Resposta direta: em Portugal, a limpeza profissional de um site WordPress hackeado custa tipicamente entre 150€ e 600€ + IVA, dependendo da gravidade da infeção, da dimensão do site e da urgência. Casos com loja online, múltiplos sites na mesma conta de alojamento ou blacklist do Google ficam no intervalo superior. Este artigo explica o que faz variar o preço — e como distinguir uma limpeza a sério de um "scan e apagar ficheiros" que deixa a porta aberta para a reinfeção.
O que faz variar o preço de uma limpeza
Gravidade e antiguidade da infeção. Um malware detetado no próprio dia remove-se em poucas horas. Uma infeção com semanas já se espalhou: milhares de ficheiros modificados, spam indexado no Google, base de dados contaminada e, frequentemente, outros sites da mesma conta de alojamento também infetados (contaminação cruzada é a regra, não a exceção, em alojamento partilhado).
Dimensão e complexidade do site. Um site institucional de 10 páginas é diferente de uma loja WooCommerce com milhares de produtos e encomendas em curso, onde não se pode simplesmente "restaurar tudo de um backup" sem perder dados de clientes. Se tem uma loja, veja o nosso guia específico: loja WooCommerce hackeada — o que fazer.
Blacklist e penalizações. Se o Google já marcou o site como perigoso ou o desindexou, ao trabalho técnico soma-se o processo de remoção da blacklist do Google — pedido de revisão, documentação da limpeza e acompanhamento até o aviso desaparecer.
Urgência. Intervenção imediata fora de horário custa mais do que trabalho agendado. Para um negócio que fatura online, pagar urgência quase sempre compensa: cada dia com aviso vermelho no Google custa clientes.
Tabela de referência de preços (Portugal, 2026)
Valores que observamos no mercado português para limpeza profissional:
Infeção simples (site pequeno, malware recente, sem blacklist): 150€–250€.
Infeção média (SEO spam indexado, backdoors, aviso do Google): 250€–450€.
Infeção grave (loja online, múltiplos sites contaminados, reincidência): 450€–600€+.
Desconfie de dois extremos: serviços a 30€–50€ (normalmente um scan automático que remove os sintomas e deixa os backdoors) e orçamentos "à hora sem teto" — numa limpeza, o cliente deve saber o custo total antes de autorizar o trabalho. Peça sempre orçamento fechado após diagnóstico.
O que deve estar incluído numa limpeza profissional
Uma limpeza completa tem cinco entregáveis. Se o orçamento não os cobrir todos, está a pagar por meio trabalho:
1. Remoção do malware — análise de todos os ficheiros (não só os que um plugin sinaliza), comparação com os originais do WordPress e dos plugins, e limpeza da base de dados.
2. Remoção de backdoors e utilizadores maliciosos — a parte que os scans automáticos falham. É o que distingue uma limpeza duradoura de uma reinfeção em duas semanas.
3. Identificação da porta de entrada — plugin vulnerável, password comprometida, outro site na mesma conta. Sem saber como entraram, não é possível garantir que não voltam a entrar.
4. Hardening pós-limpeza — atualização de tudo, novas credenciais, firewall de aplicação (WAF) e correção das configurações que permitiram o ataque. A nossa checklist de segurança WordPress mostra o mínimo que deve ficar implementado.
5. Pedido de revisão ao Google (quando aplicável) — com evidência da limpeza, para remover avisos e recuperar a indexação.
O custo real não é a limpeza — é o tempo parado
Para a maioria das PMEs, os 150€–600€ da limpeza são a parte menor da conta. O custo real está no que acontece enquanto o site está comprometido: visitantes que fogem do aviso vermelho, posições no Google que demoram meses a recuperar, emails na pasta de spam dos clientes e, em lojas, vendas perdidas todos os dias.
É por isso que a pergunta certa não é "quanto custa a limpeza?" mas "quanto custa cada dia sem resolver?". E é também por isso que a prevenção é tão mais barata: um contrato de manutenção mensal WordPress — atualizações, monitorização e backups testados — custa uma fração de uma única limpeza de emergência e evita a maioria das infeções à partida. Fizemos as contas em detalhe em quanto custa realmente a manutenção WordPress.
Posso limpar o site eu próprio e poupar?
Tecnicamente sim, e escrevemos um guia honesto sobre isso: limpar malware sozinho vs contratar um profissional. O resumo: se o site não gera receita e tem backup limpo confirmado, vale a pena tentar. Se o negócio depende do site, o risco de uma limpeza incompleta (reinfeção, mais tempo em blacklist) custa mais do que a diferença de preço.
Site hackeado? Saiba hoje quanto custa resolver
Diagnóstico rápido e orçamento fechado antes de qualquer intervenção — sem surpresas. Limpeza completa com garantia: malware, backdoors, porta de entrada e revisão do Google incluídos.
Pedir diagnóstico e orçamento