Como proteger o wp-config.php do WordPress
O wp-config.php é o ficheiro mais sensível de uma instalação WordPress. Contém as credenciais da base de dados (nome, utilizador, palavra-passe), as chaves de segurança (authentication keys e salts), o prefixo das tabelas e configurações críticas do site. Se um atacante conseguir ler este ficheiro, tem acesso total à base de dados e pode comprometer o site inteiro.
Mover acima da raiz
O WordPress admite certas configurações com wp-config.php um nível acima da instalação. Avalie a estrutura e as permissões antes de mover. A proteção depende de quem executa PHP e precisa de ler o ficheiro; teste numa cópia e não exponha backups por URL.
Proteger via .htaccess
Adicione esta regra ao .htaccess na raiz do site:
Este exemplo é ilustrativo. Adapte domínio, caminhos e valores ao ambiente e teste numa cópia antes de aplicar. Não repita constantes já definidas nem regras geridas por outra ferramenta.
<Files "wp-config.php">
Require all denied
</Files>Isto bloqueia qualquer acesso HTTP ao ficheiro, mesmo que alguém conheça o caminho.
Chaves de segurança
As authentication keys e salts no wp-config.php encriptam as cookies de sessão. Se suspeita que o site foi comprometido, gere novas chaves em api.wordpress.org/secret-key/1.1/salt/ e substitua no ficheiro. Isto invalida todas as sessões ativas e força todos os utilizadores (incluindo atacantes) a fazer login novamente.
Desativar edição de ficheiros
Adicione ao wp-config.php:
define( 'DISALLOW_FILE_EDIT', true );Isto desativa o editor de temas e plugins no admin do WordPress. Se um atacante ganha acesso ao admin, não consegue editar ficheiros PHP diretamente pelo navegador.
Proteger a configuração sem quebrar a instalação
O ficheiro contém credenciais e chaves, por isso não deve ser servido como texto nem ter cópias acessíveis por URL. Uma regra de bloqueio pode acrescentar proteção, mas não dispensa proprietário e permissões adequados.
Mover o ficheiro para um nível acima pode ser possível, mas depende da disposição das instalações e deve ser testado. Não aplique 400 ou 440 sem confirmar quem executa PHP e precisa de o ler. Guarde uma cópia protegida e valide a administração e as tarefas após qualquer mudança.
Como verificar a proteção sem criar uma falsa sensação de segurança
Uma instalação protegida combina medidas no servidor com medidas na aplicação. Atualize os componentes mantidos pelos respetivos fabricantes, elimine extensões que já não utiliza, aplique permissões adequadas e proteja as contas de administração. Uma firewall pode bloquear determinadas tentativas, mas não corrige vulnerabilidades de um plugin desatualizado.
Registe os eventos relevantes e confirme a existência de backups recuperáveis antes de intervenções de maior risco. Se houver suspeita de comprometimento, preservar registos e identificar o ponto de entrada é tão importante como repor os ficheiros. Limpar apenas a página afetada pode deixar contas fraudulentas ou tarefas maliciosas ativas. A resposta deve distinguir contenção, análise, recuperação e prevenção de reincidência.
Quando o alojamento WordPress faz a diferença
Os planos WordPress da Lusitec combinam armazenamento NVMe, ferramentas de otimização e suporte técnico especializado. A escolha deve ter em conta plugins, base de dados, tráfego e dependências da aplicação. O alojamento adequado cria boas condições de funcionamento, mas a manutenção e a qualidade do próprio site continuam a ser essenciais.
Três sinais de que o alojamento merece ser revisto
O primeiro sinal é a repetição de limites de recursos em horários normais. O segundo são os erros que afetam operações essenciais, como a submissão de formulários ou o pagamento numa loja. O terceiro é a impossibilidade de recuperar uma falha por falta de acessos ou cópias de segurança. Antes de mudar, anote os horários e as páginas afetadas, bem como alterações recentes ao site.
Um plano superior só resolve o problema se a limitação estiver relacionada com a capacidade. Se a causa for uma consulta ineficiente, um plugin incompatível ou uma tarefa agendada em excesso, o custo pode aumentar sem melhoria real. É por isso que valorizamos na Lusitec o diagnóstico técnico antes da recomendação comercial.
Comparar ofertas sem perder de vista a continuidade
Quando compara fornecedores, peça a mesma informação: recursos, backups, apoio técnico, renovação e condições de migração. A presença de SSL e de um painel conhecido é importante, mas não substitui uma verificação das responsabilidades de cada parte. Os planos de alojamento web da Lusitec incluem SSD NVMe, cPanel e certificados SSL, entre outros recursos definidos por plano.
O suporte faz parte da experiência. Em muitos pedidos, a primeira resposta é dada em menos de 15 minutos; isso não é um compromisso universal nem equivale ao tempo necessário para resolver um incidente complexo. Para um negócio que depende do site, o acesso a assistência técnica clara também tem valor.
Rever a proteção da configuração
Confirme permissões e exposição dos ficheiros sem alterar regras incompatíveis com o ambiente.
Podemos avaliar o alojamento do projeto. Veja os nossos planos de alojamento WordPress antes de decidir. Fale connosco se precisa de ajuda a escolher.