O WordPress alimenta uma grande parte dos sites do mundo, e essa popularidade o torna um alvo atraente para atacantes. A boa notícia é que a maioria dos ataques bem-sucedidos não resulta de fragilidades técnicas avançadas, mas de plugins desatualizados, senhas fracas e sites sem backups. Em outras palavras, um site que aplica regularmente as medidas básicas já está protegido contra a maioria dos ataques.
Neste artigo, primeiro descrevemos as medidas básicas que não precisam de nenhum plugin e depois explicamos o que os plugins de segurança fazem e como escolher um. Como os recursos dos plugins mudam de versão para versão, consulte a documentação atual de cada produto para detalhes.
Primeiro as medidas básicas
Um plugin de segurança não substitui uma base que está faltando. Primeiro conclua estas etapas:
- Não adie as atualizações. As vulnerabilidades de segurança no núcleo do WordPress, nos temas e nos plugins são fechadas com atualizações. Exclua os plugins e temas que você não usa.
- Use senhas fortes e exclusivas. Use um gerenciador de senhas; não deixe o nome de usuário do administrador como "admin".
- Ative a verificação em duas etapas. Pelo menos para contas de administrador e editor.
- Faça backups e teste a restauração. Um backup é o último recurso que vai salvá-lo depois de um ataque.
- Use HTTPS. Em um site sem certificado SSL, os dados de login trafegam sem proteção.
- Limite as permissões dos usuários. Não dê a todos o papel de administrador; siga o princípio do menor privilégio.
- Instale plugins e temas de fontes confiáveis. Pacotes sem licença ou de origem incerta carregam um alto risco de backdoor.
O que fazem os plugins de segurança?
Os plugins de segurança geralmente oferecem algumas de quatro funções: firewall (WAF), varredura de malware, proteção de login e monitoramento de alterações. Nem todo plugin é igualmente forte em todas essas áreas, então você precisa primeiro esclarecer o que necessita.
- Firewall: Bloqueia requisições maliciosas antes que cheguem ao site ou antes que o código do WordPress seja executado.
- Varredura: Procura nos arquivos código suspeito e arquivos do núcleo modificados.
- Proteção de login: Limita ataques de força bruta e adiciona verificação em duas etapas.
- Monitoramento: Registra quem alterou qual configuração e quando.
Comparação de plugins de segurança populares
| Solução | Abordagem | Ponto forte | Ponto de atenção |
|---|---|---|---|
| Wordfence | Firewall e scanner executados dentro do site | Versão gratuita ampla, varredura de malware | Usa recursos do servidor; pode ficar lento em hospedagens fracas |
| Sucuri | Firewall e serviço de limpeza baseados em nuvem | Filtra o tráfego antes de chegar ao site, suporte à limpeza após ataques | Recursos avançados dependem de um plano pago |
| Solid Security (antes iThemes Security) | Focado em reforço e proteção de login | Verificação em duas etapas, reforço de configurações, limites de login | A varredura pode não ser tão abrangente quanto a de outros |
| CleanTalk | Proteção contra spam baseada em nuvem | Bloqueia cadastros falsos em formulários e comentários, sem necessidade de captcha | Focado em spam, não em segurança geral; complementa outras camadas |
Em vez de procurar um "único plugin certo" nesta tabela, pense em combinações: um para firewall e varredura, outro para proteção contra spam. Não execute mais de um plugin de firewall no mesmo site; isso gera conflitos.
Não negligencie a proteção contra spam e cadastros falsos
O tráfego de robôs não produz apenas spam; ele incha o banco de dados por meio de formulários de cadastro, campos de comentários e formulários de contato, sobrecarrega o servidor e às vezes distribui links maliciosos. Soluções baseadas em nuvem, como o CleanTalk, filtram esse tráfego sem incomodar os visitantes. Esta camada é especialmente valiosa em lojas WooCommerce e sites de associados, já que tentativas de criação de contas falsas são comuns neles.
Backup: o último elo da segurança
Até o site mais bem protegido pode ser danificado um dia. Um erro de atualização, uma falha do servidor, um plugin defeituoso ou um ataque: em todos esses casos, o remédio é voltar a um backup limpo. Os backups devem ser guardados não no servidor onde o site está, mas em um local separado (armazenamento na nuvem, outro servidor). Plugins como o WPvivid Backup Bundle oferecem backups agendados, envio para armazenamento externo e restauração com um clique. Tão importante quanto fazer o backup é testar uma vez por mês se ele funciona, restaurando-o em um site de teste.
Qual plugin escolher? Um guia rápido
Se você administra um único blog e o orçamento é limitado, um plugin gratuito de segurança no site, uma boa solução de backup e a proteção contra spam costumam formar um trio suficiente. Se você administra uma loja virtual que é alvo constante, faz sentido adicionar também um firewall em nuvem, porque o tráfego ruim é filtrado antes de chegar ao seu servidor. Se você é uma agência que hospeda sites de clientes, a gestão centralizada e os relatórios regulares de segurança se tornam mais importantes para você do que os recursos do plugin.
