Segurança no WordPress: o essencial

O WordPress é o sistema de gerenciamento de conteúdo mais usado do mundo. Essa popularidade tem um efeito colateral direto: quem cria ferramentas de ataque concentra esforço onde há mais alvos. Um site WordPress recém-publicado começa a receber tentativas de invasão em pouco tempo, sem que ninguém tenha escolhido a sua empresa como alvo.

Isso não torna o WordPress uma escolha ruim. Torna a segurança uma responsabilidade de operação, não um item opcional. A maior parte das invasões explora falhas básicas — software desatualizado, senha fraca, ausência de backup — e é por isso que um conjunto pequeno de práticas resolve muito. Este artigo apresenta esse essencial em linguagem de dono de empresa, sem exigir conhecimento técnico.

Por que o WordPress é alvo constante

Os ataques a sites pequenos raramente são pessoais. Na maior parte dos casos, são robôs automatizados que varrem a internet procurando instalações com vulnerabilidades conhecidas — quase sempre em plugins e temas desatualizados. Quando encontram uma, invadem sem intervenção humana. O objetivo costuma ser usar o seu site para enviar spam, hospedar páginas falsas ou redirecionar visitantes para outros endereços.

O ecossistema de plugins é a maior força do WordPress e também a sua maior superfície de risco. Cada plugin é um software de terceiro rodando dentro do seu site. Um plugin abandonado pelo autor, sem atualizações, tende a acumular falhas que ninguém vai corrigir.

As cinco práticas que resolvem a maior parte do risco

Atualizações em dia

Boa parte das atualizações de core, tema e plugins existe para corrigir falhas de segurança já conhecidas publicamente. Adiar a atualização é operar com uma porta que o próprio fabricante avisou estar aberta. A rotina saudável aplica atualizações com frequência, sempre com backup feito antes, para poder voltar atrás se algo quebrar.

Senha forte e autenticação em duas etapas

Senha curta, ou reutilizada de outro serviço, é o caminho mais barato para um invasor. Use senhas longas e únicas, guardadas em um gerenciador de senhas. A autenticação em duas etapas adiciona uma segunda confirmação no login — em geral um código no celular — e faz com que uma senha vazada, sozinha, não baste para entrar.

Limite de tentativas de login

Por padrão, o WordPress aceita tentativas de login em sequência, sem limite. Robôs se aproveitam disso testando combinações de usuário e senha de forma contínua. Limitar tentativas — bloqueando temporariamente quem erra repetidas vezes — corta esse tipo de ataque na raiz. É um recurso simples, disponível em plugins dedicados a essa única função.

Backup testado, não apenas feito

Backup que nunca foi restaurado é uma aposta. O arquivo pode estar corrompido, incompleto ou guardado no mesmo servidor que falhou junto com o site. Um backup confiável tem três características: é automático e frequente, fica armazenado fora do servidor do site e já passou por um teste real — alguém restaurou uma cópia e confirmou que o site volta inteiro.

Menos plugins, menos superfície

Cada plugin instalado é um ponto de entrada em potencial. Plugins desativados, mas não removidos, continuam no servidor e continuam exploráveis. A revisão periódica é simples: o que não está em uso sai; o que está em uso precisa estar atualizado e vir de autor que mantém o projeto ativo.

Sinais de que o site pode ter sido comprometido

Invasões raramente se anunciam. Os sinais costumam aparecer aos poucos:

• o site redireciona visitantes para endereços estranhos;
• aparecem páginas ou produtos que você não criou, às vezes visíveis apenas nos resultados de busca;
• o navegador ou o Google exibem aviso de site enganoso;
• surgem usuários administradores que ninguém cadastrou;
• a hospedagem notifica envio de spam a partir do seu domínio;
• o site fica lento sem mudança aparente.

Diante de qualquer um desses sinais, o caminho é trocar todas as senhas, acionar quem opera o site e, se necessário, restaurar um backup anterior à invasão — mais um motivo para o backup existir e estar testado.

O que cobrar de quem opera o seu site

Você não precisa executar nada disso pessoalmente, mas precisa saber cobrar. Quatro perguntas organizam a conversa:

1. Quem aplica as atualizações e com que frequência?
2. Onde ficam os backups e quando foi o último teste de restauração?
3. O login tem autenticação em duas etapas e limite de tentativas?
4. O que acontece, e em quanto tempo, se o site sair do ar?

Se as respostas forem vagas, o risco é seu — o domínio e a reputação em jogo são os da sua empresa. Segurança não é projeto que se faz uma vez: é parte da rotina mensal de manutenção. E ela se apoia numa base anterior ao próprio WordPress, como o certificado de segurança que explicamos no artigo sobre HTTPS e SSL.

Perguntas frequentes

Meu site precisa de um plugin de segurança?

Um plugin pode ajudar em funções específicas, como limitar tentativas de login ou detectar arquivos alterados. Nenhum plugin, porém, substitui o essencial: atualizações em dia, senha forte, autenticação em duas etapas e backup testado. Instalar um plugin de segurança sobre uma base descuidada dá sensação de proteção, não proteção.

A hospedagem já faz backup. Isso não basta?

Depende de três respostas: com que frequência o backup é feito, por quanto tempo as cópias ficam guardadas e se a restauração já foi testada. Com frequência o backup da hospedagem fica no mesmo servidor do site, o que não protege contra uma falha desse servidor. Uma cópia externa e um teste de restauração completam o que falta.

Meu site foi invadido. O que eu faço primeiro?

Troque imediatamente as senhas do painel do WordPress, da hospedagem e do e-mail associado à conta. Em seguida, acione quem opera o site para medir a extensão do problema e restaurar um backup limpo, anterior à invasão. Por fim, identifique a porta de entrada — em geral um plugin ou tema desatualizado — e feche-a, ou a invasão tende a se repetir.

A Azimute Comunicação constrói e opera sites WordPress com essa disciplina embutida: atualizações, backup testado e verificação contínua fazem parte dos contratos de operação, com escopo e condições publicados em nossa página de serviços.