O que fazer se o seu site WordPress foi invadido?

English version: What to do if your WordPress site has been hacked

1. Altere imediatamente as senhas. A senha da sua conta de usuário do WordPress e de todas as contas com privilégios administrativos no site. A senha do MySQL para o banco de dados do seu site e a senha do administrador do servidor MySQL. Altere também a senha do FTP, se estiver habilitada.
2. Reinstale o WordPress. Remova manualmente a versão antiga e instale-a novamente (não se esqueça de fazer um backup da pasta de uploads). Baixe a versão estável mais recente em wordpress.org .
3. Reinstale todos os plugins e o tema. Use as versões estáveis mais recentes. Reinstalar significa remover todas as pastas e arquivos da instalação anterior. Não copie arquivos novos por cima de arquivos e pastas já existentes.
4. Analise o site com o scanner de malware gratuito Cerber Security e exclua todos os arquivos maliciosos detectados.
5. Altere as chaves de segurança no arquivo wp-config.php. Obtenha-as em: https://api.wordpress.org/secret-key/1.1/salt/
6. Defina as permissões do arquivo wp-config.php para 444.
7. Verifique a(s) pasta(s) de uploads em busca de arquivos PHP. Remova-os sem hesitar.
8. Coloque o arquivo .htaccess na pasta de uploads com a seguinte string dentro dele.

    php_flag engine desligado

9. Verifique o tema com o plugin Theme Check.