTP, banco, painel de hospedagem), regenere as security keys no wp-config e atualize núcleo, tema e todos os plugins. Instale um plugin de segurança com firewall, como o All in One Security ou o Wordfence, e ative autenticação de dois fatores. Como plugins respondem por 96% das vulnerabilidades segundo o Wordfence, remover qualquer plugin nulled ou abandonado é parte da blindagem. O guia como fazer hardening de segurança no WordPress cobre o endurecimento completo. ### Passo 6: Revalide o site no Google e remova a blacklist Depois de restaurar site e blindar, peça a revisão de segurança ao Google. Acesse o relatório de Problemas de Segurança no Search Console, confirme que a varredura está limpa e solicite a reavaliação: a remoção da blacklist costuma sair em até 72 horas. Reenvie o sitemap XML para acelerar o rerrastreio das páginas limpas. Monitore o tráfego orgânico nas semanas seguintes; uma recuperação bem feita devolve as posições sem perda permanente de indexação. --- ## Ferramentas para restaurar site: Backup e varredura Restaurar site depende de duas categorias de ferramenta: backup com histórico datado e scanner de malware confiável. A escolha define se você recupera em 2 horas ou passa o fim de semana caçando reinfecção. Abaixo, as quatro mais usadas no suporte da FULL, com a função real de cada uma no fluxo de recuperação. O **UpdraftPlus** lidera em volume de instalações e restaura arquivos e banco separadamente, útil quando só o banco está infectado. O **BackWPup** agenda backups para storage externo, o que protege o snapshot limpo de ser sobrescrito pelo atacante. Para varredura, o **Wordfence** combina firewall e scanner com a maior base de assinaturas de malware WordPress; o **Sucuri SiteCheck** faz a verificação externa gratuita, ideal para confirmar que o site restaurado saiu da blacklist. Cruzar um backup datado com dois scanners independentes é o padrão que reduz reinfecção. Para escolher entre opções gratuitas e pagas, o comparativo UpdraftPlus vs Jetpack Backup mostra o trade-off de cada stack. --- ## Onde a FULL entra na recuperação do seu WordPress Restaurar site uma vez é gerenciável; manter dezenas de sites blindados a longo prazo é onde o custo aparece. A FULL conecta mais de 150 mil sites WordPress e, no plano PRO a R$849,90, entrega o bundle com All in One Security, UpdraftPlus e WP-Optimize ativáveis em um clique para até 10 sites, o que dá cerca de R$85 por site. Comprar firewall, plugin de backup e otimizador avulsos custaria bem mais que isso, e ainda exigiria configurar cada um manualmente em cada site. A gente vê no suporte que site recuperado sem firewall e sem backup automático volta a cair em poucas semanas: ter as duas camadas já configuradas é o que mantém o site no ar depois da limpeza, em vez de repetir a recuperação a cada novo ataque. Conheça os planos da FULL e o bundle de segurança incluso para gerir os sites a partir de um painel único. --- ---Restaurar site WordPress leva de 2 a 4 horas quando existe um backup validado pré-infecção. O tempo sobe para um dia ou mais se o backup também estiver infectado e exigir limpeza manual de wp-content e do banco. A revisão de segurança do Google, separada, costuma liberar a blacklist em até 72 horas após o pedido no Search Console.
Sim, é possível restaurar site sem perder posts recentes, mas exige cuidado. Exporte os conteúdos legítimos criados após o backup limpo via XML, restaure o site do ponto pré-infecção e reimporte só o que você confirmou ser legítimo. Nunca reimporte o banco inteiro: ele pode carregar de volta os usuários fantasmas e o link injection da invasão.
O malware volta porque a backdoor já estava no backup ou porque a brecha original continua aberta. Restaurar site de um snapshot que já contém o arquivo PHP injetado reinstala a infecção. Boa parte das reinfecções vem de plugin nulled ou desatualizado: como o Wordfence aponta que plugins são 96% das vulnerabilidades, blindar é tão necessário quanto restaurar.
Sim, dá para recuperar um WordPress sem backup, só que por limpeza manual em vez de restauração. Você reinstala o núcleo limpo do WordPress.org, substitui tema e plugins por versões oficiais e limpa o banco de injeções linha a linha. É mais lento e arriscado que restaurar site de um backup, o que reforça manter backup automático diário depois da recuperação.
O reenvio do sitemap é necessário sempre que a invasão tiver gerado páginas de spam indexadas pelo Google. Depois de restaurar site e remover essas URLs, reenvie o sitemap XML no Search Console para acelerar o rerrastreio das páginas limpas e a remoção das infectadas do índice. Sem isso, as páginas de spam podem permanecer no Google por semanas.