Site bloqueado pelo Google: guia passo a passo para remover o aviso de site perigoso (2026)

Receber a notificação de que seu site foi marcado como perigoso pelo Google é um daqueles momentos em que o estômago revira. O tráfego despenca para zero em horas, o Chrome exibe uma tela vermelha gigante antes do visitante chegar no conteúdo, e a sensação é de impotência total. A boa notícia é que esse processo tem um caminho conhecido, com prazos reais (24 a 72 horas após a reavaliação), e que funciona quando você executa na ordem certa.

Este guia mostra exatamente o que fazer, do primeiro alerta até a remoção definitiva do aviso, com os tempos esperados de cada etapa e os erros mais comuns que prolongam o problema por semanas.

Como o Google decide bloquear um site

O Google mantém um serviço chamado Safe Browsing, que indexa diariamente bilhões de URLs em busca de malware, phishing e engenharia social. Chrome, Firefox, Safari e Brave consultam essa lista antes de carregar qualquer página. Se seu domínio entrar nela, é como ser banido do tráfego web do dia para a noite.

As três classificações mais comuns são:

• Site enganoso (Deceptive site ahead): indica phishing — geralmente o site foi modificado para tentar roubar credenciais de visitantes.
• Software malicioso adiante (Site contains malware): o site distribui ou hospeda código que infecta o computador do visitante (scripts maliciosos, downloads sem consentimento).
• Conteúdo nocivo: scripts que mineram criptomoeda usando o navegador do visitante, redirecionamentos para spam etc.

Cada tipo exige limpeza específica e o tempo de reavaliação muda. Reavaliações de malware costumam levar 24 a 72 horas; phishing pode levar mais, porque o Google é mais rigoroso.

O primeiro check em 30 segundos

Antes de qualquer ação, confirme se o bloqueio é real e em qual classificação. Acesse:

https://transparencyreport.google.com/safe-browsing/search?url=siteseguro.app.br

Substitua siteseguro.app.br pelo seu domínio. Se aparecer “Não existe nenhum conteúdo perigoso nesta página”, talvez o problema seja outro (cache do navegador, DNS, hospedagem suspensa). Se aparecer “Conteúdo perigoso”, prossiga com o passo a passo.

Passo a passo completo (em ordem — não pule etapas)

Passo 1: Verifique o Google Search Console

Acesse o Search Console com a conta que verifica o domínio. Vá em Segurança e ações manuais > Questões de segurança. Lá você vê exatamente qual a categoria do problema e, em alguns casos, exemplos de URLs infectadas dentro do seu site. Salve essa lista — ela é o roteiro da sua limpeza.

Se o seu site nunca foi verificado no Search Console, esse é o momento. Adicione a propriedade (preferencialmente como “Domínio” via TXT no DNS), aguarde a verificação e volte para essa seção. Sem o Search Console verificado, você não consegue solicitar reavaliação — esse é o erro número um de quem tenta resolver sozinho.

Passo 2: Coloque o site em modo manutenção

Mantenha o site fora do ar durante a limpeza. Isso evita que (a) outros visitantes sejam infectados, (b) que o invasor continue ativo enquanto você trabalha, e (c) que o malware se replique para arquivos limpos. Plugin recomendado: WP Maintenance Mode ou simplesmente editar o .htaccess adicionando uma regra que mostra uma página estática para qualquer visitante que não venha do seu IP.

Passo 3: Faça backup imediato (estado atual, infectado)

Parece contraintuitivo, mas você precisa do estado infectado como evidência e como referência. Use UpdraftPlus, All-in-One WP Migration, ou simplesmente baixe todos os arquivos via FTP e dump do banco via phpMyAdmin. Salve em local separado, fora do servidor.

