Como fazer uma auditoria de segurança ao seu site
Uma auditoria de segurança é uma revisão sistemática das defesas do seu site para identificar vulnerabilidades antes que alguém as explore. Não precisa de ser um especialista em segurança: seguir esta checklist regularmente (trimestralmente é ideal) reduz significativamente o risco.
Atualizações
Verifique se o WordPress core, todos os plugins e o tema estão na versão mais recente. Plugins desatualizados são a vulnerabilidade mais explorada. Verifique a versão de PHP: deve ser a mais recente suportada. Elimine plugins e temas desactivados que não usa: mesmo desactivados, o código está no servidor e pode ser explorado.
Utilizadores e credenciais
Reveja a lista de utilizadores do WordPress. Existem contas que não reconhece? Existem contas com nível Administrator que deveriam ser Editor? Cada utilizador tem palavra-passe forte? O 2FA está ativo para todos os admins? Remova contas inactivas ou desnecessárias.
Ficheiros e permissões
Verifique permissões: ficheiros devem ser 644, pastas 755, wp-config.php 400 ou 440. O wp-config.php contém credenciais sensíveis: se não está protegido via .htaccess e com permissões restritivas, está exposto. Verifique se existem ficheiros suspeitos na raiz do site: ficheiros PHP com nomes aleatórios podem ser backdoors.
Análise de malware
Execute uma análise completo com o Wordfence. Verifique ficheiros alterados (o Wordfence compara com versões originais). Análise externo com Sucuri SiteCheck para uma segunda opinião. Verifique no Google Search Console se há alertas de segurança.
SSL e HTTPS
O SSL está ativo e válido (não expirado)? Todo o site carrega em HTTPS (não só o login)? Não há mixed content? Use whynopadlock.com para verificar.
Backups
Os backups automáticos estão a funcionar? Quando foi o último backup? Teste a restauração: um backup que não restaura corretamente é inútil. Existe uma cópia fora do servidor?
Configurações de servidor
O directory listing está desactivado? O xmlrpc.php está bloqueado (se não usa)? Os security headers estão configurados (X-Frame-Options, X-Content-Type-Options, Content-Security-Policy)?
Definir âmbito e autorização da auditoria
Liste domínios, aplicações e componentes que podem ser testados. Combine os tipos de teste e a janela com quem gere a infraestrutura. Uma análise sem esse contexto pode causar carga ou gerar alertas sem valor.
Organize resultados por impacto e possibilidade de exploração, distinguindo suspeitas de falhas confirmadas. Atribua um responsável e valide cada correção. O relatório deve indicar o que foi verificado e o que ficou fora do âmbito, sem apresentar uma ausência de alertas como prova de segurança total.
Como verificar a proteção sem criar uma falsa sensação de segurança
Uma instalação protegida combina medidas no servidor com medidas na aplicação. Atualize os componentes mantidos pelos respetivos fabricantes, elimine extensões que já não utiliza, aplique permissões adequadas e proteja as contas de administração. Uma firewall pode bloquear determinadas tentativas, mas não corrige vulnerabilidades de um plugin desatualizado.
Registe os eventos relevantes e confirme a existência de backups recuperáveis antes de intervenções de maior risco. Se houver suspeita de comprometimento, preservar registos e identificar o ponto de entrada é tão importante como repor os ficheiros. Limpar apenas a página afetada pode deixar contas fraudulentas ou tarefas maliciosas ativas. A resposta deve distinguir contenção, análise, recuperação e prevenção de reincidência.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Camadas de proteção com funções diferentes
SSL, firewall, proteção contra malware e backups têm objetivos distintos. O HTTPS cifra a comunicação, mas não elimina vulnerabilidades de plugins. Uma cópia de segurança apoia a recuperação, mas não substitui prevenção. A firewall pode bloquear padrões de ataque sem impedir que uma password roubada seja utilizada.
Reveja periodicamente versões, utilizadores e permissões. A empresa deve saber o que é responsabilidade do alojamento e o que pertence à manutenção da aplicação. Esta distinção facilita a resposta quando surge um incidente.
Dar prioridade aos riscos que pode corrigir
Inventarie componentes e acessos, confirmando a origem dos alertas antes de intervir.
Conheça os nossos planos de alojamento WordPress e indique as funções que precisa de manter a funcionar. Fale connosco se precisa de ajuda a escolher.
Se já é nosso cliente, envie o contexto através de um pedido de suporte na nossa área de cliente.