Segurança do WordPress: 25 maneiras de proteger seu site WordPress

Garantir a segurança do seu site WordPress é crucial para protegê-lo de uma ampla gama de ameaças e vulnerabilidades potenciais. Este artigo explora 25 maneiras eficazes de proteger seu site WordPress. Abordamos práticas básicas como atualizar o núcleo do WordPress a estratégias mais avançadas, como implementar Web Application Firewalls (WAF). Em seguida, explicamos se o WordPress em si é seguro e o que causa a segurança fraca do WordPress. Terminamos discutindo as melhores ferramentas para proteger seu site WordPress.

1. Use uma Hospedagem WordPress Segura

A primeira maneira é usar uma hospedagem WordPress segura. Uma hospedagem WordPress é um serviço de hospedagem que especificamente suporta e otimiza a plataforma WordPress. Serviços de hospedagem WordPress seguros fornecem recursos avançados de proteção que protegem seu site de ameaças cibernéticas comuns a sites WordPress. Esses recursos incluem backups automatizados e agendados, varredura de malware e firewalls ativos. Optar pelo uso de uma hospedagem especializada em WordPress também garante melhor compatibilidade com atualizações e patches de segurança do WordPress.

2. Configure o SSL em seu site WordPress

A segunda maneira é configurar o SSL em seu site WordPress. O SSL (Camada de Soquete Seguro) é uma tecnologia de segurança que cria um link criptografado entre um servidor web e um navegador. A criptografia garante que todos os dados transmitidos entre seu site e os usuários permaneçam privados e íntegros. Isso protege informações confidenciais como credenciais de login e detalhes de pagamento, o que é particularmente importante para sites de loja virtual WordPress. O Google também prioriza HTTPS (sites com SSL) em relação a sites não seguros nos rankings de pesquisa, o que significa que tem um impacto na visibilidade do seu site.

Configure o SSL em seu site WordPress obtendo um certificado ssl de seu provedor de hospedagem ou de uma autoridade de certificação. A maioria dos provedores de hospedagem oferece fácil instalação gratuita de certificado ssl através de seus painéis de controle. Comece fazendo login no painel de controle de sua hospedagem e localizando as configurações de SSL/TLS. Selecione a opção para instalar um novo certificado e siga as instruções para gerar e ativá-lo. 

3. Mantenha o WordPress Core Atualizado

A terceira maneira é manter o WordPress Core atualizado. O WordPress Core é o software fundamental que executa o CMS (Sistema de Gerenciamento de Conteúdo) do WordPress. Ele compreende todos os principais arquivos e códigos que gerenciam a funcionalidade básica e a interface do usuário. Cada atualização do WordPress Core inclui patches para vulnerabilidades de segurança, melhorias e novos recursos que aprimoram o desempenho geral e a estabilidade do seu site.

Para atualizar o WordPress, navegue até o Painel e clique em ‘Atualizações’. Você pode ver todas as atualizações disponíveis para WordPress, temas e plugins nesta área. É crucial aplicar essas atualizações prontamente para proteger seu site contra ameaças conhecidas e garantir que ele funcione de forma eficiente.

4. Use um Tema WordPress Confiável

A quarta maneira é usar um tema WordPress confiável. Um tema WordPress é uma coleção de arquivos que trabalham juntos para determinar o design e a funcionalidade de um site WordPress (layout, esquemas de cores, estilo de fonte e estética geral). Milhares de temas WordPress estão disponíveis de vários desenvolvedores, mas nem todos são confiáveis ou seguros.

O uso de um tema confiável é crucial para a segurança e funcionalidade do seu site. Realize uma devida diligência completa para evitar temas que potencialmente contenham código malicioso (por exemplo, malware, links de spam) ou sirvam como portas de entrada para exploits. Opte por temas do repositório oficial de Temas WordPress ou de mercados confiáveis de temas WordPress de terceiros, como ThemeForest, Envato e Elegant Themes. Essas fontes garantem que os temas atendam a padrões específicos de qualidade e segurança, reduzindo assim o risco de vulnerabilidades de segurança em seu site.

5. Use Plugins WordPress Confiáveis

A quinta maneira é usar plugins WordPress confiáveis. Os plugins WordPress são complementos de software que estendem a funcionalidade de um site WordPress. Eles permitem que os usuários adicionem novos recursos e capacidades sem alterar o sistema principal.

