Ajuda · Site parado ou com problema
Meu site foi invadido
Sinais de invasão: o Google avisa que o site é perigoso, aparecem páginas ou redirecionamentos que você não criou, usuários desconhecidos no painel ou a hospedagem suspende a conta. Antes de mexer, guarde uma cópia do estado atual. Depois, troque todas as senhas, restaure um backup limpo ou limpe os arquivos, atualize tudo e peça uma nova análise no Search Console.
Revisado em
Triagem rápida
Prefere que a gente resolva?
Responda em poucos segundos. A mensagem do WhatsApp já chega com o diagnóstico inicial, sem precisar explicar tudo de novo.
Como saber se foi invasão
O aviso vermelho de “site perigoso” no navegador vem da Navegação Segura do Google, e o motivo aparece no Search Console, em Problemas de segurança. Outros sinais: o site redireciona para páginas de apostas ou remédios só para quem chega pelo Google, aparecem páginas em outros idiomas na busca, o e-mail da empresa passa a cair em spam ou a hospedagem avisa sobre arquivos maliciosos.
Sites WordPress com plugins e temas desatualizados são o alvo mais comum, mas qualquer site com senha fraca ou chave exposta pode ser invadido.
O que fazer, em ordem
Faça uma cópia do estado atual, mesmo infectado: ela serve para entender por onde entraram. Troque as senhas da hospedagem, do painel do site, do banco, do FTP e do e-mail, e ative a verificação em duas etapas onde houver. Remova usuários que você não reconhece.
Depois, restaure um backup anterior à invasão ou limpe os arquivos alterados. Atualize o sistema, os plugins e os temas, e remova o que não é usado. Por fim, peça uma nova análise no Search Console, explicando o que foi feito.
Por que restaurar sem corrigir não basta
Se a porta de entrada continua aberta, o site é invadido de novo em dias. A porta pode ser um plugin com falha conhecida, uma senha vazada, uma chave exposta ou um arquivo esquecido no servidor. Encontrar e fechar essa porta é a parte mais importante, e a que mais costuma ser pulada.
Prevenção
Atualizações em dia, poucos plugins e só de fontes confiáveis, senhas fortes e únicas guardadas num gerenciador, verificação em duas etapas, backup automático guardado fora do servidor e um aviso do Search Console configurado para o seu e-mail. Para sites que não precisam de painel, um site estático elimina boa parte dos riscos.
Quando chamar alguém
Nem sempre precisa. Quando precisa, é isto.
Se o Google já marcou o site como perigoso, cada dia conta: o aviso afasta visitantes e pode afetar o e-mail. A gente limpa o site, encontra e fecha a porta de entrada, pede a nova análise e deixa a manutenção de segurança configurada.
Serviço relacionado
Resgate de sites→Diagnóstico, recuperação e acessos no nome da empresa.
Perguntas frequentes
Quanto tempo o Google leva para tirar o aviso de site perigoso?
Depois do pedido de análise no Search Console, costuma levar de alguns dias a poucas semanas. O site precisa estar limpo de verdade, ou o pedido é recusado.
Preciso avisar os clientes?
Se dados pessoais podem ter sido acessados, a LGPD pode exigir comunicação aos titulares e à ANPD. Vale orientação jurídica para avaliar o caso.
Trocar de hospedagem resolve?
Não, se os arquivos infectados e a falha forem junto. Primeiro limpa e fecha a porta; depois, se quiser, troca.
Site feito com IA também é invadido?
Pode ser, principalmente quando há chaves de API no navegador ou um banco sem regras de acesso. O risco é diferente, mas existe.
Continuar por aqui
Você fala com quem faz
O site foi invadido?
Respondemos assim que você chama. Mande o que aconteceu e o endereço do site, e o Gabriel começa pelo diagnóstico.