Se o seu site redirecionando para outro começou agora ou acontece só em celular e tráfego do Google, trate como suspeita de invasão. Donos de empresas e administradores devem checar imediatamente para evitar perda de vendas, bloqueio em buscadores e vazamento de dados.
Seu site redirecionando para outro: riscos reais
Quando você nota um site redirecionando para outro, o prejuízo raramente é só “incômodo”. Você perde tráfego qualificado, derruba conversões e pode cair em listas de bloqueio.
Em campanhas pagas, isso vira custo direto, porque o clique é pago e o usuário cai em uma página que não é sua.
O ponto mais perigoso é o redirecionamento seletivo. O invasor evita te mostrar o problema quando você está logado no WordPress. Ele exibe a falha só para visitantes. Isso atrasa o diagnóstico e prolonga o dano.
Se você gerencia marketing, pense no impacto em funil. Um redirecionamento malicioso destrói confiança no primeiro toque. O usuário volta para o Google em segundos. Esse sinal comportamental também piora a performance orgânica.
Por que o redirecionamento “some” quando você testa
O truque mais comum é condicionar o redirecionamento por User-Agent, referer ou geolocalização. Você acessa do escritório e “está normal”. Um cliente acessa do 4G e cai em outro domínio. O invasor quer reduzir a chance de ser pego.
Alguns gatilhos típicos:
- Somente mobile: regra específica para Android e iOS.
- Somente Google: redireciona quando o referer é google.com.
- Somente primeira visita: usa cookie para não repetir.
- Somente fora do wp-admin: ignora acessos autenticados.
- Somente em URLs específicas: /, /produto, /lp.
O critério muda, mas a intenção é a mesma. Ele quer persistir sem chamar atenção.
Sinais técnicos de invasão “invisível”
Você não precisa ver uma tela preta para confirmar algo errado. Alguns sinais são bem objetivos e fáceis de checar, mesmo sem ser desenvolvedor. Procure por picos de 302, páginas novas não publicadas e scripts estranhos.
Itens que costumam aparecer juntos:
- Redirecionamento 301/302 no DevTools (aba Network) sem você ter configurado.
- meta refresh no HTML, geralmente com 0 a 3 segundos.
- JavaScript ofuscado com eval, atob, String.fromCharCode.
- .htaccess com regras longas e difíceis de ler.
- wp-cron disparando chamadas para domínios desconhecidos.
- Usuários admin novos, com e-mail que você não reconhece.
Outra pista é o tráfego. Queda brusca em orgânico e aumento de rejeição costumam acompanhar o ataque. Isso aparece no Search Console e no Analytics.
Onde o código malicioso costuma ficar
O redirecionamento quase nunca fica em um único lugar. O invasor espalha “pontos de retorno” para reinfectar. A limpeza precisa ser feita com visão de cadeia, não só apagando um arquivo.
Locais campeões de persistência:
- .htaccess na raiz e em subpastas (incluindo /wp-includes/).
- wp-config.php com include remoto ou payload no fim do arquivo.
- functions.php do tema ativo e do tema pai.
- mu-plugins (pasta /wp-content/mu-plugins/), que muitos esquecem de olhar.
- Plugins “nulled” e temas piratas, que já vêm com backdoor.
- Banco de dados: opções em wp_options e snippets em widgets antigos.
Recomendação direta: não confie em “limpeza” que só remove um script no header. Isso resolve o sintoma e mantém o acesso do invasor.
Como diferenciar erro de config e ataque
Nem todo redirecionamento é ataque. Migração de domínio, HTTPS forçado e plugins de cache podem redirecionar. A diferença é a previsibilidade. Configuração legítima é consistente e reproduzível.
Use este comparativo para decidir rápido:
| Indício | Mais comum em config legítima | Mais comum em invasão |
|---|---|---|
| Destino do redirect | Seu próprio domínio | Domínio desconhecido |
| Reprodução do erro | Sempre acontece | Intermitente |
| Condição | HTTP → HTTPS | Mobile, Google, primeira visita |
| Arquivos alterados | Regras curtas | Código ofuscado |
Recomendação direta: se o destino é externo e você não reconhece, trate como incidente e isole. Isso vale mesmo se “parar” depois de alguns testes.
Quando essa recomendação não vale: se você acabou de contratar uma plataforma de pagamentos ou antifraude que usa redirecionamento para checkout. Nesse caso, o domínio deve estar documentado e constante.
Checklist de identificação sem “achismo”
Você consegue chegar em evidência técnica sem depender de suposição. O objetivo é confirmar o caminho do redirecionamento e capturar o ponto de disparo. Isso reduz o tempo de correção.
Faça assim, em ordem:
- Teste em janela anônima e em outro navegador.
- Teste em 4G (tethering) e em Wi-Fi, para mudar IP.
- Abra o DevTools e registre o Status Code (301, 302, 200).
- Copie o “Location” do redirect e guarde o domínio de destino.
- Use um verificador de headers para ver cadeia de redirecionamento.
