Blacklist no WordPress quase sempre sinaliza malware ativo, não erro do Google. Segundo o Google Search Central (2026), o Safe Browsing protege mais de 5 bilhões de dispositivos contra páginas maliciosas. O risco real está em sair sem matar a reinfecção: 1 em cada 3 sites volta. Confirme a origem, limpe e peça revisão.

Ver o WordPress na blacklist do Google significa que o Safe Browsing classificou o seu domínio como perigoso e passou a exibir a tela vermelha de “site enganoso” no Chrome. Na prática da FULL, quase todo caso de blacklist nasce de malware injetado, não de uma punição arbitrária do buscador. O sintoma é assustador, mas a causa é técnica e tem ordem de correção. Este guia separa os tipos de blacklist, mostra como confirmar a infecção no guia de segurança WordPress da FULL e como remover o aviso em cinco passos. Você vai entender por que o site reincide e o que blinda o domínio depois da limpeza.

Diagnóstico rápido: Por que o WordPress caiu na blacklist

Na maioria dos tickets de blacklist que chegam ao suporte da FULL, a raiz é malware injetado por um plugin desatualizado, não uma penalidade manual do Google. A tabela abaixo cruza o sintoma visível com a causa técnica e a ação imediata.

O CVE-2020-35489 (CVSS 10.0) no Contact Form 7 permitia upload arbitrário de arquivos antes do patch 5.3.2, vetor clássico de injeção que dispara a blacklist.

Legenda: o aviso vermelho do Safe Browsing é o gatilho que derruba o tráfego orgânico em horas.

Os 4 tipos de blacklist que afetam o WordPress

Existem 4 listas distintas que rotulam um site como perigoso, e confundi-las atrasa a correção em dias. A blacklist do Google Safe Browsing é a mais visível: bloqueia a página no Chrome, Firefox e Safari de uma vez, já que esses navegadores consomem a mesma API de proteção.

As outras três listas operam em camadas diferentes e exigem remoção separada, cada uma com seu próprio canal de revisão.

• Google Safe Browsing: bloqueia o domínio no navegador e marca o resultado na busca. Revisão pelo Search Console.
• Blacklist de e-mail (Spamhaus, SURBL): afeta entrega de e-mail do servidor; comum quando o WordPress vira fonte de spam.
• Blacklists de scanners (Sucuri, McAfee SiteAdvisor): alertam visitantes via extensões e antivírus; cada vendor tem formulário próprio.
• Listas de hospedagem: o provedor suspende a conta até a limpeza, independente do Google.

A reincidência mais frustrante acontece quando você limpa o malware e sai da blacklist do Google, mas o servidor continua na Spamhaus porque o backdoor seguia disparando spam.

Como confirmar a blacklist no Google Search Console

Confirmar a blacklist leva menos de 3 minutos no Google Search Console, e esse passo evita limpar o site errado. Abra o relatório “Problemas de segurança”: se o Google marcou o domínio, ele lista o tipo de ameaça e as URLs de amostra afetadas.

Em paralelo, rode o Sucuri SiteCheck e o Wordfence para um segundo parecer externo, porque o Search Console às vezes atrasa horas para refletir a infecção no relatório.

A distinção que mais confunde: a blacklist do Safe Browsing é o bloqueio no navegador, enquanto o aviso de spam do Search Console é um sinal de qualidade da busca. São coisas diferentes, com correções diferentes. Se o relatório aponta “conteúdo hackeado”, você tem injeção de páginas; se aponta “malware”, há código executável malicioso no servidor. Anote as URLs de amostra, pois é por elas que a revisão começa. Para o passo a passo completo do alerta, veja como corrigir alertas de segurança no Google, que detalha cada estado do relatório.

Como sair da blacklist do Google em 5 passos

Sair da blacklist do Google exige limpar a infecção antes de pedir revisão, ou o Google remarca o domínio em horas. Em média, a revisão do Safe Browsing leva de 1 a 3 dias, desde que o site esteja limpo.

A sequência abaixo é a que a FULL aplica nos tickets de site hackeado e respeita a ordem que impede a reincidência. Pular o backup ou a auditoria de usuários é o erro que mais devolve o site para a blacklist.

