Como sei se o meu tema é pirata?

Se você comprou por um valor muito abaixo do preço oficial, baixou de um site de downloads ou o painel não aceita a chave de licença, provavelmente é uma versão nulled. Atualizações que nunca chegam são outro sinal.

Trocar o tema resolve o problema?

Não sozinho. Código malicioso injetado costuma se espalhar para uploads, mu-plugins, o banco e até tarefas agendadas. Trocar o tema sem limpar o resto deixa a porta aberta.

Tema gratuito do repositório oficial é seguro?

É muito mais seguro do que um nulled: passa por revisão e recebe atualizações. A limitação é de recurso e originalidade, não de segurança.

O tema pirata de R$ 47 e a conta que chega depois

Tema nulled custa barato na compra e caro na manutenção. O que costuma vir junto, por que o backdoor sobrevive à reinstalação e o que fazer se você já usa um.

Quarenta e sete reais por um tema que custa duzentos dólares. A conta parece boa até o dia em que o site começa a redirecionar visitantes para uma página de apostas.

O que vem junto no pacote

Tema nulled é um tema comercial com a verificação de licença removida. Para remover a verificação, alguém precisou editar o código. E quem editou o código raramente parou por aí.

O que costuma aparecer nessas versões:

Backdoor de acesso: uma função que aceita comandos por parâmetro de URL, escondida em um arquivo de aparência inocente.
Injeção de links: links ocultos para sites de terceiros, inseridos no rodapé em display:none. Você hospeda SEO alheio de graça, e o Google pode entender que você faz parte do esquema.
Coleta silenciosa: envio de dados do painel para um servidor externo.
Código ofuscado: blocos em base64 que só são decodificados em tempo de execução, justamente para não serem lidos.

Nada disso aparece na primeira semana. O objetivo de quem distribuiu é durar.

Por que reinstalar não resolve

Quando um backdoor roda uma vez, a primeira coisa que ele faz é se replicar fora do tema:

um arquivo em wp-content/uploads/, que ninguém audita
um mu-plugin, que carrega automaticamente e não aparece na lista de plugins
um usuário administrador criado silenciosamente
uma tarefa agendada (wp_cron) que reinstala o resto se você limpar

Por isso trocar o tema e achar que acabou é o erro mais comum. O tema foi a porta de entrada, não o problema inteiro.

O custo real

Some o que um site comprometido cobra:

Item	Custo típico
Tema oficial que você não comprou	US$ 60–200, uma vez
Limpeza de malware	R$ 500–2.000
Perda de posição por marcação de “site enganoso”	semanas a meses de tráfego
Reputação com o cliente, se o site é de terceiro	difícil de recuperar

O tema de R$ 47 sai mais caro que o original na primeira ocorrência.

Se você já usa um

Vale agir na ordem:

Backup completo antes de qualquer coisa: arquivos e banco.
Procure o óbvio: base64_decode, eval(, gzinflate nos arquivos do tema.
Confira os administradores em Usuários e remova o que você não criou.
Liste os mu-plugins em wp-content/mu-plugins/, já que a maioria dos sites não usa nenhum.
Revise as tarefas agendadas e procure entradas com nomes aleatórios.
Troque todas as senhas, incluindo as do banco e do FTP/SSH.

Se algum passo revelar algo, o caminho seguro deixa de ser limpeza e passa a ser reconstrução a partir de um backup anterior à infecção.

A alternativa que quase ninguém considera

A escolha não é só entre “tema pirata” e “tema comercial caro”. Existe uma terceira opção que ficou viável recentemente: tema escrito do zero para o seu site.

Um tema sob medida não tem chave para quebrar, não carrega recurso que você não usa, e não compartilha vulnerabilidade com outros mil sites que rodam o mesmo código. Ele também tende a ser mais rápido, porque não precisa suportar quarenta casos de uso que não são o seu.

Código único não é luxo. É a única versão que não está publicada num fórum de downloads.