Restaurar site WordPress após invasão começa por isolar o ambiente, achar o backup limpo e só então recolocar no ar. Segundo o Wordfence Intelligence (2024), plugins respondem por 96% das vulnerabilidades. Pular a varredura reinfecta o site em horas. Recupere com método, não com pressa.

Restaurar site invadido não é apertar um botão de backup. A invasão deixa portas abertas: usuários fantasmas, arquivos PHP injetados e tarefas agendadas que reinstalam o malware. Restaurar site sem fechar essas portas devolve o WordPress no ar por algumas horas e ele cai de novo. Este guia técnico mostra como restaurar site WordPress após invasão em 6 passos, do isolamento à blindagem final, com as ferramentas que a gente usa no suporte da FULL. O objetivo é recuperar o site limpo e mantê-lo limpo. Para o panorama completo de proteção, veja a central de gestão de sites WordPress da FULL.

Diagnóstico rápido: O que checar antes de restaurar site

Antes de restaurar site, gaste 15 minutos confirmando o tipo de invasão. Restaurar site a partir do backup errado é o erro número um: em boa parte dos chamados de site hackeado que chegam no suporte da FULL, o backup mais recente já estava infectado, com a backdoor ativa desde dias antes.

A tabela cruza o sintoma visível com a causa provável e a ação de recuperação correta, para você não restaurar um estado já comprometido. Cada linha aponta o arquivo ou a camada onde a invasão costuma se esconder, do .htaccess ao banco de dados, antes de qualquer restauração.

Legenda: o alerta de segurança no Search Console confirma que a invasão já afetou o índice, não só o servidor.

Se você ainda não sabe se foi invadido, o guia como saber se WordPress foi hackeado lista os 12 sinais que antecedem essa decisão. Confirmado o ataque, siga para o isolamento.

Passo a passo: Como restaurar site WordPress após invasão

Restaurar site exige uma ordem rígida: isolar, diagnosticar, restaurar do backup limpo, varrer, blindar e revalidar no Google. Pular qualquer etapa reabre a brecha. Em 2026, com firewalls de aplicação mais acessíveis, a recuperação completa de um WordPress de porte médio leva de 2 a 4 horas quando o backup está validado. Os seis passos abaixo são H3 dentro deste procedimento único.

Passo 1: Isole o site do ar imediatamente

Tire o site do ar antes de mexer em qualquer arquivo. Ative o modo de manutenção ou aponte o domínio para uma página estática: isso impede que visitantes peguem malware e que o Google rastreie páginas infectadas durante o reparo. Bloqueie o acesso por IP no servidor e suspenda tarefas cron. Em sites WooCommerce, congele o checkout para não processar pedidos durante a janela de invasão. O guia colocar WordPress em modo manutenção cobre as três formas de fazer isso sem quebrar o SEO. Isolar primeiro evita que a limpeza compita com novas reinfecções em tempo real.

Passo 2: Identifique o backup limpo pré-infecção

Localize um backup anterior à data da invasão, não o mais recente. Compare as datas de modificação dos arquivos via SFTP com a data do primeiro sintoma: o backup válido é o último antes dessa marca. Plugins como UpdraftPlus e o BackWPup guardam histórico datado, o que facilita escolher o ponto certo. Se todos os backups recentes estiverem infectados, parta para a limpeza manual do Passo 4. O artigo como restaurar site hackeado usando backup detalha como auditar cada snapshot antes de confiar nele. Restaurar site de um ponto comprometido é o que faz a invasão voltar em horas.

Passo 3: Restaure o site a partir do backup validado

Com o ponto limpo escolhido, faça a restauração em ambiente isolado primeiro. Restaure arquivos e banco em um ambiente de staging antes de tocar a produção: isso permite testar o site recuperado sem reexpor o público. O UpdraftPlus restaura arquivos e banco em paralelo; o BackupBuddy empacota tudo num único arquivo. Valide login, páginas internas e checkout no staging. Só promova para produção depois que o site restaurado abrir sem redirecionamentos e sem PHP suspeito rodando em segundo plano.