Passo 1: Faça backup do estado infectado

Antes de tocar em qualquer arquivo, gere um backup completo do site mesmo infectado, com banco de dados e arquivos. Esse backup é prova forense: permite comparar versões e recuperar conteúdo legítimo que a limpeza possa apagar. Use o UpdraftPlus ou o snapshot da hospedagem e guarde fora do servidor.

Passo 2: Identifique e remova o malware

Rode um scanner como o Wordfence ou o Sucuri SiteCheck para mapear os arquivos infectados. Procure por código ofuscado em wp-config.php, index.php e na pasta de uploads. Remova as injeções e substitua os arquivos do core do WordPress por cópias limpas baixadas do repositório oficial. Para o procedimento detalhado, siga como remover malware do WordPress.

Passo 3: Audite usuários, plugins e senhas

Delete usuários administradores que você não reconhece, o gatilho silencioso da reincidência. Remova plugins nulos e desatualizados, troque todas as senhas (WordPress, FTP, banco e painel) e atualize o que sobrou para a versão de patch.

Passo 4: Peça a revisão no Search Console

Com o site limpo, abra o relatório de Problemas de segurança e clique em “Solicitar revisão”. Descreva o que foi corrigido. O Google reprocessa o domínio e remove a blacklist se nada malicioso for encontrado.

Passo 5: Ative o firewall e monitore

Ative um firewall (WAF) e monitoramento contínuo para impedir a reinfecção. Sem essa camada, o mesmo vetor que causou a blacklist segue aberto. Entenda o ciclo em por que o malware volta mesmo após ser removido.

Por que o WordPress volta para a blacklist depois de limpo

Cerca de 1 em cada 3 sites reincide na blacklist em até 30 dias quando a limpeza não fecha o vetor de entrada. A causa quase nunca é o arquivo que você removeu, e sim o que ficou para trás: um backdoor em uploads ou um usuário administrador fantasma.

Remover o malware visível sem deletar esse usuário fantasma faz o Google remarcar o domínio em poucos dias, porque a porta de entrada continua aberta.

Plugins desatualizados são o vetor recorrente. O CVE-2023-48777 (CVSS 9.9) no Elementor permitia upload arbitrário de arquivos antes do patch 3.18.2, exatamente o tipo de falha que reinjeta malware num site recém-limpo. Vale a distinção honesta: o histórico de 61 CVEs do Elementor, segundo o perfil público do WPVulnerability, em sua maioria já corrigido, é sinal de auditoria ativa, não de plugin inseguro. O risco atual mora sempre na versão sem patch rodando hoje, não no total histórico.

Proteja o WordPress com segurança gerenciada da FULL

Sair da blacklist é metade do trabalho; impedir a reincidência é a outra. O plano PRO da FULL (R$849,90) inclui scanner de malware, firewall e os 17 plugins premium de segurança e performance no mesmo bundle, o que dá cerca de R$85 por site quando você gerencia 10 domínios. Na prática que a gente vê no suporte, o que devolve o site para a blacklist é justamente a falta dessa camada de monitoramento contínuo entre uma limpeza e a próxima. Conheça os planos da FULL e rode agora um diagnóstico gratuito no FULL Scan. Como única CVE Numbering Authority (CNA) brasileira reconhecida pela CISA desde maio de 2022, a FULL cataloga vulnerabilidades oficiais, então quem escreve sobre malware aqui literalmente atribui CVE.

Perguntas frequentes sobre blacklist no WordPress

Próximos passos para blindar seu domínio

Tirar o WordPress da blacklist do Google é um processo de causa e efeito: confirme a infecção no Search Console, faça backup, limpe na ordem certa, peça revisão e só então ative a camada de monitoramento que impede a reincidência. O erro que custa caro é pedir revisão antes de fechar o vetor de entrada. Para aprofundar em prevenção, o guia como corrigir o pharma hack no WordPress cobre o redirecionamento de spam que mais derruba domínios. Continue estudando segurança no guia de segurança para WordPress da FULL Academy e consulte o repositório de vulnerabilidades da FULL para acompanhar os CVEs ativos do seu stack.