Se o site da sua empresa saiu do ar, a causa mais provável é uma das três: domínio vencido, hospedagem suspensa ou uma atualização que quebrou alguma coisa. Se o site está no ar mas mostra conteúdo que você não colocou, redireciona para outro lugar ou o Google marcou como perigoso, ele foi invadido. Os dois casos têm uma ordem certa de ação, e a primeira regra vale para ambos: não saia clicando em tudo antes de entender o que aconteceu.
Primeiro: confirmar que caiu mesmo
Boa parte dos “meu site caiu” é problema na internet de quem está olhando. Antes de acionar alguém, três verificações de um minuto:
- Abra pelo celular usando os dados móveis, com o Wi-Fi desligado. Se abrir, o problema é na sua rede, não no site.
- Peça para alguém de outra cidade abrir. Um cliente, um fornecedor, um amigo.
- Leia a mensagem de erro, se houver. Ela diz muito. “Este domínio expirou” e “conta suspensa” apontam direto para a causa. “Erro 500” ou “erro ao estabelecer conexão com o banco” apontam para problema técnico no servidor.
Site fora do ar: as três causas que cobrem quase tudo
- Domínio vencido. A causa mais comum e a mais evitável. Você descobre entrando no Registro.br, ou no registrador onde o domínio foi comprado, e vendo a data. Pagou, volta em algumas horas. Passou muito do prazo, o domínio entra em período de liberação e pode ser registrado por outra pessoa. Por isso vale pagar por vários anos de uma vez, como está em quanto custa manter um site por ano.
- Hospedagem suspensa. Fatura em aberto, limite de recursos estourado ou violação de termos. O painel da hospedagem mostra o motivo. Aqui entra a pergunta que ninguém quer fazer na hora errada: em nome de quem está a hospedagem? Se não é o seu, você nem consegue entrar no painel, e esse cenário está em de quem é o seu site.
- Atualização que quebrou. Plugin, tema ou versão do sistema atualizados e incompatíveis entre si. O sintoma típico é o site cair logo depois de alguém mexer nele. A solução é restaurar o backup anterior à atualização, e por isso backup que ninguém nunca testou não serve.
Nos três casos, a pessoa certa para chamar é quem cuida do site, se existir, ou o suporte da hospedagem, que costuma resolver os dois primeiros e diagnosticar o terceiro.
Site invadido: o que fazer, na ordem
Os sinais de invasão são conteúdo estranho no site, geralmente em outro idioma ou com links de remédio e aposta, redirecionamento para outro endereço, aviso vermelho do Google dizendo que o site pode ser perigoso, ou e-mails estranhos saindo do seu domínio. A ordem de ação importa, porque agir errado apaga a pista de como entraram:
- Tire o site do ar temporariamente. Uma página de manutenção é melhor do que um site espalhando conteúdo malicioso para os seus clientes. A hospedagem faz isso em minutos.
- Troque todas as senhas, de um computador limpo. Painel do site, hospedagem, banco de dados, e-mail do administrador e FTP. Todas. Se a invasão veio de senha vazada, trocar só uma não resolve.
- Restaure um backup de antes da invasão. Aqui aparece a diferença entre quem tem backup diário guardado fora do servidor e quem descobre que o único backup estava no mesmo lugar que foi invadido.
- Atualize tudo antes de voltar ao ar. Sistema, tema, todos os plugins. A porta de entrada, na maioria dos casos, é um plugin desatualizado com falha conhecida. Restaurar o backup sem fechar a porta significa ser invadido de novo em dias.
- Remova o que não é usado. Plugin desativado continua sendo um arquivo no servidor e continua sendo porta. Tema antigo, usuário administrador que ninguém lembra quem é, tudo isso sai.
- Peça revisão ao Google. Se o site foi marcado como perigoso, o aviso só sai depois que você solicita revisão no Search Console, com o site já limpo. Leva de horas a alguns dias.
Se dados de clientes vazaram
Se o site guardava dados de clientes, nomes, e-mails, telefones, cadastros de loja, e há sinal de que foram acessados, a LGPD exige que a empresa comunique a ANPD e os titulares afetados em prazo razoável, e a ANPD já sinalizou três dias úteis como referência. Não é hora de esconder: a multa por omitir costuma ser maior do que a por ter sido invadido. Esse cenário pede advogado, e as obrigações básicas estão em LGPD no site da empresa.
O que teria evitado tudo isso
Quase todo site fora do ar e quase toda invasão têm a mesma origem: ninguém estava olhando. Quatro hábitos baratos cobrem a maior parte do risco. Domínio pago por vários anos, com o e-mail de aviso indo para alguém que lê. Atualizações aplicadas todo mês, não a cada dois anos. Backup diário guardado fora do servidor e restaurado pelo menos uma vez para provar que funciona. E um monitor gratuito que avisa por e-mail quando o site cai, para você saber antes do cliente.
Esses quatro itens são exatamente o que um serviço de manutenção entrega, e a diferença de custo entre ter e não ter aparece justamente no dia em que o site cai.
Perguntas frequentes
Quanto tempo leva para o site voltar?
Domínio vencido volta em algumas horas depois do pagamento. Hospedagem suspensa por fatura volta em minutos depois de quitar. Invasão, com backup bom, resolve em um dia. Invasão sem backup pode levar dias ou exigir reconstrução, e aí o tempo depende de quanto conteúdo existia.
Perdi tudo. Dá para recuperar o conteúdo?
Parcialmente, em geral. O cache do Google e o Internet Archive guardam versões antigas das páginas, o que recupera textos. Imagens e estrutura costumam se perder. A hospedagem às vezes tem backup próprio que você não sabia que existia, e vale perguntar antes de desistir.
Meu site é pequeno. Por que alguém invadiria?
Ninguém escolheu o seu site. Robôs varrem a internet inteira procurando qualquer site com uma falha conhecida e invadem automaticamente, para usar o servidor para enviar spam, hospedar golpe ou redirecionar visitantes. Tamanho não protege. Atualização protege.
O Google marcou meu site como perigoso. Isso some sozinho?
Não. Depois de limpar o site, você precisa pedir revisão no Search Console, na seção de problemas de segurança. Sem o pedido, o aviso fica. Com o pedido e o site limpo, sai em horas ou poucos dias.
Quem é responsável: eu ou quem fez o site?
Depende do que foi combinado. Site entregue e sem contrato de manutenção é responsabilidade de quem é dono, e a manutenção é sua. Com contrato de manutenção ativo, atualização e backup são obrigação do fornecedor, e uma invasão por plugin desatualizado é falha dele. Por isso o que está incluído precisa estar escrito.
Em resumo
Site fora do ar quase sempre é domínio, hospedagem ou atualização, nessa ordem de probabilidade. Site invadido pede tirar do ar, trocar senhas, restaurar backup e fechar a porta, também nessa ordem. E os dois cenários têm a mesma prevenção: alguém olhando todo mês. Faça hoje a verificação mais rápida desta lista: descubra quando o seu domínio vence e para qual e-mail vai o aviso.
