Como proteger um diretório com password no cPanel
Proteger um diretório com palavra-passe adiciona uma camada de autenticação HTTP antes de aceder ao conteúdo. É útil para áreas de staging, painéis de administração, pastas com ficheiros sensíveis ou conteúdo restrito a membros. O visitante vê uma janela de login do navegador antes de aceder à pasta.
Como configurar no cPanel
1. No cPanel, vá a Ficheiros → Directory Privacy (ou “Palavra-passe Protect Directories”).
2. Navegue até à pasta que quer proteger (ex: public_html/staging ou public_html/wp-admin).
3. Marque “Palavra-passe protect this directory” e dê um nome à área protegida (aparece na janela de login).
4. Crie um utilizador com palavra-passe. Pode criar múltiplos utilizadores com acesso.
5. Guarde. A pasta fica imediatamente protegida.
Proteger o wp-admin
Proteger a pasta /wp-admin/ com palavra-passe adiciona uma camada extra de segurança: mesmo que um atacante conheça as credenciais do WordPress, precisa de passar primeiro pela autenticação HTTP. É uma das protecções mais eficazes contra brute force.
Cuidado: se proteger o wp-admin, o AJAX do WordPress pode ser afetado (porque admin-ajax.php está dentro do wp-admin). Adicione uma exceção no .htaccess dentro de wp-admin:
Para esta operação, prefira a interface ou o procedimento documentado para o ambiente. Peça apoio técnico se precisa de alterar regras de servidor ou executar mudanças em massa.
Como funciona tecnicamente
A proteção por autenticação HTTP depende do servidor e da configuração. Use HTTPS e contas apropriadas. O ficheiro de credenciais deve ficar fora da área pública e guardar verificadores adequados, não palavras-passe legíveis.
Remover proteção
Volte a Directory Privacy no cPanel, navegue até à pasta e desmarque “Palavra-passe protect this directory”. A proteção é removida imediatamente.
Não bloquear recursos de que o site público depende
Uma proteção por palavra-passe pode servir para um staging ou pasta privada. Aplicá-la ao wp-admin sem testar pode afetar pedidos usados no interface pública, incluindo funcionalidades que dependem de admin-ajax.php.
Use HTTPS e contas apropriadas, sem partilhar o acesso administrativo principal. Teste como visitante e como editor depois da configuração. Um ficheiro .htpasswd guarda verificadores de palavra-passe, não uma garantia de proteção da aplicação. Reveja também os acessos e retire os que deixaram de ser necessários.
Trabalhe com uma cópia de segurança e um plano de reversão
As ferramentas de administração permitem executar alterações rápidas, mas uma configuração incorreta pode afetar todo o site. Antes de editar ficheiros, tarefas agendadas ou parâmetros do PHP, registe os valores atuais. Confirme que tem uma cópia recuperável e, quando possível, teste primeiro num ambiente que não receba visitantes.
Faça uma alteração de cada vez e valide as funcionalidades críticas: carregamento das páginas, acesso administrativo, formulários e, numa loja, carrinho e pagamentos. Evite publicar credenciais, ficheiros de configuração ou registos com informação pessoal ao pedir ajuda. Se surgirem erros, indique o momento da alteração e a mensagem exata; são dados que tornam a assistência técnica mais eficaz do que tentar várias correções simultaneamente.
Inclua as pessoas no plano de segurança
A tecnologia protege uma parte do serviço, mas muitas ocorrências começam com credenciais expostas, permissões antigas ou mensagens fraudulentas. Utilize palavras-passe únicas num gestor adequado, ative autenticação multifator quando disponível e defina quem pode aprovar alterações sensíveis. Nunca partilhe códigos de acesso numa resposta a uma mensagem inesperada.
O procedimento de recuperação deve ser conhecido antes de uma falha. Saiba quem administra o domínio, onde se encontram as cópias de segurança e como contactar o fornecedor. Após uma suspeita de incidente, registe os sintomas e preserve informação que possa ajudar a análise. A rapidez da reação é importante, mas alterações precipitadas podem apagar os elementos necessários para descobrir o que aconteceu.
Verificar o ambiente antes de seguir instruções
Os nomes dos menus podem mudar com versões ou permissões. Identifique o software, faça uma cópia de segurança e confirme que sabe regressar à configuração anterior. Alterações à base de dados, ao DNS ou aos ficheiros principais exigem cautela adicional.
Execute uma operação de cada vez e teste o resultado. Se aparecer um erro, registe a mensagem completa e o passo que o provocou. Repetir uma importação ou um restauro sem compreender o efeito pode criar duplicados ou perda de dados.
O que documentar depois do procedimento
Guarde a data, os valores alterados, as versões relevantes e os resultados dos testes. Se criou credenciais temporárias, reveja-as antes de concluir. Confirme ainda que as alterações não afetaram formulários, e-mail ou serviços ligados ao mesmo domínio.
Se pedir apoio à Lusitec, descreva os passos realizados e os erros observados, sem divulgar passwords ou chaves privadas. Uma descrição objetiva facilita um diagnóstico mais rápido.
Limitar o acesso ao material reservado
Identifique quem precisa de consultar os ficheiros e como serão retiradas permissões antigas.
Compare os nossos planos de alojamento web para escolher o serviço que corresponde ao projeto. Fale connosco se precisa de ajuda a escolher.