Como Proteger o WordPress Contra Ataques (Guia Completo)
O WordPress é o CMS mais utilizado do mundo — e por isso é o mais atacado. Bots automatizados testam milhões de sites WordPress por dia, procurando vulnerabilidades conhecidas, passwords fracas e plugins desactualizados. A boa notícia: seguir boas práticas de segurança elimina 99% dos riscos.
Neste artigo
Manter tudo actualizado
A maioria dos hacks explora vulnerabilidades em versões antigas de plugins, temas ou do WordPress core. Active as actualizações automáticas para patches de segurança e verifique manualmente as actualizações major pelo menos uma vez por semana. Elimine plugins e temas que não usa — mesmo desactivados, podem ser explorados.
Credenciais fortes
Não use “admin” como nome de utilizador — é o primeiro que os bots tentam. Use um nome único. Password de pelo menos 16 caracteres gerada aleatoriamente. Active autenticação de dois factores (2FA) para todos os utilizadores com acesso ao admin — o Wordfence inclui esta funcionalidade gratuitamente.
Plugin de segurança
Instale o Wordfence Security. A versão gratuita inclui firewall de aplicação (WAF), scanner de malware, protecção contra brute force (limita tentativas de login), monitorização de alterações a ficheiros e bloqueio de IPs maliciosos. Configure o scan automático para correr diariamente.
Proteger ficheiros sensíveis
Bloqueie o acesso HTTP ao wp-config.php, xmlrpc.php (se não usa apps mobile ou Jetpack), e ao wp-includes/. Desactive a edição de ficheiros no admin com define( 'DISALLOW_FILE_EDIT', true ); no wp-config.php. Defina permissões correctas: 644 para ficheiros, 755 para pastas, 400 para wp-config.php.
Limitar acesso ao admin
Altere o URL de login com o plugin WPS Hide Login — de /wp-admin/ para algo personalizado. Limite o número de tentativas de login (Wordfence faz isto). Considere restringir o acesso ao admin por IP se acede sempre do mesmo local.
SSL/HTTPS
SSL é obrigatório — não opcional. Encripta toda a comunicação entre o visitante e o servidor, incluindo credenciais de login. Na Lusitec, o SSL é gratuito e automático via Let’s Encrypt. Force HTTPS em todo o site.
Backups
Se tudo falhar — se apesar de todas as protecções o site for comprometido — um backup recente permite restaurar em minutos. Faça backups automáticos diários e mantenha pelo menos 7 dias de histórico. Guarde uma cópia fora do servidor (Google Drive, Dropbox).
Monitorização
Configure alertas para mudanças inesperadas — ficheiros modificados, utilizadores novos criados, plugins instalados. O Wordfence envia notificações por e-mail para eventos de segurança. Verifique o Google Search Console regularmente para alertas de segurança.