MANUTENÇÃO + SEGURANÇA
Site WordPress hackeado com SEO spam: como perceber e o que fazer
Muitos ataques a sites WordPress não tiram o site do ar. Eles usam o seu domínio para mostrar páginas de spam ao Google, enquanto você e seus clientes continuam vendo o site normal. Por isso o problema costuma ser descoberto tarde, quando o resultado da busca já está estranho.
Quero verificar a segurança do meu site Criado em e atualizado em por Léo Arnoldi
Léo ArnoldiEspecialista em Marketing e IANo marketing desde 2007, cuida da base técnica de sites, sistemas e automações da Arnoldi Digital., no Marketing desde 2007.
O que é SEO spam e cloaking?
Para o Google, conteúdo hackeado é qualquer conteúdo colocado no site sem permissão, por causa de uma falha de segurança. Cloaking é mostrar um conteúdo para os buscadores e outro para as pessoas, com a intenção de manipular o resultado da busca.
No ataque de SEO spam, os dois andam juntos: o invasor cria páginas ou links de spam (farmácia, cassino, produtos ilegais) dentro do seu domínio e mostra esse conteúdo apenas para o robô do Google. Quem acessa pelo navegador vê o site de sempre.
Aconteceu com o próprio site da Arnoldi, e a história completa está em o dia em que nosso site acordou trabalhando para a máfia russa.
Como saber se o site WordPress foi invadido?
Confira no seu site
- Pesquise no Google "site:seudominio.com.br" e veja se aparecem páginas que você não criou, às vezes em outro idioma.
- O título ou a descrição do seu site no Google mostram termos estranhos.
- O Search Console aponta problemas no relatório de segurança ou um aumento repentino de páginas indexadas.
- O navegador ou o antivírus avisa que o site é perigoso para alguns visitantes.
- Usuários administradores que ninguém da empresa criou aparecem no WordPress.
- Arquivos ou plugins desconhecidos no servidor.
O que fazer quando o site foi hackeado?
- 1Não apague às pressas
Antes de mexer, faça uma cópia do estado atual. Ela ajuda a entender por onde o ataque entrou.
- 2Troque os acessos
Senhas do WordPress, da hospedagem, do banco de dados e do FTP. Remova usuários que ninguém reconhece.
- 3Limpe o site inteiro
O Google avisa que corrigir só algumas páginas não traz o site de volta, nem em parte, aos resultados. A limpeza precisa pegar arquivos, banco de dados e plugins.
- 4Feche a porta de entrada
Atualizar ou remover o plugin, o tema ou a versão vulnerável que permitiu a invasão.
- 5Peça revisão ao Google
Com tudo corrigido, a revisão é pedida no relatório de problemas de segurança do Search Console. Segundo o Google, a análise pode levar de dias a semanas.
Restaurar um backup antigo nem sempre resolve: se a falha que permitiu a invasão continuar aberta, o ataque volta. E o backup pode já estar contaminado.
Como evitar que o WordPress seja invadido de novo?
Os números mostram onde está o risco. Segundo o relatório anual da Patchstack, empresa especializada em segurança de WordPress, 11.334 novas vulnerabilidades foram encontradas no ecossistema WordPress em 2025: 91% em plugins, 9% em temas e só 6 no núcleo do WordPress. O mesmo relatório aponta que cerca de metade das falhas de alto impacto é explorada em até 24 horas depois de divulgada. Por isso a atualização não pode esperar o fim do mês.
| Prevenção | Por que importa |
|---|---|
| Atualizações testadas e frequentes | A maioria das invasões explora falhas já corrigidas em versões novas. |
| Menos plugins | Cada plugin, principalmente os abandonados, é uma porta a mais. |
| Backups fora do servidor | Permitem recuperar o site mesmo que a hospedagem seja afetada. |
| Monitoramento do Search Console | Avisos de segurança e páginas estranhas aparecem ali antes de qualquer cliente reclamar. |
| Acessos com senha forte e poucos administradores | Menos contas com poder total, menos risco. |
Nenhum site está 100% protegido. O que a manutenção de sites WordPress faz é reduzir as chances de invasão e encurtar o tempo até perceber e resolver.
Perguntas frequentes sobre site WordPress hackeado
Site hackeado pode sumir do Google?
Pode perder posições, e o Google pode mostrar um aviso de que o site pode ter sido invadido. Depois da limpeza, dá para pedir uma revisão pelo relatório de Problemas de segurança do Search Console, que está nas fontes deste artigo.
Trocar a senha resolve?
Sozinha, não. Quem invade costuma deixar arquivos, usuários ou códigos escondidos para voltar. Trocar as senhas faz parte da limpeza, junto com descobrir por onde o ataque entrou e remover o que foi criado.
Preciso refazer o site do zero?
Nem sempre. Se existe um backup limpo anterior à invasão e a falha foi identificada, dá para restaurar e corrigir. Refazer faz mais sentido quando o site está muito desatualizado e não há backup confiável.
Quer saber se o seu site está limpo?
Se você nunca olhou o Search Console, não sabe quando o WordPress foi atualizado ou suspeita de algo estranho nos resultados do Google, a conversa com a Arnoldi pode começar por uma verificação do site.
A partir dela dá para definir a rotina de manutenção de sites WordPress: atualização, backup, monitoramento e resposta rápida quando algo acontece.
A conversa acontece pelo WhatsApp, direto com a equipe.
Filterinter: a base técnica do site modernizadaContexto: Empresa de soluções de filtragem com o site precisando de atualização técnica.
O que fizemos: Migração de servidor, atualização do PHP, configuração de cache e SEO técnico, além de redes sociais e tráfego pago.
Ver o case completoContinue lendo sobre manutenção de site
Separamos outros artigos do blog da Arnoldi sobre manutenção de site. São textos diretos, feitos para quem decide e precisa de resposta clara antes de investir.
Manutenção de SiteO dia em que nosso site acordou trabalhando para a máfia russa
O caso real da invasão do nosso site: SEO spam camuflado, plugin falso e uma porta dos fundos que recriava o invasor. O que verificar no seu.
Manutenção de SiteQuem faz a manutenção do meu site? O que ela inclui e como escolher
O que a manutenção de site precisa incluir, quem costuma fazer, os erros que mais derrubam sites e como escolher um serviço de manutenção.
Manutenção de SiteBackup automático de site: o que ele precisa ter e como testar
Um site pode ser perdido por invasão, atualização com defeito, erro humano ou falha da hospedagem. Como montar um backup confiável e testar.