Redirecionamento malicioso no WordPress: como remover

Tipo Seguranca

Nome do erro Redirecionamento malicioso EN: Malicious redirect

Severidade Crítico

Descrição O redirecionamento malicioso no WordPress acontece quando um invasor injeta código que envia os visitantes para sites de spam, golpes ou malware. Ele costuma vir de um plugin/tema vulnerável ou nulled, e se esconde em arquivos PHP, no .htaccess, no banco de dados ou em JavaScript carregado de fora.

O que é o redirecionamento malicioso no WordPress?

O redirecionamento malicioso no WordPress é um tipo de infecção em que código injetado força o navegador do visitante a sair do seu site e abrir outro endereço, normalmente de spam, phishing ou download de malware. O código pode estar em arquivos PHP do tema, no .htaccess, na tabela wp_options (campos siteurl/home), em wp_posts ou em um script externo. Muitas variantes só redirecionam em condições específicas (apenas no celular, apenas quando o visitante vem do Google) para escapar de quem testa direto no desktop.

Como identificar

Ao abrir o site, o navegador pula para outro endereço suspeito (“redireciona para outro site”).
O redirecionamento só acontece no celular, ou só quando o acesso vem de um resultado do Google.
Aparecem domínios estranhos no campo “Endereço do WordPress (URL)” em Configurações > Geral.
O console do navegador mostra um <script> carregando de um domínio desconhecido injetado no <head>.

Antes de começar: Trabalhe sempre sobre backup e nunca apague arquivos suspeitos sem antes salvar uma cópia para análise. Use uma janela anônima e teste pelo celular ao validar, porque muitos redirects só disparam em condições específicas para enganar quem revisa no desktop.

Como prevenir

Mantenha WordPress, plugins e temas atualizados e remova o que não usa
Nunca use plugin ou tema nulled (pirata), principal porta de entrada de redirects
Use um firewall/WAF e backup automático externo para detectar e reverter a infecção rápido

Causa

Plugin ou tema desatualizado com vulnerabilidade conhecida explorada para injetar o redirect.
Plugin/tema nulled (pirata) que já vem com o código de redirecionamento embutido.
Regra de redirecionamento injetada no .htaccess (RewriteRule apontando para domínio externo).
Campos siteurl e home alterados na tabela wp_options para o domínio do invasor.
JavaScript malicioso injetado no header do tema ou em wp_posts, carregado de um domínio externo.

Como resolver

Faça backup do estado infectado: salve arquivos e banco antes de mexer, mesmo infectados, para análise e para não perder a evidência de por onde entrou.
Cheque siteurl e home no banco: no phpMyAdmin, abra a tabela wp_options e confira as linhas siteurl e home. Se apontarem para um domínio que não é o seu, corrija para a URL correta do site.
Inspecione o .htaccess: via FTP, abra o .htaccess da raiz e procure por RewriteRule ou RewriteCond apontando para domínios externos. Remova qualquer regra que você não reconheça e regenere o .htaccess padrão.
Cace PHP e JS injetados: procure código recém-modificado e funções ofuscadas típicas de redirect em arquivos e no header do tema:
```
find . -name '*.php' -mtime -15 -ls
grep -rEl "base64_decode|eval(|wp_redirect(.+http" wp-content/
```
Troque credenciais e feche a porta: troque senhas de admin, FTP e banco, regenere as SALT keys do wp-config.php, atualize WordPress/plugins/temas e remova qualquer plugin nulled para o redirect não voltar.

BASH

# Procura padroes classicos de redirect malicioso em arquivos PHP e no header do tema
grep -rn "base64_decode" wp-content/ | head -n 50
grep -rEn "wp_redirects*(s*['"]https?://" wp-content/themes/
grep -rn "document.location" wp-content/themes/ wp-content/uploads/

# Confere o .htaccess por regras de rewrite para dominios externos
grep -nE "RewriteRule|RewriteCond" .htaccess

Perguntas frequentes

O redirecionamento só acontece no celular. É hack mesmo?

Sim, é um padrão clássico. O código injetado checa o user-agent e só redireciona em dispositivos móveis para passar despercebido por quem administra o site pelo desktop. Teste sempre pelo celular ao validar a limpeza.

Mudei siteurl e home e o redirect voltou. Por quê?