Passo 4: Troque TODAS as senhas

Antes de tocar em qualquer arquivo, mude:

• Senha de todos os usuários do WordPress (especialmente admins)
• Senha do FTP/SFTP do servidor
• Senha do cPanel ou painel de hospedagem
• Senha do banco MySQL (lembre de atualizar no wp-config.php)
• Senha de email associada ao domínio
• Salts do wp-config.php (use o gerador oficial: https://api.wordpress.org/secret-key/1.1/salt/)

Trocar salts invalida todas as sessões ativas — se algum invasor estava logado, é desconectado imediatamente.

Passo 5: Scan completo para identificar arquivos comprometidos

Você tem três opções, em ordem de confiabilidade:

1. Especialista do Site Seguro (recomendado para casos sérios) — usa ferramentas comerciais + análise manual
2. Wordfence Premium ou Sucuri — scan profundo automatizado
3. Plugins gratuitos (Wordfence Free, MalCare Free) — pegam o básico, mas falham com malwares ofuscados

Comandos úteis se você tem SSH:

# Arquivos PHP modificados nas últimas 30 dias
find /caminho/do/site -name "*.php" -mtime -30 -type f

# Procurar funções típicas de backdoor
grep -rE "eval\s*\(|base64_decode|gzinflate|str_rot13|FilesMan|c99|r57" /caminho/do/site --include="*.php"

# Arquivos PHP dentro de uploads (não deveria existir)
find /caminho/do/site/wp-content/uploads -name "*.php"

Passo 6: Limpeza cirúrgica

Para cada arquivo suspeito, decida entre:

• Arquivo do core (wp-admin, wp-includes): substitua pela versão oficial baixando de https://wordpress.org/download/
• Arquivo de plugin/tema oficial: reinstale o plugin/tema do zero
• Arquivo desconhecido: delete (depois de confirmar que não é de um plugin que você esqueceu)
• Arquivo legítimo com código injetado: abra, identifique o bloco malicioso (geralmente começa com <?php eval(base64_decode() e remova manualmente

Nunca confie em “limpar automaticamente” sem ler o que está sendo removido — falsos positivos quebram funcionalidades.

Passo 7: Limpeza do banco de dados

Backdoors também moram no banco. Procure:

• Usuários administradores criados recentemente que você não conhece
• Posts ou páginas em status draft ou pending com conteúdo estranho (links japoneses, código JavaScript)
• Linhas em wp_options que injetam código no <head> ou no footer (chave siteurl apontando para domínio errado é sinal clássico)
• Conteúdo em wp_posts com <script> ou iframe que você não inseriu

Passo 8: Hardening pós-limpeza

Antes de tirar o site do modo manutenção:

1. Atualize WordPress, todos os plugins e tema para versão mais recente
2. Remova qualquer plugin ou tema inativo (cada um é vetor de ataque potencial)
3. Instale Wordfence, iThemes Security ou Solid Security, e ative scan diário
4. Mude a URL do wp-admin com WPS Hide Login
5. Ative 2FA (Two Factor) no Wordfence
6. No wp-config.php, adicione define('DISALLOW_FILE_EDIT', true);
7. Adicione headers de segurança no .htaccess (modelo no nosso post sobre hardening)

Passo 9: Solicite a reavaliação no Search Console

Volte em Segurança e ações manuais > Questões de segurança, clique em Solicitar uma análise. O Google vai pedir que você descreva, em texto, o que aconteceu e o que foi feito para corrigir. Seja honesto e técnico:

“O site sofreu invasão em [data aproximada], identificada via [seu método]. Os arquivos infectados foram localizados em [lista das pastas]. Foi feita limpeza manual com substituição dos arquivos do core e plugins. As senhas foram alteradas, o WordPress e todos os plugins foram atualizados, foi instalado [nome do plugin de segurança]. O site agora está limpo conforme scan do [ferramenta]. Solicito reavaliação.”