Um erro que custa caro é testar só estando logado. O invasor frequentemente ignora admin. O teste correto sempre inclui visitante anônimo.
Limpar sem reinfecção: o que muda o jogo
“Limpar” não é apagar um script e pronto. A correção real inclui fechar a porta e remover persistência. Senhas vazadas, FTP exposto e plugins desatualizados trazem o problema de volta.
O básico que precisa acontecer:
- Troca de credenciais: WordPress, hospedagem, FTP/SFTP, banco.
- Reinstalação de core: substituir /wp-admin e /wp-includes por originais.
- Validação de plugins: remover o que não é essencial e atualizar o resto.
- Revisão de temas: comparar functions.php e includes com versão limpa.
- Varredura no banco: localizar payload em wp_options e conteúdo.
Recomendação direta: prefira SFTP e desative FTP simples. Isso não vale quando sua hospedagem não suporta SFTP. Nesse caso, use senha forte e restrinja IP no painel.
Esse tipo de rotina entra no escopo de manutenção e segurança de WordPress. Quando a performance importa, a otimização vem junto. Um site reinfectado costuma ficar lento por scripts extras e chamadas externas.
Impacto legal quando há coleta de dados
Se o redirecionamento injeta código e captura dados, o risco deixa de ser só técnico. A preocupação vira conformidade e reputação. Um formulário desviado pode coletar dados pessoais em domínio de terceiro.
Segurança de dados pessoais é a adoção de medidas técnicas e administrativas para proteger informações contra acessos não autorizados e incidentes. A Autoridade Nacional de Proteção de Dados (ANPD) trata essa obrigação na Lei nº 13.709/2018 (LGPD), art. 46, que exige medidas de segurança para proteger os dados. Para donos de empresas, isso implica investigar redirecionamentos e conter vazamentos quando houver coleta. Ignorar o incidente pode agravar danos ao titular e aumentar o risco de responsabilização.
A governança de logs também entra no radar. O Comitê Gestor da Internet no Brasil (CGI.br) aponta a necessidade de cuidado com registros e dados de acesso, e o Marco Civil da Internet exige proteção e sigilo em condições específicas. O texto legal trata disso na Lei nº 12.965/2014, art. 10.
Como prevenir novos redirecionamentos
Prevenção não é só instalar plugin de segurança. O que funciona é reduzir superfície de ataque e controlar mudanças. Para WordPress, isso passa por versão, permissões, backups e observabilidade.
Um pacote mínimo de prevenção:
- Atualizações com janela definida e validação pós deploy.
- WAF na borda, com regras para exploits conhecidos.
- Backup diário com restauração testada, não só “backup feito”.
- Monitoramento de integridade de arquivos e alerta de alterações.
- Menos plugins, com curadoria e origem confiável.
Isso é parte de um serviço de manutenção, segurança e otimização para sites WordPress. Ele protege receita e reduz indisponibilidade. Se você opera em Barra Funda, São Paulo, vale combinar isso com uma rotina de revisão mensal para evitar urgências em horário comercial.
Perguntas Frequentes
Por que meu site redirecionando para outro só no celular?
Porque o redirecionamento pode estar condicionado ao User-Agent de mobile. Esse padrão é típico de ataque para reduzir detecção. Teste em 4G e em janela anônima para confirmar.
Um plugin de redirecionamento pode causar isso?
Sim. Plugins de cache, SEO e redirecionamento podem gerar 301/302. O critério é simples: o destino deve ser previsível e documentado, e não um domínio externo desconhecido.
Como saber se é 301 ou 302 e o que isso significa?
Você vê no DevTools, na aba Network: 301 é permanente e 302 é temporário. Ataques costumam usar 302 para alternar destinos e reduzir rastreio. Configurações legítimas de HTTPS e www também podem usar 301.
Se eu restaurar um backup, resolve?
Sim, se o backup for de antes da invasão e você também trocar senhas e corrigir a falha de entrada. Restaurar sem fechar a porta costuma reinfectar em horas ou dias. O backup resolve o sintoma, não a causa.
O Google pode bloquear meu site por causa disso?
Sim. O Google pode sinalizar o site como inseguro e reduzir visibilidade quando detecta redirecionamento malicioso e malware. O caminho prático é remover a causa e pedir reavaliação no Search Console.
Revisado pela equipe técnica de Programa Site Seguro. Especialistas em serviço de manutenção e segurança e otimização para sites WordPress em Barra Funda e região.
Se você quer tratar a raiz do redirecionamento e evitar reinfecção, conheça o Serviço | Remoção de Vírus WordPress.
Redirecionamento oculto quase sempre volta se a porta de entrada continuar aberta. Fale com a Programa Site Seguro agora mesmo.
Fale com um especialista para remover redirecionamentos
Se você gostou deste artigo, veja também:
- Como remover malware do site sem reinfectar: o passo a passo que funciona
- Limpeza de malware WordPress: sinais de infecção e como recuperar o site
- Limpeza de site wordpress hackeado: o checklist de emergência em 30 min