Passo 4: Varra e remova o malware residual

Mesmo após restaurar site do backup, varra tudo: um backup de poucos dias pode já conter a backdoor inicial. Rode um scanner como Wordfence, Sucuri SiteCheck ou MalCare contra o site recuperado e cruze com a varredura manual de wp-content. Procure arquivos PHP recém-modificados em uploads, eval() ofuscado e includes estranhos no functions.php. O tutorial como remover malware do WordPress traz os comandos de terminal para caçar o que o scanner automático perde. Limpar o resíduo é o que diferencia restaurar site de só adiar a próxima queda.

Passo 5: Blinde o WordPress contra reinfecção

Feche as portas que permitiram a invasão antes de voltar ao ar. Troque todas as senhas (admin, FTP, banco, painel de hospedagem), regenere as security keys no wp-config e atualize núcleo, tema e todos os plugins. Instale um plugin de segurança com firewall, como o All in One Security ou o Wordfence, e ative autenticação de dois fatores. Como plugins respondem por 96% das vulnerabilidades segundo o Wordfence, remover qualquer plugin nulled ou abandonado é parte da blindagem. O guia como fazer hardening de segurança no WordPress cobre o endurecimento completo.

Passo 6: Revalide o site no Google e remova a blacklist

Depois de restaurar site e blindar, peça a revisão de segurança ao Google. Acesse o relatório de Problemas de Segurança no Search Console, confirme que a varredura está limpa e solicite a reavaliação: a remoção da blacklist costuma sair em até 72 horas. Reenvie o sitemap XML para acelerar o rerrastreio das páginas limpas. Monitore o tráfego orgânico nas semanas seguintes; uma recuperação bem feita devolve as posições sem perda permanente de indexação.

Ferramentas para restaurar site: Backup e varredura

Restaurar site depende de duas categorias de ferramenta: backup com histórico datado e scanner de malware confiável. A escolha define se você recupera em 2 horas ou passa o fim de semana caçando reinfecção. Abaixo, as quatro mais usadas no suporte da FULL, com a função real de cada uma no fluxo de recuperação.

O UpdraftPlus lidera em volume de instalações e restaura arquivos e banco separadamente, útil quando só o banco está infectado. O BackWPup agenda backups para storage externo, o que protege o snapshot limpo de ser sobrescrito pelo atacante. Para varredura, o Wordfence combina firewall e scanner com a maior base de assinaturas de malware WordPress; o Sucuri SiteCheck faz a verificação externa gratuita, ideal para confirmar que o site restaurado saiu da blacklist. Cruzar um backup datado com dois scanners independentes é o padrão que reduz reinfecção. Para escolher entre opções gratuitas e pagas, o comparativo UpdraftPlus vs Jetpack Backup mostra o trade-off de cada stack.

Onde a FULL entra na recuperação do seu WordPress

Restaurar site uma vez é gerenciável; manter dezenas de sites blindados a longo prazo é onde o custo aparece. A FULL conecta mais de 150 mil sites WordPress e, no plano PRO a R$849,90, entrega o bundle com All in One Security, UpdraftPlus e WP-Optimize ativáveis em um clique para até 10 sites, o que dá cerca de R$85 por site. Comprar firewall, plugin de backup e otimizador avulsos custaria bem mais que isso, e ainda exigiria configurar cada um manualmente em cada site. A gente vê no suporte que site recuperado sem firewall e sem backup automático volta a cair em poucas semanas: ter as duas camadas já configuradas é o que mantém o site no ar depois da limpeza, em vez de repetir a recuperação a cada novo ataque. Conheça os planos da FULL e o bundle de segurança incluso para gerir os sites a partir de um painel único.

Perguntas frequentes sobre restaurar site após invasão

Próximos passos para manter o site recuperado seguro

Restaurar site WordPress após invasão termina não quando o site volta ao ar, mas quando backup automático e firewall estão rodando juntos. A recuperação em seis passos (isolar, identificar o backup limpo, restaurar em staging, varrer, blindar e revalidar no Google) devolve o site sem reinfecção quando nenhuma etapa é pulada. O erro recorrente é restaurar site às pressas do backup mais recente sem confirmar que ele é anterior ao ataque. Para aprofundar a prevenção, o FULL Academy reúne os tutoriais de backup, hardening e gestão de sites em um só lugar. Mantenha o site varrido e versionado: recuperar é caro, prevenir é R$85 por site.