É importante sempre baixar plugins de fontes confiáveis, como o Plugin Directory oficial do WordPress ou fornecedores estabelecidos de terceiros. Verifique se há atualizações recentes, o número de instalações ativas, avaliações dos usuários e a capacidade de resposta do suporte antes de instalar. Também verifique se o plugin é regularmente mantido e atualizado para se proteger contra possíveis vulnerabilidades de segurança. Evite usar plugins desatualizados ou mal avaliados, pois eles têm mais probabilidade de se tornarem riscos de segurança.

6. Mantenha os Plugins e Temas WordPress Atualizados

A sexta maneira é manter os plugins e temas WordPress atualizados. Os desenvolvedores lançam atualizações regulares para corrigir bugs, corrigir vulnerabilidades de segurança e adicionar novos recursos. Atualize seus plugins e temas navegando até a seção ‘Atualizações’ em seu Painel do WordPress. Esta seção exibe todas as atualizações disponíveis. Faça disso uma prática rotineira verificar se há atualizações e aplicá-las assim que estiverem disponíveis para um desempenho e segurança ideais.

7. Remova Plugins e Temas WordPress não Utilizados

A sétima maneira é remover plugins e temas WordPress não utilizados. Plugins e temas não utilizados ficam desatualizados e suscetíveis a vulnerabilidades de segurança se não forem atualizados regularmente. Para removê-los, navegue até a seção ‘Plugins’ ou ‘Aparência > Temas’ em seu Painel do WordPress. Desative quaisquer plugins ou temas que você não esteja usando e exclua-os do seu site. Essa limpeza não apenas reduz os riscos de segurança, mas também desorganiza o backend do seu site, o que facilita o gerenciamento.

8. Atualize as Permissões de Arquivo WordPress

A oitava maneira é atualizar as permissões de arquivo WordPress. As permissões de arquivo são regras que determinam quais usuários podem ler, gravar ou executar seus arquivos WordPress. Uma configuração recomendada é a configuração ‘755’. Isso significa que apenas o proprietário ou administrador tem permissões completas de leitura, gravação e execução, enquanto todos os outros usuários têm apenas permissões de leitura e execução.

Atualize essas permissões através do Gerenciador de Arquivos do painel de controle de sua hospedagem, um cliente FTP (Protocolo de Transferência de Arquivos) ou a linha de comando. Isso ajuda a evitar atividades maliciosas e garante que apenas alterações autorizadas sejam feitas em seu site.

9. Use um Web Application Firewall (WAF)

A nona maneira é usar um Web Application Firewall (WAF). Um WAF é uma barreira protetora colocada entre seu site WordPress e o tráfego de entrada. Ele efetivamente bloqueia solicitações maliciosas, tentativas de hacking e acesso não autorizado a dados. Os WAFs também detectam e impedem ataques como injeção de SQL, cross-site scripting (XSS) e outras ameaças comuns. Muitas soluções WAF estão disponíveis tanto como plugins diretamente integrados ao WordPress quanto como serviços externos fornecidos por empresas de segurança na web.

10. Mude a URL da sua Página de Login WordPress

A décima maneira é mudar a URL da sua página de login do WordPress. A URL da página de login do WordPress é o endereço web para onde os usuários vão para acessar a área administrativa do seu site WordPress.

2 endereços padrão típicos são ‘seudominio.com/wp-login.php’ ou ‘seudominio.com/wp-admin’, tornando-os caminhos bem conhecidos que os invasores costumam visar. Alterar essa URL torna-a menos previsível e reduz o risco de ataques de força bruta.

Mude a URL de login por meio de plugins de segurança que oferecem esse recurso (WPS Hide Login, iThemes Security e All In One WP Security & Firewall). Uma vez alterada, certifique-se de comunicar a nova URL de login para usuários legítimos enquanto a mantém oculta de possíveis atacantes.

11. Restrinja o Acesso às Páginas de Login WordPress

A décima primeira maneira é restringir o acesso às páginas de login do WordPress. Restringir o acesso às páginas de login do WordPress por endereço IP é um controle de segurança eficaz que limita as tentativas de login em seu site. Você cria listas de permissões apenas para endereços IP confiáveis, o que garante que apenas dispositivos desses IPs possam acessar as páginas de login administrativo.

