Atualize com uma forma de voltar.
Mantenha WordPress, PHP compatível, temas e plugins em versões suportadas. Antes de uma mudança importante, confira a cópia e teste a atualização em um ambiente de homologação quando possível. Depois, valide login, formulários, loja, integrações e páginas principais.
Use componentes de origem confiável.
Instale temas e plugins do repositório oficial ou do desenvolvedor legítimo. Remova os que não usa e substitua componentes abandonados. Cópias piratas ou modificadas podem trazer código malicioso; quantidade de instalações e aparência profissional não substituem a avaliação da origem e das atualizações.
Dê a cada pessoa o acesso necessário.
Use contas individuais e reserve administrador para tarefas que exigem essa permissão. Revogue acessos de quem saiu, revise usuários desconhecidos e ative segundo fator ou passkeys com uma solução compatível. Não compartilhe uma senha de administrador com toda a equipe.
Teste a restauração, não apenas a existência da cópia.
Arquivos e banco de dados devem corresponder ao mesmo ponto de recuperação. Guarde cópias fora da instalação pública e confira a retenção do plano. Teste a restauração em outro ambiente. Um backup antigo pode conter a mesma falha ou infecção; não restaure sem verificar.
Cuide também do ambiente.
Use conexões administrativas criptografadas e proteja o computador de quem administra. Revise permissões de arquivos com alguém capacitado, evitando liberar escrita para todos. HTTPS protege o tráfego, mas não corrige plugin vulnerável, senha exposta ou aplicação desatualizada.
Reconheça quando é um incidente.
Redirecionamentos estranhos, usuários que você não criou e alertas de malware merecem investigação. Registre os sintomas e o horário. Se houver suspeita de invasão, passe ao roteiro de resposta antes de remover arquivos ou restaurar por cima do estado atual.
O que você já revisou?
Marque os itens que você conferiu. As marcações ficam apenas nesta página: não acessam sua conta nem fazem uma auditoria.
Dúvidas frequentes.
Um plugin de segurança resolve tudo?
Não. Ele pode oferecer controles e alertas, mas precisa de configuração e manutenção. Atualizações, acessos, cópias e a proteção da hospedagem continuam importantes. Evite instalar vários controles semelhantes sem entender conflitos e impacto.
A hospedagem faz toda a manutenção do WordPress?
O escopo depende do serviço contratado. Hospedagem, manutenção do aplicativo e limpeza de malware são atividades diferentes. Confira quem administra os componentes e combine as responsabilidades com a equipe.
Referências para continuar.
Orientações de fontes oficiais para aprofundar estes cuidados.