Um site WordPress protegido não depende de uma única ferramenta, e sim de hábitos aplicados de forma consistente. A maior parte dos incidentes que vemos em sites de pequenas e médias empresas não vem de ataques sofisticados, mas de brechas conhecidas que ficaram abertas. Estes são os cinco cuidados que revisamos em todo site que entregamos.

1. Mantenha tudo atualizado

Núcleo do WordPress, tema e plugins recebem correções de segurança com frequência. Quando uma vulnerabilidade é divulgada, a correção costuma vir em uma atualização, e sites que não a aplicam continuam expostos a uma falha pública, que qualquer pessoa pode tentar explorar.

Atualizar, no entanto, exige método. Uma atualização pode alterar o comportamento de um plugin ou de um recurso do tema. Por isso, testamos em um ambiente separado quando o site tem funções críticas, como uma loja virtual, e só depois aplicamos no site publicado, sempre com um backup recente.

2. Controle quem acessa o painel

Cada pessoa que mexe no site deve ter o próprio usuário, com o menor nível de permissão necessário para o trabalho. Quem apenas escreve artigos não precisa ser administrador. Compartilhar uma única conta entre várias pessoas impede saber quem fez cada alteração e dificulta bloquear um acesso quando alguém deixa a equipe.

Contas antigas, de ex-colaboradores ou de fornecedores que já concluíram o trabalho, devem ser removidas. Revisar a lista de usuários de tempos em tempos é uma tarefa simples e evita acessos esquecidos.

Segurança é menos sobre ferramentas e mais sobre rotina: o que se revisa com frequência não vira surpresa.

3. Ative a autenticação de dois fatores

Senhas vazam, são reaproveitadas em vários serviços e podem ser adivinhadas por tentativa. Com a autenticação de dois fatores, o login passa a exigir também um código gerado por um aplicativo no celular. Quem conhece apenas a senha não consegue entrar no painel.

Esse recurso faz parte dos critérios de segurança que adotamos em todos os projetos. Configuramos durante a entrega e orientamos a equipe do cliente a usar um aplicativo autenticador, sem complicação na rotina.

4. Proteja a página de login

A página de login é o alvo mais comum de ataques automatizados, que testam combinações de usuário e senha em grande escala. Um plugin de segurança, como o WP Cerber, limita as tentativas de acesso, bloqueia endereços suspeitos e registra a atividade, de modo que o ataque seja barrado antes de chegar ao painel.

Também recomendamos evitar o usuário padrão “admin”, que é o primeiro que um ataque tenta, e usar senhas longas e únicas, guardadas em um gerenciador de senhas.

5. Tenha backups e um plano de recuperação

Nenhuma proteção é absoluta. Por isso, o cuidado final é poder voltar atrás. Backups regulares, guardados fora do servidor onde o site está, permitem restaurar o conteúdo rapidamente caso algo dê errado, seja por um ataque, seja por uma atualização mal sucedida.

Um backup só tem valor se for testado. Vale simular uma restauração de tempos em tempos, para confirmar que os arquivos e o banco de dados voltam completos. Na hospedagem gerenciada e no plano de manutenção, esse cuidado faz parte da rotina.

Segurança começa no projeto

Esses cinco pontos funcionam melhor quando são pensados desde o início do projeto, e não como um ajuste de última hora. Se você quer revisar a segurança do seu site atual ou planejar um novo com esses cuidados, fale com a nossa equipe.