Essa configuração é implementada por meio de dois métodos principais: usando um Web Application Firewall (WAF), como Cloudflare ou Sucuri, ou editando diretamente o arquivo .htaccess em seu servidor. O arquivo .htaccess é um arquivo de configuração usado em servidores web Apache que permite o gerenciamento de configurações do servidor no nível do diretório. Ele controla o acesso e o comportamento sem alterar os arquivos de configuração do servidor.

12. Use Nomes de Usuário e Senhas Fortes do WordPress

A décima segunda maneira é usar nomes de usuário e senhas fortes do WordPress. Um nome de usuário e senha são credenciais usadas para acessar o painel administrativo de um site WordPress. O nome de usuário serve como um identificador para diferentes usuários e a senha é uma chave secreta necessária para autenticar a identidade do usuário.

A grande maioria dos ataques visa pontos de acesso como ‘wp-admin’, ‘wp-login.php’ e ‘xmlrpc.php’ usando nomes de usuário e senhas comumente conhecidos. Evite usar nomes de usuário padrão como “admin” ou “administrador”. Escolha senhas complexas que incluam uma combinação de letras maiúsculas e minúsculas, números e caracteres especiais. Considere também implementar uma política de senha que exija que os usuários atualizem suas senhas regularmente e impeça a reutilização de senhas antigas. O uso de um gerenciador de senhas é altamente recomendado para ajudar a gerar e armazenar com segurança essas senhas fortes.

13. Adicione 2FA para Aprovar Logins WordPress

A décima terceira maneira é adicionar 2FA para aprovar logins WordPress. A autenticação de dois fatores (2FA) é um processo de segurança no qual os usuários fornecem duas formas distintas de identificação antes de acessar sua conta. O primeiro fator é normalmente a senha do usuário, e o segundo é um código gerado por um dispositivo que o usuário possui. A etapa de verificação adicional impede o acesso não autorizado, mesmo se uma senha estiver comprometida. Ative a 2FA em seu site WordPress instalando e configurando um plugin 2FA no WordPress Plugin Directory.

14. Limite as Tentativas de Login do WordPress

A décima quarta maneira é limitar as tentativas de login do WordPress. Limitar o número de tentativas de login é uma medida de segurança poderosa que ajuda a evitar ataques de força bruta em seu site WordPress. Um ataque de força bruta é uma tentativa de invasores usando scripts automatizados para tentar inúmeras combinações de nome de usuário e senha para obter acesso não autorizado. Você efetivamente impede esses ataques restringindo quantas vezes um usuário pode fazer login em um determinado período.

Implemente esse recurso de segurança usando um plugin ou configurando configurações em um Web Application Firewall (WAF). Isso garante que o usuário seja bloqueado por um período de tempo após um número definido de tentativas de login malsucedidas. Isso protege seu site contra tentativas contínuas de ataque.

15. Oculte sua Versão do WordPress

A décima quinta maneira é ocultar sua versão do WordPress. Uma versão do WordPress é uma versão específica do software WordPress que inclui atualizações, melhorias e patches de segurança. Cada versão é numerada e disponibilizada ao público pela equipe de desenvolvimento do WordPress.

Ocultar sua versão do WordPress ajuda a melhorar a segurança, ocultando a versão exata que você está usando, o que torna mais difícil para os invasores explorarem vulnerabilidades conhecidas específicas para essa versão. Ocultar sua versão do WordPress requer que você adicione código ao arquivo functions.php do seu tema. Para remover o número da versão de cabeçalhos e feeds RSS, adicione as seguintes linhas de código ao arquivo functions.php do seu tema:

Para evitar que o número da versão apareça nas meta tags, adicione as seguintes linhas de código ao arquivo functions.php do seu tema: 

16. Audite Funções e Privilégios de Usuários WordPress

A décima sexta maneira é auditar funções e privilégios de usuários WordPress. As funções e privilégios de usuários WordPress são um conjunto de permissões predefinidas que determinam quais ações um usuário executa no site. Cada função (por exemplo, Administrador, Editor, Autor, Colaborador e Assinante) tem recursos específicos que permitem aos usuários executar determinadas tarefas. Isso varia desde a publicação de posts e gerenciamento de plugins até a edição de outros usuários.

