Segurança WordPress em Portugal: site invadido limpo, porta de entrada fechada e prevenção contínua
Site a redirecionar visitantes, aviso vermelho no navegador ou marcado como invadido no Google? A Flowup trata a invasão como incidente: contém o dano, encontra a falha que permitiu a entrada, limpa ficheiros e base de dados, pede a revisão de segurança ao Google e deixa o site mais difícil de invadir outra vez.
Por Guto Bertoncini, fundador e estratega principal da FlowupAtualizado em 11 min de leitura
5,0 no GoogleDesde 2011Método B.I.N.A. próprio
Resumo
Segurança WordPress em seis pontos
O essencial para quem está com o site invadido agora, e para quem quer evitar que aconteça.
- Nas primeiras horas, não apague ficheiros nem reponha uma cópia por cima: guarde uma cópia do estado atual, troque as palavras-passe e isole o site se estiver a redirecionar visitantes.
- A maioria das invasões explora o previsível: em 2025 houve 11.334 vulnerabilidades novas no ecossistema WordPress, 91% delas em plugins (Patchstack).
- O tempo joga contra: 46% dessas falhas não tinham correção quando foram divulgadas, e a mediana ponderada até à primeira exploração foi de 5 horas, com peso pela intensidade dos ataques (Patchstack).
- Uma limpeza que só retira o que está à vista falha: em 49,21% dos sites comprometidos analisados pela Sucuri havia pelo menos uma porta de entrada escondida (backdoor).
- Limpar o site é metade do trabalho; a outra metade é retirar os avisos do Google e dos navegadores, o que depende de uma revisão que leva de alguns dias a algumas semanas.
- Ninguém sério garante que um site nunca mais é invadido. O que reduz o risco é a causa corrigida, a proteção reforçada e a manutenção contínua.
Primeiras horas
Site invadido: o que fazer agora
A maior parte do dano permanente não vem da invasão, e sim de reações apressadas. Enquanto chama um especialista, siga esta ordem.
Não apague nada nem reponha uma cópia por cima
Os ficheiros suspeitos mostram por onde o atacante entrou. Repor sem diagnóstico apaga as pistas e, se a cópia também estiver infetada, o problema volta.
Guarde uma cópia do estado atual
Uma cópia completa do site como está, mesmo infetado, permite analisar, comparar com versões limpas e reverter cada etapa com segurança.
Troque as palavras-passe e termine as sessões
WordPress (todos os administradores), alojamento, FTP ou SFTP, base de dados e o e-mail dos administradores. Ative a autenticação em dois passos e anote os utilizadores desconhecidos antes de os apagar.
Isole o site se estiver a atacar visitantes
Se há redirecionamentos para burlas ou descargas de ficheiros, uma página de manutenção protege o público e a reputação do domínio enquanto o incidente é tratado.
Sinais de invasão
Como saber se o site WordPress foi invadido
Nem toda a infeção aparece na página inicial, e parte dela esconde-se de quem tem sessão iniciada.
Redirecionamentos estranhos
Visitantes, às vezes só os que chegam pelo Google ou pelo telemóvel, são levados para sites de apostas, farmácias ou burlas.
Aviso no navegador e no Google
O navegador mostra um ecrã vermelho de site enganador ou perigoso, e a pesquisa marca o resultado como possivelmente invadido.
Páginas de spam indexadas
Ao pesquisar site:oseudominio.pt aparecem milhares de endereços que ninguém criou.
Administradores e ficheiros desconhecidos
Utilizadores que ninguém criou, plugins que ninguém instalou e ficheiros PHP na pasta de carregamentos.
E-mails do domínio no spam
Mensagens da empresa a cair no spam ou bloqueadas, sinal de que o servidor pode estar a enviar spam.
Lentidão e alertas do alojamento
Picos de processamento, site lento de repente, conta suspensa ou aviso do alojamento sobre ficheiros maliciosos.
