Site hackeado, fora do ar ou perdido: o que fazer (e o backup que evita o prejuízo)
Existe uma categoria de problema que nenhum dono de negócio no Brasil imagina que vai viver — até a manhã em que o site simplesmente não abre. Ou pior: abre, mas mostra propaganda que você não colocou, ou um aviso vermelho de “site enganoso”.
Três cenários diferentes, com a mesma sensação de desespero:
- Fora do ar — hospedagem venceu, certificado expirou, algo quebrou.
- Invadido — alguém explorou uma brecha e mexeu no que era seu.
- Perdido — o fornecedor sumiu, ninguém sabe onde está hospedado e não existe backup.
Este guia resolve os três: o que fazer agora, o que exigir de quem cuida do site, e as proteções que fazem o problema não acontecer de novo.
Primeiro: descubra qual é o seu caso
Antes de agir, identifique. Cada cenário tem um caminho diferente.
| Sintoma | Provável causa | Primeira ação |
|---|---|---|
| Página em branco ou erro de conexão | Hospedagem vencida, servidor fora, DNS errado | Falar com a hospedagem |
| ”Não seguro” ou aviso de certificado | SSL expirado | Renovar/reemitir o certificado (normalmente gratuito) |
| Conteúdo estranho, redirecionamento, aviso do Google | Invasão | Tirar do ar e iniciar a limpeza |
| ”Este domínio está à venda” | Domínio expirou ou não é seu | Verificar a titularidade no registro.br |
| Site abre, mas você não consegue editar | Perda de acesso ao painel/fornecedor | Recuperar titularidade e migrar |
💡 Antes de qualquer coisa, respire e não delete nada. Muita gente piora o quadro tentando “limpar” arquivos no impulso e apaga justamente o que permitiria a recuperação.
Cenário 1 — Site invadido: o passo a passo de recuperação
Invasão de site de pequena empresa quase nunca é ataque direcionado. É varredura automatizada procurando plataforma ou plugin desatualizado. A boa notícia: o roteiro de recuperação é conhecido.
1. Tire o site do ar temporariamente
Coloque em modo manutenção. Enquanto estiver comprometido, ele pode estar prejudicando visitantes e queimando a reputação do seu domínio.
2. Troque todas as senhas
Todas mesmo: hospedagem, painel administrativo, FTP, banco de dados, e-mail vinculado e cada usuário com acesso. Senha longa e única para cada serviço, guardada em gerenciador de senhas — e ative verificação em duas etapas onde existir.
3. Acione o suporte da hospedagem
Hospedagens sérias têm equipe e ferramenta para isso. Peça verificação de malware, os logs de acesso do período e a lista de backups disponíveis. Boa parte dos casos se resolve aqui.
4. Restaure o último backup limpo
Escolha uma data anterior ao problema. Restaurar um backup já infectado é o erro clássico que faz o ciclo se repetir na semana seguinte.
5. Feche a porta antes de voltar
Restaurar sem corrigir a causa é convite para a reinfecção. Atualize plataforma, tema e plugins, remova o que não usa (plugin desativado também é brecha) e revise usuários administradores desconhecidos.
6. Peça a reavaliação no Google
Se o site chegou a receber aviso de segurança, abra o Search Console, seção de problemas de segurança, e solicite a revisão depois de limpo. Sem isso, o alerta vermelho continua afastando visita mesmo com o site já corrigido.
7. Avise quem precisa saber
Se houver qualquer indício de que dados de clientes foram expostos, a comunicação transparente é obrigação — inclusive sob a LGPD. Documente o que aconteceu e o que foi feito.
Cenário 2 — Site fora do ar: as causas mais comuns
Nem todo apagão é invasão. Na prática, a maioria dos casos é uma destas quatro:
- Hospedagem ou domínio vencidos. Boleto no e-mail de alguém que saiu da empresa. Solução: cadastro de cobrança no e-mail da empresa e renovação automática.
- Certificado SSL expirado. Site abre com aviso de inseguro. Reemitir costuma levar minutos.
- Atualização que quebrou algo. Plugin novo conflitou. Volta o backup e testa de novo com calma.
- DNS apontado errado depois de uma migração. Propagação leva algumas horas — às vezes é só esperar.
Em todos, o caminho é o mesmo: hospedagem primeiro, backup na mão, e registro do que foi feito.
Site fora do ar agora? A ASV Mídia Lagos atende empresas em todo o Brasil e cuida de hospedagem, backup e manutenção dos sites que entrega — inclusive de sites que não foram feitos por nós. Chame no WhatsApp e a gente olha o seu caso.
Cenário 3 — Site perdido: o problema que ninguém previu
Este é o mais comum dos três, e o mais evitável. A empresa contratou alguém anos atrás, esse alguém registrou o domínio na conta pessoal dele, hospedou onde achou melhor — e sumiu.
O que fazer:
- Verifique o domínio no registro.br. A consulta pública mostra o titular. Se o CNPJ da empresa está lá, você tem direito de recuperar o acesso pelos canais oficiais.
- Se o domínio estiver no nome de terceiro, tente contato formal por escrito. Sem sucesso, avalie com apoio jurídico — o nome da empresa costuma pesar a seu favor, mas o processo leva tempo.
- Salve o que der do site atual. Mesmo sem acesso ao painel, dá para copiar textos e imagens públicas para reconstruir mais rápido.
- Reconstrua já no seu nome, com domínio, hospedagem e acessos sob a conta da empresa.