Auditar essas funções envolve revisar quem tem acesso ao seu site e quais permissões eles possuem. Certifique-se de que apenas o pessoal necessário tenha acesso administrativo e limite outras funções como Editor, Autor ou Colaborador apenas aos recursos necessários para executar suas tarefas. Isso minimiza o risco de alterações acidentais ou maliciosas em seu site.

17. Desconecte Usuários WordPress Ociosos Automaticamente

A décima sétima maneira é desconectar usuários WordPress ociosos automaticamente. Desconectar automaticamente usuários WordPress ociosos é uma medida de segurança proativa que impede o acesso não autorizado devido a sessões desacompanhadas. Isso é particularmente importante em ambientes onde os computadores são compartilhados ou em locais públicos.

Use o plugin Inactive Logout para WordPress para rastrear a atividade do usuário e desconectar automaticamente os usuários após um período especificado de inatividade. Ele efetivamente impede o acesso não autorizado a contas de usuário e protege informações confidenciais acessíveis através do painel do WordPress. Isso garante que sessões esquecidas não se tornem vulnerabilidades de segurança.

18. Remova Contas de Usuários WordPress não Utilizadas

A décima oitava maneira é remover contas de usuários WordPress não utilizadas. As contas de usuários WordPress não utilizadas geralmente são contas que pertencem a ex-membros da equipe que tinham funções como administrador, autor, editor ou webmaster.

Contas ativas que pertencem a indivíduos que já deixaram uma organização são um risco potencial de segurança. Essas contas se tornam pontos de entrada para ataques cibernéticos se suas credenciais forem comprometidas. Revisar e excluir regularmente as contas que não estão mais em uso garante que apenas usuários atuais e ativos tenham acesso ao seu site. Essa prática não apenas melhora a segurança, mas também ajuda a manter um banco de dados de usuários organizado e atualizado.

19. Fortaleça seu Site WordPress

A décima nona maneira é fortalecer seu site WordPress. Fortalecer seu site WordPress é o processo de implementar medidas de segurança adicionais para fortalecer as defesas de um site WordPress. Isso inclui 6 medidas principais por meio de modificações no arquivo .htaccess.

A primeira é restringir logins a um intervalo de IP. Isso impede tentativas de acesso não autorizado de fora de redes especificadas, permitindo apenas que dispositivos com endereços IP na lista de permissões alcancem a página de login.A segunda é proteger o arquivo wp-config.php do acesso público. A terceira é impedir a navegação de diretórios. A navegação de diretórios permite que invasores visualizem o conteúdo de diretórios em seu site, o que revela informações cruciais sobre a estrutura e os arquivos do seu site. A quarta é impedir o hotlinking de imagens. O hotlinking de imagens ocorre quando outros sites usam imagens hospedadas em seu servidor em seu conteúdo.

A quinta é bloquear includes. Includes se referem a código ou arquivos que são incorporados em uma página da web ou aplicativo usando declarações como include() e require() em PHP. Essas declarações permitem que os desenvolvedores incorporem o conteúdo de um arquivo em outro, o que facilita a reutilização de código. Os invasores podem explorar essas declarações para executar código malicioso em seu site se não estiverem devidamente protegidos. A sexta é impedir backdoors PHP. Backdoors PHP são scripts que são usados para executar ações maliciosas em seu site. Bloquear o acesso a esses scripts ajuda a proteger seu site contra ações e violações não autorizadas.

20. Desative o Relatório de Erros do PHP

A vigésima maneira é desativar o relatório de erros do PHP. O relatório de erros do PHP é um recurso do PHP que exibe mensagens de erro relacionadas à execução de scripts PHP. Essas mensagens incluem avisos, notificações e erros fatais que indicam problemas no código. Isso é útil para depuração durante o desenvolvimento, mas exibir esses erros publicamente em um site ao vivo revela informações confidenciais sobre a configuração do site ou caminhos de arquivos subjacentes para possíveis invasores. Recomenda-se desativar o relatório de erros do PHP em sites de produção para evitar que essas informações sejam expostas.

