Como proteger o WordPress contra ataques (guia completo)
Atualizações, controlo de acessos, backups e monitorização reduzem riscos, mas não existe uma percentagem universal de proteção. Mantenha um procedimento de recuperação e reveja o que mudou quando surge um alerta.
Manter tudo atualizado
A maioria dos hacks explora vulnerabilidades em versões antigas de plugins, temas ou do WordPress core. Ative as atualizações automáticas para patches de segurança e verifique manualmente as atualizações major pelo menos uma vez por semana. Elimine plugins e temas que não usa: mesmo desactivados, podem ser explorados.
Credenciais fortes
Não use “admin” como nome de utilizador: é o primeiro que os bots tentam. Use um nome único. Palavra-passe de pelo menos 16 caracteres gerada aleatoriamente. Ative autenticação de dois fatores (2FA) para todos os utilizadores com acesso ao admin: o Wordfence inclui esta funcionalidade gratuitamente.
Plugin de segurança
Instale o Wordfence Security. A versão gratuita inclui firewall de aplicação (WAF), scanner de malware, proteção contra brute force (limita tentativas de login), monitorização de alterações a ficheiros e bloqueio de IPs maliciosos. Configure a análise automática para correr diariamente.
Proteger ficheiros sensíveis
Bloqueie o acesso HTTP ao wp-config.php, xmlrpc.php (se não usa apps mobile ou Jetpack), e ao wp-includes/. Desactive a edição de ficheiros no admin com define( 'DISALLOW_FILE_EDIT', true ); no wp-config.php. Defina permissões corretas: 644 para ficheiros, 755 para pastas, 400 para wp-config.php.
Limitar acesso ao admin
Altere o URL de login com o plugin WPS Hide Login: de /wp-admin/ para algo personalizado. Limite o número de tentativas de login (Wordfence faz isto). Considere restringir o acesso ao admin por IP se acede sempre do mesmo local.
SSL/HTTPS
SSL é obrigatório: não opcional. Encripta toda a comunicação entre o visitante e o servidor, incluindo credenciais de login. Connosco, o SSL é gratuito e automático via Let’s Encrypt. Force HTTPS em todo o site.
Backups
Se tudo falhar: se apesar de todas as protecções o site for comprometido: um backup recente permite restaurar em minutos. Faça backups automáticos diários e mantenha pelo menos 7 dias de histórico. Guarde uma cópia fora do servidor (Google Drive, Dropbox).
Monitorização
Configure alertas para mudanças inesperadas: ficheiros modificados, utilizadores novos criados, plugins instalados. O Wordfence envia notificações por e-mail para eventos de segurança. Verifique o Google Search Console regularmente para alertas de segurança.
Reduzir acessos e dependências desnecessários
Reveja utilizadores administrativos, extensões instaladas e integrações. Cada acesso deve ter um responsável e uma finalidade. Retire contas e plugins que já não são usados, mantendo uma cópia adequada quando houver dados a preservar.
Combine atualizações, autenticação forte, backups e monitorização. Alterar o endereço de login ou ocultar uma versão não substitui corrigir vulnerabilidades. Um plugin de segurança ajuda em determinadas tarefas, mas não torna o site imune nem dispensa o acompanhamento do alojamento e da aplicação.
Escolha a solução pensando em quem vai manter o site
A funcionalidade pode parecer simples no dia da instalação e tornar-se difícil de manter quando muda a equipa. Antes de escolher um tema, plugin ou método de edição, confirme se os conteúdos podem ser atualizados sem intervenção no código, como são tratados os estilos e se existem dependências de licenças ou ferramentas externas.
Teste a edição de uma página real, a visualização no telemóvel e a recuperação após uma atualização. Se o projeto exige integrações, tipos de conteúdo personalizados ou regras de acesso, documente essas necessidades antes de instalar várias extensões. Num projeto empresarial, a melhor opção não é necessariamente a que tem mais funcionalidades; é a que responde aos requisitos e pode ser mantida de forma previsível.
Quando o alojamento WordPress faz a diferença
Os planos WordPress da Lusitec combinam armazenamento NVMe, ferramentas de otimização e suporte técnico especializado. A escolha deve ter em conta plugins, base de dados, tráfego e dependências da aplicação. O alojamento adequado cria boas condições de funcionamento, mas a manutenção e a qualidade do próprio site continuam a ser essenciais.
Um plano de reversão evita transformar uma melhoria num incidente
Antes de atualizar o WordPress ou acrescentar funcionalidades, confirme uma cópia recuperável e registe o que vai mudar. Teste depois o menu, os formulários, o acesso administrativo e a utilização no telemóvel. Numa loja, inclua carrinho, pagamentos e notificações. Alterar vários plugins ao mesmo tempo dificulta perceber qual deles provocou uma incompatibilidade.
Se o projeto utiliza código personalizado, mantenha documentação das dependências. Um procedimento simples de validação após alterações pode evitar problemas que só seriam descobertos por clientes dias depois.
A influência do alojamento no WordPress
O WordPress executa PHP, consulta uma base de dados e descarrega imagens, estilos e scripts. A infraestrutura influencia a resposta e os recursos disponíveis, mas não elimina problemas num tema ou plugin. Antes de recomendar mais memória, confirme onde surge o atraso.
A Lusitec disponibiliza alojamento WordPress com armazenamento NVMe, ferramentas de otimização e suporte prioritário. Para escolher, descreva os plugins essenciais, o número de visitas e as integrações. O suporte técnico é especialmente útil para distinguir limitações de recursos de erros da aplicação.
Proteger o site que recebe os seus clientes
Reveja acessos e componentes, mantendo um procedimento de recuperação para alterações e incidentes.
Para alojar o projeto, consulte os nossos planos de alojamento WordPress. Podemos analisar as necessidades do site. Fale connosco se precisa de ajuda a escolher.
Se já é nosso cliente, envie o contexto através de um pedido de suporte na nossa área de cliente.