🚫 Site WordPress pirateado e desativado: plano de recuperação passo a passo

O seu alojador bloqueou o seu site por envio de spam e o painel de administração não abre. Um pânico familiar para qualquer pessoa que administre WordPress há mais de um ano. Aqui está um plano passo a passo: desde negociar com o suporte técnico até à limpeza manual num servidor local.

A situação é complicada pelo facto de o site estar fisicamente desligado da rede. Não pode iniciar sessão no painel do WordPress, executar um scanner conhecido como o Wordfence e clicar em «limpar». Por isso, a sequência aqui é invertida: primeiro recuperamos o acesso, depois lidamos com a infeção.

💡 Visão geral rápida:

• Contacte o seu alojador: peça-lhes para abrir o site protegido por uma palavra-passe HTTP e desativar o envio de email, o que lhe dá acesso para diagnóstico sem o risco de disparos repetidos de spam.
• Se o alojador se recusar a reativar o site, monte uma cópia localmente usando o XAMPP ou uma stack semelhante, analise-a com plugins de segurança e substitua os ficheiros infetados por versões limpas.
• Após a limpeza, altere TODAS as palavras-passe: FTP, base de dados, painel de alojamento, contas de administrador do WordPress. Atualize o core, os temas e os plugins para as versões mais recentes.
• Configure proteção básica: uma firewall, limitação de tentativas de login, autenticação de dois fatores. Verifique o seu próprio computador em busca de vírus, uma fonte comum de fugas de palavras-passe.

Por que razão os alojadores desativam sites pirateados

Parece duro: é um cliente, paga pelo alojamento e eles simplesmente desligaram o seu site. Mas a lógica do alojador é simples e, se pensar bem, razoável.

Um site WordPress pirateado faz duas coisas perigosas. Primeiro, envia spam através do servidor de correio do fornecedor de alojamento. Milhares de emails são enviados para endereços aleatórios e o IP de correio é colocado em listas negras. Depois disso, TODOS os clientes nesse servidor deixam de conseguir entregar emails e o alojador recebe uma enxurrada de tickets de utilizadores inocentes.

Segundo, o site transforma-se num distribuidor de código malicioso. Os visitantes recebem cavalos de Troia, formulários de phishing ou scripts de mineração ocultos. O Google deteta isto em poucas horas e aplica um aviso de «Este site pode danificar o seu computador». Depois disso, o tráfego cai para zero e tirar o site das listas negras dos motores de busca é toda uma outra saga.

O alojador desativa um site infetado não para o punir. Está a proteger a sua infraestrutura e o resto dos seus clientes. Pode negociar com eles e esse é o primeiro passo.

Passo 1: negociar com o alojador

Logo após receber a notificação de bloqueio, escreva ao suporte técnico e proponha um compromisso. Não exija «reative e pronto». Ofereça um plano concreto:

• Ativar o site protegido por uma palavra-passe HTTP. Esta é uma funcionalidade padrão do Apache/Nginx; ao visitar o site, o navegador pede um nome de utilizador e palavra-passe. Os visitantes e motores de busca não veem o site, mas você vê e pode trabalhar com o painel de administração.
• Desativar a função de correio do alojamento. Se o spam foi enviado via PHP mail(), o alojador pode bloquear temporariamente o envio para a sua conta. O risco de envios repetidos desaparece e o alojador fica mais descansado.

Na maioria dos casos, o suporte técnico coopera. É mais rentável para o alojador que limpe o site e continue cliente do que perder um cliente e ter uma conta morta no servidor.

Obteve acesso protegido por palavra-passe? Prossiga para a limpeza (passo 3). Não conseguiu chegar a acordo? Veja o passo 2.

Passo 2: recuperação sem acesso ao site

O alojador recusa-se a ligar o site, mesmo protegido por palavra-passe. Isto acontece com planos partilhados baratos ou se o dano do spam já for demasiado grande. Tem três caminhos.

2.1. Cópia local via XAMPP

Transfira o arquivo do site através do gestor de ficheiros do alojamento (ou solicite um backup ao suporte técnico) e exporte a base de dados via phpMyAdmin. Implemente a cópia no seu computador local usando o XAMPP, LocalWP ou Laragon.

Depois, o procedimento padrão: instale o Wordfence, o scanner gratuito mais popular com assinaturas de malware e uma firewall. Execute uma verificação completa, elimine quaisquer ficheiros infetados encontrados ou substitua-os por originais de uma distribuição fresca do WordPress. Execute o Sucuri Scanner para verificar a integridade do core. Envie o site limpo de volta para o alojamento.

O método funciona, mas requer uma compreensão básica de como o WordPress funciona internamente.

2.2. Lista de ficheiros infetados do alojador

Peça ao suporte técnico para enviar uma lista de ficheiros detetados como maliciosos. Os alojadores usam frequentemente o ClamAV ou uma ferramenta semelhante do lado do servidor e conseguem ver os ficheiros específicos. Assim que tiver a lista, transfira esses ficheiros via FTP, abra-os num editor e remova as inserções suspeitas, geralmente código PHP ofuscado no início ou no fim do ficheiro.

Para ficheiros do core do WordPress e plugins populares, é mais fácil não limpar manualmente, mas sim sobrescrevê-los com versões originais do repositório oficial. Após a substituição, peça ao alojador para voltar a analisar o site e, se não houver ameaças, para abrir o acesso.