Em todos os casos, depois de instalar o plugin, monitore os registros durante uma semana. Afrouxar uma regra que gera alarmes falsos é melhor do que deixar de perceber ameaças reais; mas você também precisa testar se um sistema que nunca gera alerta está realmente funcionando. Para isso, você pode fazer uma tentativa de login controlada e verificar se ela foi registrada.
Gerenciando vários sites
Se você é uma agência que administra sites de clientes, ou alguém com vários projetos, entrar em cada site separadamente para atualizar leva tempo e aumenta o risco de erro. Ferramentas de gestão centralizada como o MainWP Pro permitem acompanhar as atualizações, os backups e o status de todos os sites em um único painel. Do ponto de vista da segurança, isso reduz os atrasos nas atualizações.
Limpeza do banco de dados e dados desnecessários
Tabelas deixadas por plugins abandonados, rascunhos antigos e comentários de spam não afetam apenas o desempenho; eles também ampliam a superfície de ataque. Ferramentas como o Advanced Database Cleaner Pro ajudam a limpar esses resíduos com segurança. Sempre faça um backup antes de limpar.
Não esqueça o seu próprio computador
Se o computador que você usa para administrar o site for infectado, seus dados de login podem ser roubados. Execute um software de proteção atualizado nos dispositivos que você usa como administrador; soluções completas como o Kaspersky Premium Total Security acrescentam uma camada contra phishing e malware. Não acesse o painel administrativo em redes Wi-Fi abertas.
Reforço no servidor e nos arquivos
Além dos plugins, algumas configurações fortalecem significativamente o seu site. Você pode fazê-las pelo painel da sua hospedagem ou junto com o administrador do seu servidor:
- Versão atual do PHP: Versões do PHP que chegaram ao fim do suporte não recebem correções de segurança. Migre para a versão suportada mais recente pelo painel da hospedagem, testando a compatibilidade com os seus plugins.
- Desativar o editor de arquivos: Desabilitar o editor de arquivos de temas e plugins no painel administrativo dificulta que uma conta de administrador comprometida escreva código diretamente.
- Permissões de arquivos: Não conceda permissões de escrita mais amplas do que o necessário para arquivos e pastas; mantenha o arquivo de configuração (wp-config) fechado ao acesso.
- Pasta de envios: Bloqueie a execução de arquivos PHP na pasta onde ficam os envios dos usuários.
- XML-RPC: Se você não o usa, desative-o; ele é explorado com frequência em ataques de força bruta.
- Prefixo do banco de dados e enumeração de usuários: Ative configurações que impeçam que os nomes de usuário sejam listados de fora.
Algumas dessas configurações podem ser feitas com um clique pelos plugins de segurança; ainda assim, verifique se as ferramentas de segurança da própria hospedagem não entram em conflito com elas.
Rotina mensal de segurança
Segurança não é uma tarefa única que você faz e esquece; é um hábito pequeno, mas regular. Reserve uma hora por mês para revisar esta lista: a lista de contas de administrador e editor está atualizada? Os plugins não utilizados foram excluídos? Os backups estão de fato sendo criados? Há um aumento incomum nos relatórios de tentativas de login? A data de vencimento do certificado SSL está se aproximando? Há algum alerta de segurança no Search Console? Quando essas verificações fazem parte de uma rotina com um pequeno lembrete no calendário, os problemas são percebidos antes de crescer.
Como saber que foi atacado?
- Páginas ou títulos que você não reconhece aparecem nos resultados de busca.
- Redirecionamentos ou pop-ups inesperados aparecem no seu site.
- Aparecem contas de administrador que você não reconhece.
- Sua hospedagem envia um alerta sobre uso excessivo de recursos ou malware.
- O site fica lento ao abrir, e o navegador exibe um aviso de segurança.
Nesse caso, primeiro coloque o site em modo de manutenção, troque as senhas, volte a um backup limpo e não reabra o site antes de fechar a vulnerabilidade. Se você não conseguir resolver sozinho, consulte um especialista em segurança.
Para necessidades de plugins e temas, você pode consultar a categoria Plugins e Temas do WordPress; na LisansX, a entrega é digital e as versões licenciadas recebem atualizações.
Perguntas Frequentes
Um plugin de segurança gratuito é suficiente?
Para um blog pequeno, muitas vezes é suficiente. Para sites que hospedam e-commerce, área de associados ou dados de clientes, devem-se considerar planos pagos para recursos premium, suporte e regras de firewall.
Um plugin de segurança deixa o site mais lento?
Plugins que executam dentro do site consomem recursos do servidor e podem ser perceptíveis em hospedagens fracas. Soluções baseadas em nuvem tiram essa carga do servidor. Repita a medição de velocidade após a instalação.
Trocar o endereço de login do WordPress é útil?
Reduz robôs simples, mas não é uma medida de segurança por si só. Uma senha forte, a verificação em duas etapas e os limites de login são muito mais eficazes.
Com que frequência devo fazer backups?
Para sites com publicações diárias, backups diários, e para sites que mudam raramente, backups semanais são um ponto de partida razoável. Lojas que recebem pedidos precisam fazer backup do banco de dados com mais frequência.
