serviços · segurança wordpress
Site hackeado? Encontramos a porta.
Não só o malware. Limpar um site WordPress hackeado sem entender como o invasor entrou é vê-lo voltar dois dias depois. Fazemos a investigação, a limpeza, a blindagem, e deixamos com você um relatório que a sua equipe ou o seu provedor de hospedagem consegue aplicar.
sintomas
Você provavelmente está no lugar certo se...
Stripe, PayPal, Mercado Pago ou o seu banco avisa que uma chave de API foi usada a partir de um endereço desconhecido. Costuma ser o primeiro sinal: muitos plugins guardam as chaves em texto puro.
Você já limpou, trocou as senhas, e o site foi comprometido de novo poucos dias depois. Uma porta ficou aberta: um carregador escondido, uma chave de importação, uma conta discreta.
Administradores que ninguém criou, plugins que ninguém instalou, arquivos PHP na pasta de mídia.
Aviso de “site perigoso” nos resultados de busca, e-mail do provedor de hospedagem, spam enviado a partir do seu domínio, redirecionamentos para sites duvidosos.
método
Investigar primeiro, limpar depois
A cronologia comprovada
Leitura dos logs do servidor, hashes dos arquivos, datas de primeira aparição: reconstituímos a invasão e datamos cada etapa. Provas preservadas, nenhum payload executado.
Todas as portas fechadas
Remoção de carregadores e backdoors, rotação dos segredos (banco de dados, salts, chaves de API), remoção de contas e plugins parasitas, verificação do núcleo do WordPress arquivo por arquivo.
Para não voltar
Atualizações automáticas de fato ativas, execução de PHP bloqueada na pasta de mídia, firewall de aplicação em modo bloqueio, backups fora do servidor e testados, monitoramento diário.
Um documento, não um e-mail
Cronologia, causa raiz, impacto (dados, pagamentos, obrigações da LGPD), correções feitas, correções a fazer e por quem. Legível pela diretoria, aplicável pela equipe técnica.
caso real · 2026
Duas invasões em dez dias, uma única causa
O site de uma associação em Bruxelas foi comprometido pela primeira vez em meados de agosto: chave de pagamento Stripe roubada, contas de administrador falsas, plugin de gerenciamento de arquivos surgido do nada. A limpeza foi feita, as senhas trocadas. Dois dias depois, tudo de novo.
Nossa investigação mostrou que não eram dois ataques, mas um só: um carregador plantado um mês antes em uma pasta pouco vigiada, reinstalado por meio de um plugin de importação cuja chave nunca tinha sido revogada. Datamos cada etapa, provamos que a base de membros não tinha sido exfiltrada e identificamos por que a correção de segurança do WordPress de agosto não tinha sido aplicada: um plugin desligava silenciosamente as atualizações automáticas.
Entregue em seis dias: um relatório com 34 evidências, uma cadeia de defesa adaptada ao servidor deles e um monitoramento diário até a entrega final. Desde então, o site não deu mais problema.
Ver o caso nos nossos projetos
cron 9h · surveillance.log · 10 «ok» antes do encerramentopreventivo
Auditoria de segurança antes do incidente
Sites que recebem pagamentos, que armazenam dados de membros ou de pacientes, ou cuja parada custa caro. Associações, lojas virtuais, escritórios e consultórios.
Versões e atualizações, plugins de risco, segredos e chaves de API, permissões das contas, configuração do servidor, backups (existem, são testados, ficam fora do servidor).
Um relatório priorizado: o que é urgente, o que é importante, o que pode esperar, com quem faz e como para cada ponto. Depois, uma manutenção que mantém o rumo, se você quiser.
perguntas frequentes
FAQ segurança WordPress
Minha hospedagem já limpou o site, por que fazer uma auditoria?
Uma limpeza remove o que está visível. A auditoria estabelece como o invasor entrou e verifica que essa entrada está fechada. Sem isso, você limpa o sintoma e mantém a causa.
Quanto tempo leva?
Uma intervenção de emergência começa em até 1 dia útil. A investigação e a limpeza levam em geral de dois a seis dias, conforme o tamanho do site e o acesso aos logs. O relatório vem logo em seguida.
É preciso avisar a ANPD ou as pessoas afetadas?
Depende do que vazou: o relatório documenta isso com precisão (dados acessados ou não, provas). Essa base factual é o que você precisa para decidir com o seu advogado, dentro do prazo razoável que a LGPD exige para comunicar à ANPD e aos titulares.
Vocês trabalham com o meu técnico de TI ou com a minha hospedagem?
Sim, e muitas vezes é o melhor formato: nós investigamos e recomendamos, o seu técnico aplica o que diz respeito ao servidor. Atuamos apenas em modo leitura enquanto não for preciso alterar nada.
Quanto custa?
Uma auditoria em um site WordPress padrão tem valor fechado e informado antes de começar, não é uma fatura por hora. Descreva a situação e você recebe o valor em até 2 dias úteis.