Meu site foi invadido?

Acha que o seu site foi invadido? Comece por aqui.

Rode uma análise gratuita das fraquezas que os atacantes usam para entrar e depois passe pelos sinais e passos abaixo. Calma: a maioria dos sites pequenos invadidos pode ser limpa e reforçada em um dia.

Análise passiva. Nada é atacado sem a sua permissão.

Sinais comuns

  • Visitantes, muitas vezes só no celular ou vindos do Google, são redirecionados para sites de spam ou golpes.
  • Um CAPTCHA falso de “confirme que você é humano” pede que os visitantes colem um comando (um ataque “ClickFix”).
  • O Google mostra “Este site pode ter sido invadido” ou o Chrome mostra um aviso vermelho.
  • Aparecem páginas que você nunca escreveu ao pesquisar site:yourdomain.com, muitas vezes em outros idiomas.
  • Novos usuários administradores, plugins desconhecidos ou arquivos PHP dentro de wp-content/uploads.
  • Sua hospedagem suspende a conta ou seus e-mails começam a voltar como spam.

Veja o que o Google vê

O que a nossa análise encontra

A análise gratuita mostra as portas abertas: software desatualizado, plugins com vulnerabilidades conhecidas, proteções ausentes. Depois que você comprova a propriedade, a análise profunda procura código injetado (páginas de CAPTCHA falso / ClickFix, scripts carregados de blockchains, scripts de checkout desconhecidos) e arquivos expostos.

Se foi invadido: primeiros passos

  1. Faça um backup completo (arquivos e banco de dados) antes de mudar qualquer coisa, para guardar as evidências.
  2. Troque todas as senhas: hospedagem, FTP/SFTP, banco de dados, administradores do WordPress, e-mail.
  3. Siga o guia de limpeza do WordPress ou peça à sua hospedagem uma limpeza de malware.
  4. Feche a porta de entrada: atualize tudo e remova plugins e temas que você não usa.
  5. Peça uma revisão no Search Console quando estiver limpo.

Perguntas frequentes

Uma análise online gratuita consegue dizer se o meu site foi invadido?

Ela consegue mostrar sinais de alerta e as fraquezas que levam a invasões. Nenhum scanner remoto vê todos os arquivos do seu servidor; por isso combinamos a análise com as verificações manuais desta página.

Por que só alguns visitantes veem o redirecionamento?

O malware costuma se esconder de administradores logados e aparecer só para visitantes no celular ou vindos de buscadores, para não ser notado.

Um CAPTCHA falso no meu site é perigoso?

Sim. Esses avisos de “cole este comando” enganam os visitantes para que rodem malware no próprio computador. Tire o site do ar ou coloque-o em modo de manutenção e limpe-o imediatamente.

Guias com correções para copiar e colar

Guia

WordPress invadido?

Os sinais de um WordPress invadido, como confirmar com as somas de verificação do WP-CLI e uma lista de limpeza: usuários, arquivos, chaves, atualizações e uma revisão do Google.

Guia

Reforço do WordPress

Um checklist prático de reforço do WordPress com trechos para copiar e colar: bloquear o XML-RPC, esconder nomes de usuário, desativar o editor de arquivos, proteger o wp-config.php e impedir PHP em uploads.

Guia

.git, .env e backups expostos

Arquivos .env, pastas .git e backups de banco de dados vazados entregam suas senhas aos atacantes. Verifique se os seus estão públicos, bloqueie no nginx ou no Apache e troque os segredos.

Guia

Plugins do WordPress desatualizados

Encontre plugins e temas do WordPress desatualizados e vulneráveis: a tela de atualizações, comandos do WP-CLI, bancos públicos de vulnerabilidades, plugins fechados e atualizações automáticas seguras.

Mais testes gratuitos

Grátis · Na hora · Sem cadastro

Descubra sua nota antes que outra pessoa descubra.

Análise passiva. Nada é atacado sem a sua permissão.

Comece grátis. Planos pagos a partir de US$ 12 por mês, ou um relatório avulso por US$ 29. Ver preços