Backup do WordPress: como fazer do jeito certo (e testar)

Como fazer backup do WordPress do jeito certo: regra 3-2-1, arquivos e banco, frequência, plugins confiáveis, WP-CLI e como testar a restauração.

Backup de WordPress do jeito certo é arquivos + banco de dados, automático, guardado fora do servidor, com cópias de várias datas e testado de vez em quando. Na prática: use um plugin confiável (como o UpdraftPlus) ou o WP-CLI para gerar as cópias, mande para um armazenamento externo (Google Drive, Dropbox, S3 ou similar), mantenha várias versões e, pelo menos de tempos em tempos, restaure numa cópia do site para ter certeza de que funciona. Backup que nunca foi testado é só uma esperança.

O que um backup do WordPress precisa ter

Um site WordPress tem duas partes, e o backup precisa das duas:

Erros comuns: fazer backup só do banco (e perder todas as imagens) ou só dos arquivos (e perder todo o conteúdo). Outro erro é esquecer arquivos ocultos como o .htaccess e arquivos de configuração fora da pasta wp-content.

Dica: o núcleo do WordPress (wp-admin e wp-includes) pode ser baixado de novo a qualquer momento. O que é insubstituível é o banco, a pasta uploads, o wp-config.php e temas ou plugins personalizados.

A regra 3-2-1

É a regra mais conhecida de backup, e serve muito bem para sites:

• 3 cópias dos dados (o original e mais duas);
• em 2 tipos de armazenamento diferentes (por exemplo, o servidor da hospedagem e um serviço de nuvem);
• 1 cópia fora do lugar principal, longe do servidor do site.

Para um site pequeno, algo assim já atende: o site no ar, o backup automático da hospedagem e um backup do plugin enviado para uma nuvem sua. Para algo mais crítico, como uma loja, acrescente uma cópia periódica num segundo serviço ou baixada para um disco seu.

Uma variação útil é manter pelo menos uma cópia que não possa ser apagada a partir do site. Se um invasor tiver acesso ao WordPress e o plugin tiver permissão para apagar backups antigos na nuvem, ele pode apagar tudo. Serviços que guardam versões ou bloqueiam exclusão por um período (versionamento ou "object lock" em armazenamentos tipo S3) resolvem isso.

Por que o backup da hospedagem não basta

Muitas hospedagens fazem backup automático, e isso é ótimo como camada extra. Mas não conte só com ele:

• Mesmo fornecedor. Se a conta for suspensa, encerrada por falta de pagamento ou se a empresa tiver um problema, o backup vai junto.
• Retenção curta. Alguns guardam poucos dias. Uma invasão percebida depois de duas semanas pode não ter mais nenhuma cópia limpa.
• Restauração limitada. Às vezes é paga, demorada, feita só pelo suporte ou só da conta inteira.
• Você não controla. Não sabe exatamente o que entra, quando roda e se funciona.

Antes de confiar, pergunte à sua hospedagem: com que frequência, quantos dias são guardados, onde ficam, se a restauração é gratuita e se dá para baixar o arquivo.

Frequência: quanto você aceita perder?

A frequência certa é a resposta para "se o site quebrar agora, quantas horas de trabalho eu posso perder?".

Faça também um backup manual antes de qualquer mudança grande: atualizar o WordPress, trocar o tema, instalar plugin novo, mexer no banco.

Guardar cópias antigas é importante por um motivo pouco óbvio: invasões costumam ficar quietas por semanas. Se você só tem os últimos três dias, talvez todos já estejam infectados.

Plugins de backup conhecidos

Estes são plugins reais e amplamente usados. Confira sempre as versões e preços atuais no site de cada um:

• UpdraftPlus: um dos mais populares. A versão gratuita faz backup agendado de arquivos e banco e envia para Google Drive, Dropbox, S3 e outros. A versão paga acrescenta backup incremental, mais destinos e migração.
• Duplicator: muito usado para migrar e clonar sites, gera um pacote com instalador. Também faz backup, com agendamento na versão paga.
• BackWPup: gratuito para o essencial, com envio para diversos destinos.
• Jetpack VaultPress Backup: serviço pago da Automattic, com backup em tempo real e restauração com um clique, guardado nos servidores deles.
• BlogVault: serviço pago com backup incremental fora do servidor e ambiente de teste.
• All-in-One WP Migration: popular para migração; útil para cópias manuais, mas a versão gratuita tem limitações para sites grandes.