2.3. Especialista em segurança

Se a infeção for extensa e não tiver tempo para lidar com ela, contrate um especialista profissional. O custo de uma limpeza única depende da complexidade: a verificação básica e remoção de malware varia entre cento e cinquenta a quinhentos dólares. Serviços como o Sucuri oferecem um pacote «Limpeza e Proteção» com garantia e monitorização anual.

Dica: antes de contactar um especialista, solicite na mesma um backup dos ficheiros e da base de dados ao alojador. Estes são os seus dados e o alojador é obrigado a fornecê-los.

Passo 3: limpar o site após obter acesso

Tem acesso ao painel de administração. Agora, percorra metodicamente a lista de verificação.

Backup completo. Mesmo que esteja infetado. Copie todos os ficheiros via FTP e faça um dump da base de dados. Durante o processo de limpeza, pode partir acidentalmente algo que ainda funcionava; um backup serve de seguro contra erros fatais.

Verificação. Instale o Wordfence; a versão gratuita encontra malware por assinaturas, verifica os ficheiros de temas e plugins em relação ao original do repositório. Em paralelo, execute o Sucuri Scanner, que se especializa em verificações de integridade do core. Dois scanners encontram mais do que um.

Alteração de palavras-passe. Todas elas, de imediato: contas de administrador do WordPress, acesso FTP, utilizador da base de dados MySQL, palavra-passe do painel de alojamento. Gere palavras-passe longas e aleatórias. Ative a autenticação de dois fatores para o painel de administração; o Wordfence faz isto de raiz.

Atualização. Instale a versão mais recente do WordPress, atualize todos os plugins e temas. Elimine plugins não utilizados; cada um é um potencial ponto de entrada.

Passo 4: proteção contra pirataria repetida

Limpo, agora proteja-o para que não aconteça novamente dentro de uma semana.

• Firewall ao nível do site. O Wordfence inclui uma Web Application Firewall que bloqueia vetores de ataque conhecidos antes mesmo de chegarem ao WordPress. A versão gratuita é suficiente para projetos não atípicos.
• Limitação de tentativas de login. A força bruta é o método de pirataria mais comum. Um plugin como o Limit Login Attempts Reloaded bloqueia um IP após 3 a 5 tentativas falhadas.
• Atualizações regulares. As atualizações automáticas para versões menores do WordPress estão ativadas por padrão; para plugins e temas, configure notificações ou use alojamento gerido com atualizações automáticas.
• Verificação do PC. Se a palavra-passe de administrador vazou através de um cavalo de Troia no seu computador, alterar a palavra-passe no servidor não vai ajudar. Execute um antivírus (Malwarebytes, a versão gratuita lida com a maioria das ameaças) e verifique as extensões do navegador.

Um ponto à parte: backups. Configure backups automáticos, pelo menos uma vez por dia. O plugin UpdraftPlus faz backup gratuito para o Google Drive, Dropbox ou um FTP separado. No próximo incidente, restaurará o site em 10 minutos, não numa noite inteira.

⁉️🤔 Perguntas frequentes

O alojador é obrigado a fornecer um backup de um site pirateado?

Os ficheiros e a base de dados são o seu conteúdo; o alojador não tem o direito de os reter. O suporte técnico é obrigado a fornecer um arquivo mesmo de uma conta bloqueada. Na prática, um pedido através do sistema de tickets resolve o problema no prazo de um dia.

Posso simplesmente reinstalar o WordPress e carregar um backup?

Não, porque a infeção reside frequentemente na base de dados ou na pasta de uploads, não apenas nos ficheiros do core. Uma simples reinstalação e substituição da base de dados antiga irá muito provavelmente trazer a infeção de volta. Precisa especificamente de verificação e limpeza do site em execução.

E se o Google tiver sinalizado o site como perigoso?

Após uma limpeza completa, vá ao Google Search Console, encontre a secção «Segurança e Ações Manuais» e solicite uma revisão. O Google voltará a analisar o site dentro de 24 a 72 horas e removerá o aviso. Existe um procedimento semelhante nas Ferramentas do Webmaster do Bing.

Quais são os plugins de segurança de instalação obrigatória?

O conjunto mínimo para cada site: Wordfence (firewall + scanner) e Limit Login Attempts Reloaded (proteção contra força bruta). Isto é suficiente para proteger contra ataques automatizados em massa. Se o site for comercial, adicione autenticação de dois fatores e monitorização da integridade dos ficheiros.

Mudar para alojamento gerido ajuda?

Sim, o alojamento WordPress gerido (Kinsta, WP Engine, SiteGround) trata de uma parte significativa da segurança: firewall ao nível do servidor, atualizações automáticas, contentores isolados. Isto não elimina as medidas básicas ao nível do site, mas reduz a probabilidade de uma pirataria e simplifica a recuperação.

Site pirateado e desativado: lista de verificação final

A sequência de ações cabe em quatro pontos. Negocie com o alojador um acesso protegido por palavra-passe. Se não for possível, monte uma cópia localmente e analise-a aí. Após a limpeza, altere as palavras-passe e atualize tudo para as versões mais recentes. Configure uma firewall, proteção contra força bruta e backups diários.

Se o site for comercial e o tempo de inatividade for dispendioso, considere mudar para alojamento WordPress gerido ou contrate um especialista para configurar uma defesa em camadas.

Como recuperou o seu site após um bloqueio do alojador? Partilhe a sua experiência nos comentários.