Porque a porta de entrada continua aberta. Se você corrige o sintoma no banco mas não atualiza o plugin vulnerável nem troca as senhas, o invasor reinjeta o redirect. É preciso limpar arquivos, banco E fechar a falha.

Onde o código de redirecionamento costuma se esconder?

Nos campos siteurl/home da wp_options, em RewriteRule no .htaccess, no header.php ou functions.php do tema, em scripts ofuscados com base64_decode e, às vezes, em wp_posts. Verifique todos esses pontos, não apenas um.

Um plugin de segurança remove o redirecionamento sozinho?

Ajuda a detectar e limpar parte do código, mas raramente fecha a vulnerabilidade que permitiu a injeção. Sem atualizar o plugin culpado e trocar credenciais, o site reinfecta mesmo após a varredura.

Preciso trocar as security keys do wp-config.php?

Sim. Regenerar as SALT keys invalida todos os cookies de sessão ativos, derrubando qualquer sessão que o invasor tenha deixado aberta no painel. É um passo essencial para ele não voltar a injetar código.

Como descubro por onde o invasor injetou o redirect?

Cruze a data dos arquivos modificados (find -mtime) com os logs de acesso do servidor. Quase sempre o rastro leva a um plugin/tema desatualizado, a um arquivo nulled ou a um login quebrado por força bruta.

Atenção

Como corrigir o spam em formulários do WPForms com reCAPTCHA

Quando o spam passa no reCAPTCHA do WPForms, em geral é o reCAPTCHA v3 apenas dando uma nota sem barrar nada, o Score Threshold permissivo demais, ou o reCAPTCHA atuando como camada única. A correção é apertar o threshold e somar Modern Anti-Spam, Akismet e os filtros de palavra e país do próprio WPForms.

Grave

Como corrigir o bloqueio de login que não funciona no All in One Security

O AIOS não bloqueia login quando o recurso Login Lockdown do All in One Security esta desativado, com limite de tentativas alto demais, ou quando os ataques chegam por um formulário de login customizado que não passa pelo wp-login.php. Nesses casos o plugin registra as falhas mas nunca tranca o IP atacante.

Grave

Como corrigir o conflito do widget de login entre All in One Security e Elementor

O widget de login do Elementor para de autenticar quando o All in One Security renomeia a página de login com um secret word ou adiciona CAPTCHA ao formulário nativo. O POST do widget chega ao wp-login.php sem o cookie ou o token que o AIOS exige e e bloqueado ou redirecionado.

Crítico

Como corrigir vulnerabilidade SQL Injection no WordPress

Uma vulnerabilidade de SQL Injection no WordPress permite que um invasor injete comandos SQL através de uma entrada mal tratada e leia ou altere o banco de dados. Corrigir significa achar a consulta vulnerável, usar consultas preparadas com $wpdb->prepare() e atualizar o plugin ou tema que abriu a falha.

Crítico

Como limpar o Japanese Keyword Hack no WordPress

O Japanese Keyword Hack e uma infecao de SEO spam que cria milhares de páginas em japones no seu site WordPress e as injeta nos resultados do Google. Elas vendem produtos falsificados e usam a autoridade do seu domínio para ranquear.

Crítico

Como corrigir This site ahead contains harmful programs no WordPress

O aviso harmful programs no WordPress ("This site ahead contains harmful programs") é a tela vermelha que o Chrome mostra quando a Navegação Segura do Google detecta malware no seu site. Ele afasta os visitantes e só some após limpar a infecção e pedir reanálise no Search Console.

Setores

Extensões

Integrações

Como corrigir redirecionamento malicioso no WordPress

O que é o redirecionamento malicioso no WordPress?

Como identificar

Como prevenir

Causa

Como resolver

Perguntas frequentes

Itens relacionados

Como corrigir o spam em formulários do WPForms com reCAPTCHA

Como corrigir o bloqueio de login que não funciona no All in One Security

Como corrigir o conflito do widget de login entre All in One Security e Elementor

Como corrigir vulnerabilidade SQL Injection no WordPress

Como limpar o Japanese Keyword Hack no WordPress

Como corrigir This site ahead contains harmful programs no WordPress

Setores

Extensões

Integrações

Extensões

Hero Sections

Seções de CTA

Login

Blog

Cabeçalhos

Seções de FAQ

Cadastro

Blog individual

Rodapés

Seções de contato

Seções de preços

Faixas

Portfólio

Seções de equipe

Números

Logotipos