Qualquer um deles funciona bem se respeitar o essencial: destino fora do servidor, agendamento automático e várias versões guardadas. Evite deixar os backups só na pasta do próprio site (wp-content/...), onde podem ocupar espaço, ser baixados por terceiros se a pasta estiver exposta ou ser apagados junto com o site.

Backup com WP-CLI (para quem tem SSH)

Se a hospedagem oferece SSH e WP-CLI, dá para fazer backup completo em dois comandos:

cd /caminho/do/site

# Banco de dados
wp db export ~/backups/banco-$(date +%F).sql

# Arquivos (inclui ocultos como .htaccess)
tar -czf ~/backups/arquivos-$(date +%F).tar.gz -C /caminho/do/site .

O wp db export lê as credenciais do próprio wp-config.php, então você não precisa escrever a senha do banco no comando nem no script. Coloque os backups fora da pasta pública do site (no exemplo, em ~/backups) e depois envie para um destino externo com uma ferramenta como o rclone, que conversa com Google Drive, S3, Dropbox e outros:

rclone copy ~/backups remoto:backups-meusite

Dá para agendar tudo num cron da hospedagem e apagar as cópias locais antigas:

find ~/backups -type f -mtime +14 -delete

Como testar a restauração

Este é o passo que quase ninguém faz e o que mais importa. Uma vez por trimestre (e sempre que trocar de plugin ou de hospedagem), faça o teste:

1. Crie um ambiente separado: um subdomínio de teste na hospedagem, um ambiente de staging ou uma instalação local (ferramentas como Local ou DDEV ajudam).

2. Restaure os arquivos do backup nesse ambiente.

3. Importe o banco:

   wp db import banco-2026-11-04.sql
   

4. Ajuste o endereço, se estiver usando outro domínio:

   wp search-replace "https://seusite.com.br" "https://teste.seusite.com.br" --skip-columns=guid
   

   O search-replace do WP-CLI trata dados serializados corretamente, o que um "localizar e substituir" no editor de texto não faz.

5. Confira: as páginas abrem? As imagens aparecem? Dá para fazer login? Os últimos posts e pedidos estão lá?

6. Anote quanto tempo levou. Essa é a sua estimativa realista de tempo fora do ar numa emergência.

7. Apague ou proteja o ambiente de teste depois, para não deixar uma cópia esquecida e desatualizada aberta na internet (e bloqueie a indexação dele enquanto existir).

Checklist de backup

• Backup inclui banco e arquivos (com .htaccess e wp-config.php)
• Agendamento automático configurado
• Cópia fora do servidor da hospedagem
• Pelo menos uma cópia que o site não consegue apagar
• Várias versões guardadas (semanas, não dias)
• Backup manual antes de atualizações grandes
• Restauração testada nos últimos três meses
• Você sabe onde estão os backups e como acessar sem o painel do WordPress

Backup e segurança andam juntos

Backup não impede invasão, mas transforma um desastre em um contratempo. Se o site já foi invadido, cuidado ao restaurar: corrija a falha antes, ou ele volta a ser infectado. Os detalhes estão em o que fazer quando o site WordPress é invadido, e o resto da prevenção está no checklist de segurança para WordPress.

Se precisar de ajuda

Configurar backup é algo que você mesmo consegue fazer seguindo este guia. Se o problema já aconteceu e você precisa recuperar um site invadido, a Mobgeek faz a limpeza de site WordPress invadido a partir de R$ 790, com início em até 24h e 30 dias de garantia. Para outros casos, fale com a gente pelo orçamento.