Passo 10: Espere e monitore

Reavaliação leva normalmente 24 a 72 horas. Não solicite múltiplas vezes — atrasa o processo. Enquanto espera, monitore:

• O site continua limpo (rode scan diário)
• O Search Console vai notificar por email quando o aviso for removido
• O Chrome em janela anônima já mostra o site sem alerta

Erros que prolongam o problema

1. Restaurar backup antigo sem auditar. Se o backup também estiver infectado, você está restaurando o malware.
2. Limpar só os arquivos da raiz e esquecer subpastas. Backdoors adoram esconder em /uploads/, /cache/, pastas de plugins desinstalados.
3. Mudar a senha do wp-admin e não trocar o salts. Sessões antigas continuam válidas.
4. Solicitar reavaliação sem ter limpado tudo. O Google reavalia, encontra o malware ainda lá, e o tempo até a próxima tentativa aumenta.
5. Achar que removeu o malware porque o site “voltou a abrir normal”. Reinjeção acontece em horas se a porta de entrada não foi fechada.
6. Não trocar a senha de email associada ao domínio. É a forma número um de invasores recuperarem acesso via “esqueci minha senha”.

Quanto tempo até voltar 100%?

Cenário realista:

• Limpeza técnica: 4 a 12 horas (depende do tamanho do site e da complexidade do malware)
• Hardening: 2 a 4 horas
• Solicitação de reavaliação: 5 minutos
• Reavaliação do Google: 24 a 72 horas
• Recuperação parcial de tráfego orgânico: 1 a 4 semanas
• Recuperação total do ranking: 1 a 3 meses, dependendo de quanto tempo o site ficou bloqueado

Quando contratar o Site Seguro

Se você não tem domínio sobre SSH, linha de comando ou diagnóstico de PHP, esse processo é arriscado para fazer sozinho. Um falso positivo pode tirar o site do ar; um backdoor não detectado faz tudo recomeçar em 48 horas.

O Plano Emergencial (R$ 999) do Site Seguro entrega tudo isso em até 24 horas: scan, limpeza manual, hardening, solicitação de reavaliação no Search Console e relatório técnico. Para empresas que dependem do site para vendas, o custo da paralisação supera muito o investimento na limpeza.

Fale agora pelo WhatsApp — atendimento das 7h às 22h.

Perguntas frequentes

O Google bloqueou meu site mas eu não vejo malware nenhum. Pode ser falso positivo?

Existe, mas é raro. O mais comum é que o malware seja condicional: só ativa quando o visitante vem do Google, em horário específico, ou sem cookies. Por isso testes feitos pelo próprio dono, logado, raramente reproduzem o problema.

Posso simplesmente trocar de domínio para resolver?

Não recomendado. O malware está no servidor, não no domínio. Trocar de domínio sem limpar o servidor leva você de volta ao mesmo lugar — com o agravante de perder o histórico SEO do domínio original.

O Cloudflare ou Wordfence sozinho não impede esse problema?

Eles reduzem MUITO o risco, mas não eliminam. WAF (firewall) bloqueia ataques conhecidos, mas se um plugin oficial tiver uma vulnerabilidade zero-day, o ataque passa antes do WAF aprender a bloqueá-lo.

Quanto custa em média uma limpeza de malware WordPress?

Mercado brasileiro varia de R$ 400 (serviços baratos, geralmente automatizados) a R$ 3.000 (consultoria sênior para sites grandes). O Site Seguro opera entre R$ 349 e R$ 999 com solução completa em até 24h no plano emergencial.

O Site Seguro emite nota fiscal para empresas?

Sim, todos os planos são contratados como serviço pessoa jurídica com nota fiscal eletrônica.

Conclusão

Site bloqueado pelo Google é um problema com solução conhecida — mas o caminho exige disciplina e ordem. Pular etapas custa caro: cada vez que o Google reavalia e ainda encontra malware, o intervalo até a próxima tentativa aumenta. Faça certo da primeira vez, ou chame quem faz.

Estamos prontos para ajudar agora.

Leia também:
– Como saber se seu site WordPress foi hackeado: 12 sinais de invasão
– Como remover vírus e malware do WordPress sem perder o site
– Hardening WordPress: 15 ações essenciais para blindar seu site Para empresas que buscam suporte especializado WordPress, recomendamos avaliar nossos critérios de escolha.