💡 A regra que evita tudo isso: o domínio é ativo da empresa, como a marca. Ele pode ser administrado por quem cuida do site, mas o titular é você — sempre.
As 7 proteções que evitam o prejuízo
Prevenção aqui é barata. Prejuízo, não.
| Proteção | Por que importa |
|---|---|
| Backup automático fora do servidor | Backup no mesmo lugar do site some junto com ele |
| Atualizações em dia | Plataforma e plugins desatualizados são a porta de entrada nº 1 |
| Senhas fortes + verificação em duas etapas | Bloqueia a maior parte das tentativas automatizadas |
| Menos acessos administrativos | Cada conta extra é uma porta a mais; remova quem saiu |
| SSL e renovação automática ativos | Evita o aviso de “não seguro” por esquecimento |
| Domínio e hospedagem no CNPJ da empresa | Garante que o site continua seu, independentemente de fornecedor |
| Monitoramento de disponibilidade | Você descobre a queda por alerta, não pelo cliente |
A regra 3-2-1 do backup, sem tecnês
Três cópias do site, em dois lugares diferentes, sendo uma fora da hospedagem. Se as três cópias estão no mesmo servidor, você tem uma cópia — e um problema.
Frequência: site institucional que muda pouco, semanal; blog ativo, catálogo ou loja, diário. E teste a restauração pelo menos uma vez por ano: backup que nunca foi testado é fé, não é segurança.
Quanto custa cada caminho (a conta real)
O que assusta não é o preço da prevenção — é a diferença entre ela e o conserto.
| Situação | Esforço típico | Resultado |
|---|---|---|
| Backup automático + atualizações em dia | Poucos reais por mês, embutido em plano de manutenção | Recuperação em horas |
| Invasão com backup recente | Algumas horas de trabalho técnico | Site de volta no mesmo dia |
| Invasão sem backup | Reconstrução | Prazo e custo de um site novo |
| Site perdido com fornecedor | Recuperação de domínio + site novo | Semanas, com risco de perder o histórico no Google |
Um detalhe que quase ninguém contabiliza: os dias fora do ar também custam. Contato que não chega, anúncio rodando para uma página quebrada e posição perdida no Google que leva semanas para voltar.
Como a gente resolve isso na prática
Sites que a ASV entrega ficam em ambiente com backup, SSL e atualização acompanhados — e o domínio sempre no nome do cliente, com acesso de titular entregue no primeiro dia. A tecnologia ajuda: sites estáticos, como os que usamos, têm bem menos superfície de ataque que uma instalação cheia de plugins.
Se o seu site atual está em situação de risco — sem backup, plataforma antiga, acesso incerto —, o caminho costuma ser migrar antes que o problema aconteça. Veja como funciona a criação de sites ou, se o seu site já está velho por outros motivos, comece pelos 9 sinais de site desatualizado.
Conclusão
Site hackeado, fora do ar ou perdido não é azar: é quase sempre backup que não existia, atualização que não foi feita ou domínio que não estava no nome certo.
Faça hoje três verificações que levam 10 minutos: onde está o seu backup mais recente, quem é o titular do domínio e quem tem acesso administrativo. Se você não souber responder alguma delas, esse é exatamente o buraco por onde o prejuízo entra.
Quer ajuda para tapar? Fale com a ASV Mídia Lagos — atendemos empresas em todo o Brasil, com base em Araruama, na Região dos Lagos (RJ).
Tags
Perguntas frequentes
O que fazer quando o site é hackeado?
Na ordem: tire o site do ar temporariamente (modo manutenção) para não expor visitantes, troque todas as senhas envolvidas — hospedagem, painel, FTP, banco e usuários administradores —, acione o suporte da hospedagem, restaure a partir do último backup limpo, atualize plataforma e plugins antes de voltar ao ar e, por fim, peça a reavaliação no Google Search Console se o site tiver recebido aviso de segurança.
Como saber se meu site foi invadido?
Sinais comuns: o navegador ou o Google exibe aviso de site enganoso; aparecem páginas, links ou anúncios que você não criou; o site redireciona sozinho para outro endereço; usuários administradores desconhecidos surgem no painel; a hospedagem avisa sobre consumo anormal; ou o site fica lento e instável sem motivo. O Search Console também notifica problemas de segurança na seção específica.
Com que frequência devo fazer backup do site?
Depende de quanto conteúdo muda. Site institucional que muda pouco: backup semanal automático já resolve. Site com blog ativo, catálogo ou loja: diário. A regra prática é a 3-2-1 — três cópias, em dois lugares diferentes, sendo uma fora da hospedagem. Backup que mora só no mesmo servidor do site some junto com ele.
Perdi o acesso ao meu site, o fornecedor sumiu. Consigo recuperar?
Quase sempre sim, se o domínio estiver registrado no seu nome ou CNPJ — no registro.br dá para recuperar a titularidade e apontar o domínio para uma hospedagem nova. O que costuma se perder é o conteúdo, quando não existe backup. Por isso o domínio e a hospedagem devem estar sempre em conta da empresa, com você como titular, e não na conta pessoal de quem fez o site.
Quanto tempo demora para colocar um site de volta no ar?
Com backup recente em mãos, restaurar costuma levar de algumas horas a um dia. Sem backup, o cenário muda: é reconstrução, e aí o prazo é o de um site novo — de dias a semanas. É exatamente essa diferença que torna o backup automático o item mais barato da lista de segurança.