Qualquer um destes sinais é motivo para tratar o caso como incidente ativo. A ausência de sintomas visíveis não garante um site limpo.
Processo
Como a Flowup responde a uma invasão
Um processo de resposta a incidentes, e não uma varredura automática. Cada etapa fica registada no relatório do incidente.
Triagem, contenção e porta de entrada
Análise de registos e do ambiente, cópia do estado atual, contenção dos redirecionamentos e do envio de spam e identificação da falha explorada, antes de qualquer limpeza.
Limpeza completa
Remoção de portas de entrada escondidas, injeções em ficheiros e na base de dados, utilizadores e tarefas agendadas maliciosos, com comparação do núcleo, dos temas e dos plugins com as versões oficiais.
Correção e reforço
Atualização segura, troca de extensões abandonadas, permissões de ficheiros, editor interno desativado, palavras-passe fortes, autenticação em dois passos e regras de firewall.
Revisão no Google e acompanhamento
Retirada do spam indexado, pedido de revisão de segurança no Search Console, acompanhamento dos avisos nos navegadores e monitorização nos dias seguintes.
Comparativo
Plugin de segurança, cópia de segurança ou limpeza profissional?
Os três existem e cada um resolve um problema diferente. O erro é esperar de um o resultado do outro.
| Critério | Plugin de segurança | Repor uma cópia | Limpeza profissional |
|---|---|---|---|
| Deteta a infeção | Em parte: assinaturas conhecidas. | Não deteta nada. | Sim, incluindo código ofuscado e injeções na base de dados. |
| Retira portas de entrada escondidas | Raramente, e são elas que reinfetam o site. | Só se a cópia for anterior à invasão. | Sim, por comparação com as versões oficiais e análise manual. |
| Corrige a causa | Não: a falha continua lá. | Não: repõe a mesma falha. | Sim: identifica e fecha a porta de entrada. |
| Retira os avisos do Google | Não. | Não. | Sim: spam retirado e revisão de segurança pedida e acompanhada. |
| Papel | Prevenção e alerta. | Seguro contra desastres, se testado. | Resposta ao incidente, do diagnóstico à prevenção. |
Porque é que limpezas superficiais falham
O padrão mais comum: o site foi limpo por um plugin, por uma reposição ou pela remoção do que estava à vista, e voltou a ser invadido em poucos dias. Ficou uma porta de entrada escondida num ficheiro legítimo, um administrador oculto ou uma tarefa agendada que reinstala o malware, e a falha original continua aberta.
Por isso o Google põe a identificação da falha antes da limpeza no seu roteiro de recuperação, e lembra que o mesmo site pode ter mais de uma invasão independente. Malware retirado sem fechar a porta de entrada não é limpeza: é um intervalo entre invasões.
Google e navegadores
Limpar o site é metade do trabalho
Depois da invasão, o dano continua nos índices: spam com o seu domínio, aviso na pesquisa, ecrã vermelho no navegador e e-mails bloqueados.
- 5 mil milhões+de dispositivos protegidos todos os dias pelo Safe Browsing, o serviço por trás dos ecrãs de aviso do Chrome e de outros navegadores.Google Safe Browsing
- Dias a semanasé o prazo que o Google indica para concluir uma revisão de segurança, depois de tudo corrigido.Ajuda do Search Console
- 6 mesesé quanto dura, aproximadamente, uma remoção temporária de URL: esconde a página, mas não resolve.Ajuda do Search Console
- 404 ou 410é a resposta que as páginas de spam precisam de dar para saírem do índice de vez.Ajuda do Search Console
A Flowup trata a recuperação como etapa do serviço: levantamento do que foi indexado indevidamente, resposta 404 ou 410 para as páginas de spam, pedido de remoção das mais visíveis, correção de tudo o que o relatório de problemas de segurança aponta e, só então, o pedido de revisão. Pedir antes de corrigir tudo pode atrasar a análise seguinte.