21. Desative o XML-RPC

A vigésima primeira maneira é desativar o XML-RPC.XML-RPC é um protocolo de chamada de procedimento remoto que permite que aplicativos externos solicitem serviços ou funções de seu site WordPress. Esse recurso é útil para permitir conectividade com outros sistemas, mas foi explorado no passado para ataques de força bruta e DDoS (Negação de Serviço Distribuída). Desativar o XML-RPC é recomendado para evitar esses tipos de ataques automatizados. Isso é alcançado através de um plugin de segurança ou adicionando regras ao arquivo .htaccess para bloquear o acesso ao arquivo xmlrpc.php.

22. Altere o Prefixo Padrão do Banco de Dados WordPress

A vigésima segunda maneira é alterar o prefixo padrão do banco de dados WordPress. O prefixo do banco de dados WordPress é uma string de caracteres usada no início de cada nome de tabela em um banco de dados WordPress. O WordPress usa ‘wp_’ como esse prefixo por padrão, mas isso é bem conhecido e frequentemente visado por hackers.

Mudar esse prefixo padrão para algo menos previsível atenua ataques de injeção SQL e outras ameaças de segurança relacionadas ao banco de dados. Essa alteração idealmente deve ser feita durante o processo de instalação do WordPress para evitar complicações. Aqueles com sites já operacionais devem atualizar cuidadosamente as tabelas do banco de dados e quaisquer referências no arquivo wp-config.php para o novo prefixo para garantir que a funcionalidade seja mantida sem lapsos de segurança.

23. Use um Plugin de Segurança WordPress

A vigésima terceira maneira é usar um plugin de segurança WordPress. Um plugin de segurança WordPress é uma ferramenta projetada para fornecer recursos abrangentes de segurança, como monitoramento em tempo real, varredura de malware e a capacidade de bloquear tráfego malicioso. Esses plugins também ajudam a implementar automaticamente muitas das práticas de segurança mencionadas anteriormente, como limitar tentativas de login, alterar prefixos de banco de dados e desativar XML-RPC. Os plugins de segurança WordPress são instalados diretamente através do painel do WordPress.

24. Examine Regularmente o Site WordPress em Busca de Malware

A vigésima quarta maneira é examinar regularmente seu site WordPress em busca de malware. Malware é um software malicioso projetado para se infiltrar, danificar ou desativar computadores e sistemas de computadores sem o consentimento do usuário. Ele infecta seu site por meio de vulnerabilidades em plugins, temas desatualizados ou até mesmo na instalação principal do WordPress. Essas infecções levam a roubo de dados, desfiguração de sites ou disseminação de malware para visitantes do site.

Utilize um plugin de segurança confiável ou um serviço dedicado de verificação de malware para detectar e remover qualquer código malicioso incorporado em seu site. Configure varreduras rotineiras (diárias, semanais ou conforme necessário) para garantir que qualquer malware seja rapidamente identificado e tratado.

25. Faça Backup do seu Site WordPress Regularmente

A vigésima quinta maneira é fazer backup do seu site WordPress regularmente. Um backup é uma cópia de todos os dados do seu site (por exemplo, arquivos, bancos de dados, configurações) que é armazenada separadamente do seu site ao vivo. Ter backups atualizados garante que você possa restaurar seu site WordPress de forma rápida e eficiente em caso de perda de dados, invasão ou outros problemas imprevistos.

Existem três maneiras de realizar backups. A primeira é através de um plugin WordPress, que automatiza o processo e fornece opções para armazenar backups em vários locais, como serviços de armazenamento em nuvem. A segunda é através do painel de controle de sua hospedagem, que fornece ferramentas para criar e gerenciar backups facilmente. A terceira é manualmente via FTP, onde você faz o download manual de todos os dados do site para o seu computador local ou outro local seguro. Agende backups com frequência, dependendo do volume de atualizações e alterações de conteúdo que seu site sofre. Isso garante que você sempre tenha um ponto de restauração recente disponível.

O WordPress é Seguro?

Sim, o WordPress é seguro quando devidamente mantido e configurado. O WordPress é um sistema de gerenciamento de conteúdo (CMS) que permite aos usuários criar, gerenciar e publicar conteúdo em um site com mais facilidade. O software principal é desenvolvido e mantido por uma comunidade dedicada e passa por atualizações regulares que incluem patches de segurança e melhorias. O WordPress está mais seguro quando os proprietários de sites estão por dentro de importantes atualizações do núcleo, temas e plugins e aderem às melhores práticas de segurança do WordPress.