Prevenção
O que impede a próxima invasão
Prevenção é disciplina, e não um produto. As recomendações do WordPress.org e do OWASP apontam para as mesmas práticas.
Atualização com critério
Núcleo, temas e plugins atualizados depois de testados numa cópia do site, e extensões abandonadas substituídas.
Acessos controlados
Palavras-passe fortes, autenticação em dois passos, poucos administradores e acessos retirados quando alguém sai.
Ambiente reforçado
Permissões de ficheiros corretas, editor interno desativado, utilizador da base de dados com privilégios mínimos e firewall de aplicação.
Cópias que se repõem
Cópias fora do servidor, com teste de reposição. Uma cópia nunca reposta é uma hipótese, e não uma garantia.
Monitorização
Alertas de alteração de ficheiros, de disponibilidade e de problemas de segurança no Search Console.
Plano de resposta
Quem é chamado, o que é preservado e em quanto tempo, definido antes de acontecer.
Para ter esta disciplina todos os meses, a manutenção WordPress junta atualizações testadas, cópias verificadas, segurança e relatório.
Prazo e custo
Quanto tempo demora e quanto custa
O âmbito sai de uma triagem rápida e vem por escrito, antes de qualquer cobrança.
- Limpeza técnicade algumas horas a poucos dias, conforme o tamanho do site e a profundidade do comprometimento.
- Revisão do Googlede alguns dias a algumas semanas, contados a partir do pedido feito com tudo corrigido.
- Referência de mercadoproteção contra ataques entre 5 e 15 euros por mês, e manutenção entre 40 e 160 euros por mês (Zaask, consultado em 26/10/2026).
- Na Flowuporçamento sob consulta, por escrito; sites fora do ar ou bloqueados têm prioridade.
Dados pessoais e RGPD. Se a invasão expôs dados pessoais, como formulários, registos de clientes ou encomendas, o RGPD pode obrigar a notificar a CNPD sem demora injustificada e, sempre que possível, até 72 horas depois de a empresa ter conhecimento da violação, salvo se não for suscetível de resultar num risco para as pessoas, e a comunicar aos titulares quando o risco for elevado (Regulamento (UE) 2016/679, artigos 33.º e 34.º). A Flowup ajuda a levantar o que foi afetado; a decisão e a comunicação cabem à empresa, com o seu apoio jurídico.
Todo o trabalho, da triagem ao acompanhamento, é feito à distância, com contacto no horário de Lisboa.
Perguntas frequentes
Perguntas sobre segurança WordPress e site invadido
As perguntas que mais aparecem nas pesquisas e nos pedidos de ajuda.
Está com um caso agora? Conte-nos o que está a acontecer: respondemos no prazo de 1 dia útil, com prioridade para sites fora do ar.
Falar com um especialistaO meu site WordPress foi invadido: o que faço primeiro?
Não apague ficheiros nem reponha uma cópia por cima. Guarde uma cópia do estado atual, troque as palavras-passe de administradores, alojamento, FTP e base de dados, ative a autenticação em dois passos e, se o site estiver a redirecionar visitantes, ponha uma página de manutenção. Depois, peça a limpeza profissional.
Como sei se o site tem malware?
Os sinais mais comuns são redirecionamentos para outros sites, aviso vermelho no navegador, a marcação de site possivelmente invadido no Google, páginas estranhas ao pesquisar site:oseudominio.pt, administradores desconhecidos, lentidão repentina e e-mails do domínio a cair no spam. A ausência de sintomas não garante um site limpo.
Um plugin de segurança retira o malware sozinho?
Raramente por completo. Os plugins detetam assinaturas conhecidas e ajudam na prevenção, mas costumam deixar código ofuscado e injeções na base de dados. Nenhum plugin corrige a falha que permitiu a invasão nem retira os avisos do Google.
Repor uma cópia de segurança resolve?
Só se a cópia for comprovadamente anterior à invasão, e muitas infeções ficam escondidas semanas antes dos sintomas. Repor também devolve o site à mesma versão vulnerável.