Por que a Segurança do WordPress é Importante?

A segurança do WordPress é importante por cinco razões principais. A primeira é a proteção de dados confidenciais (dados pessoais e financeiros) dos visitantes do seu site. A segunda é para manter a confiança e a reputação do usuário. A terceira é para prevenir malware e ataques. A quarta é para garantir o tempo de atividade e o desempenho ideal do site. A quinta é a conformidade com os regulamentos para evitar multas. Saiba mais sobre segurança do site com nossos guias.

O que Causa Segurança Fraca do WordPress?

Existem quatro causas comuns de segurança fraca do WordPress. A primeira são nomes de usuário e senhas fracos. O uso de nomes de usuário simples e previsíveis como ‘admin’ ou ‘administrador’ e senhas facilmente adivinhadas são riscos significativos de segurança. Essas credenciais fracas são os primeiros alvos em ataques de força bruta onde os invasores tentam inúmeras combinações para obter acesso não autorizado.

A segunda é o software desatualizado. Não atualizar o núcleo do WordPress, plugins e temas para suas versões mais recentes deixa o site vulnerável a explorações que visam vulnerabilidades conhecidas em versões mais antigas do software.

A terceira são plugins e temas de baixa qualidade. O uso de plugins e temas mal codificados ou mantidos provavelmente introduzirá pontos fracos de segurança. Código malicioso ou apenas mal escrito fornece backdoors para os invasores explorarem, o que compromete o site.

A quarta é a falta de configurações de segurança adequadas. Não implementar medidas de segurança essenciais (por exemplo, configurar firewalls, proteger permissões de arquivos, proteger o diretório wp-admin) torna um site WordPress suscetível a ataques. 

Como Alterar os Nomes de Usuário do WordPress?

Existem 3 maneiras de alterar seu nome de usuário do WordPress. A primeira é criando um novo usuário e excluindo o antigo. A segunda é usando um plugin WordPress. A terceira é editando diretamente em seu banco de dados WordPress. Veja como fazê-lo especificamente em nosso guia sobre alterar seu nome de usuário WordPress.

Quais Ferramentas Posso Usar para Proteger um Site WordPress?

Existem 4 ferramentas que você pode usar para proteger um site WordPress. A primeira são os plugins de segurança WordPress. Esses plugins vêm em formas gratuitas e pagas. Eles se integram perfeitamente ao seu painel WordPress para permitir o gerenciamento conveniente das configurações de segurança de um só lugar.

O segundo são os provedores de hospedagem WordPress seguros. Escolha um provedor de hospedagem que priorize a segurança e ofereça suporte ativo para WordPress para reduzir significativamente as vulnerabilidades.

O terceiro são os Web Application Firewalls (WAF). Essas ferramentas filtram e monitoram o tráfego da web e bloqueiam solicitações maliciosas antes que elas cheguem ao seu servidor. O quarto são os Certificados SSL. Os certificados SSL (Camada de Soquete Seguro) protegem os dados trocados entre os usuários e o seu site.

O que um Plugin de Segurança WordPress Faz?

Um plugin de segurança WordPress oferece uma variedade de funções, como implementação de firewall, 2FA, varredura de malware e backups automáticos. Muitos plugins também fornecem monitoramento em tempo real e alertas para mantê-lo informado sobre qualquer atividade suspeita. Confira nossa lista dos melhores plugins de segurança WordPress para saber mais.

Quais são os Provedores de Hospedagem WordPress Seguros?

Os provedores de hospedagem WordPress seguros são Hostinger, TMDHosting, SiteGround e Kinsta.

Hostinger fornece recursos robustos de segurança, como backups automáticos e proteção em tempo real BitNinja (incluindo varredura e remoção de malware). TMDHosting oferece atualizações regulares, backups diários e firewalls baseados na web. SiteGround fornece sistemas anti-bot orientados por IA, verificações de integridade do servidor em tempo real e SSL gratuito. Kinsta oferece backups diários automáticos, pontos de backup manual, remoção de hacks e malware e 2FA. Saiba mais sobre como os melhores provedores de hospedagem WordPress protegem seus sites WordPress.