Porque é que o site foi invadido?
Na maior parte dos casos, por um plugin ou tema com uma falha conhecida e sem atualização, por uma palavra-passe fraca ou exposta, ou por um alojamento mal configurado. Em 2025, 91% das vulnerabilidades novas do ecossistema WordPress estavam em plugins (Patchstack).
Quanto tempo demora a retirar os avisos do Google?
Depois da limpeza completa e do pedido de revisão no Search Console, o Google indica de alguns dias a algumas semanas.
Tenho de avisar a CNPD?
Depende do que foi exposto. Se houver dados pessoais envolvidos e risco para as pessoas, o RGPD prevê a notificação à CNPD, sempre que possível até 72 horas depois de a empresa ter conhecimento da violação, e, se o risco for elevado, a comunicação aos titulares. A decisão é da empresa, com apoio jurídico.
A limpeza garante que o site não volta a ser invadido?
Não, e desconfie de quem garante. O que reduz o risco é a causa corrigida, a proteção reforçada e a manutenção contínua.
- Serviço
Manutenção WordPress
Atualizações testadas, cópias e segurança, todos os meses.
Ver a página
- Serviço
Consultoria WordPress
Uma segunda opinião técnica para a sua equipa.
Ver a página
- Serviço
Otimização de velocidade
Depois da limpeza, velocidade medida com utilizadores reais.
Ver a página
- Serviço
Criação de sites
Quando a invasão mostra que o site precisa de ser refeito.
Ver a página
Transparência
Fontes e referências
Documentação do Google, do WordPress.org e do OWASP, relatórios de empresas de segurança e o RGPD, conferidos nas fontes em 26 e 27/10/2026.
- Relatório de problemas de segurança, Ajuda do Search Console: como pedir a revisão depois da correção e prazo de alguns dias a algumas semanas.
- Help, I think I have been hacked, web.dev (Google): roteiro de recuperação do Google, com a identificação da falha antes da limpeza.
- Identify the vulnerability, web.dev (Google): possibilidade de mais de uma invasão independente no mesmo site.
- Remover URLs temporariamente, Ajuda do Search Console: remoção temporária de cerca de seis meses e necessidade de 404 ou 410 para a remoção definitiva.
- Google Safe Browsing: serviço que protege mais de 5 mil milhões de dispositivos por dia.
- State of WordPress Security in 2026, Patchstack (25/02/2026): 11.334 vulnerabilidades em 2025, 91% em plugins, 46% sem correção na divulgação e mediana ponderada de 5 horas até à primeira exploração, com peso pela intensidade dos ataques.
- Backdoors: the hidden threat lurking in your website, Sucuri (17/01/2025): 49,21% dos sites comprometidos com pelo menos uma porta de entrada escondida, com dados do relatório de 2023.
- Hardening WordPress, WordPress.org: recomendações oficiais de segurança: atualização, palavras-passe, permissões, editor de ficheiros e cópias.
- OWASP Top 10:2025: referência de riscos de segurança em aplicações web.
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados, EUR-Lex: artigos 33.º e 34.º: notificação de violação de dados pessoais à autoridade de controlo e comunicação aos titulares.
- Tabela de preços para criação de sites, Zaask (consultado em 26/10/2026): segurança contra ataques, 5 a 15 euros por mês; manutenção, 40 a 160 euros por mês.
Como citar esta página
Flowup Agency. Segurança WordPress em Portugal: site invadido limpo, porta de entrada fechada e prevenção contínua. Guto Bertoncini, atualizado em . flowup.agency/pt/seguranca-wordpress/
O seu site está com um comportamento estranho?
Conte-nos o que está a acontecer. A triagem inicial indica se é invasão, qual a urgência e qual o âmbito, antes de qualquer compromisso.
5,0 no Google · Desde 2011 · Atendimento remoto em Portugal
