Reforço da segurança do WordPress: uma checklist prática
A maioria dos sites WordPress invadidos cai por plugins desatualizados e acessos fracos. Esta checklist de reforço reúne os passos que fazem maior diferença.
O WordPress alimenta um número enorme de sites, o que faz dele um alvo constante de ataques automatizados. A maioria desses ataques não é sofisticada. Procuram versões antigas de plugins, adivinham palavras-passe fracas ou reutilizam credenciais divulgadas. É uma boa notícia: um punhado de hábitos consistentes trava a maior parte deles. Eis uma checklist que pode percorrer numa tarde.
Atualizações, inícios de sessão e acessos
Os plugins e temas desatualizados são a porta de entrada mais comum. Aplique prontamente as atualizações do núcleo do WordPress, dos plugins e dos temas, e remova tudo o que já não usa. Considere ativar as atualizações automáticas para as versões menores do núcleo e para os plugins em que confia, testando primeiro as alterações maiores numa cópia de staging. O nosso guia sobre como atualizar o WordPress em segurança explica a rotina.
Use credenciais fortes e únicas e autenticação de dois fatores
Use um gestor de palavras-passe e dê a cada conta uma palavra-passe longa e única. Adicione autenticação de dois fatores para administradores e editores. Não use admin como nome de utilizador e certifique-se de que o nome apresentado nos artigos públicos não é o nome de início de sessão.
Limite o acesso dos utilizadores
Dê às pessoas o perfil mais baixo que lhes permita fazer o seu trabalho. Um redator precisa de Autor ou Colaborador, não de Administrador. Remova as contas de quem já saiu. Menos administradores significa menos contas que podem ser comprometidas.
Página de início de sessão, HTTPS e configuração
Limite as tentativas de início de sessão falhadas e pondere adicionar um desafio ou restringir o acesso a /wp-login.php por endereço IP sempre que for prático. Uma firewall de aplicações web, como a proteção disponível através da Cloudflare, consegue bloquear muitos pedidos maliciosos antes de chegarem ao WordPress. Veja a nossa página de segurança para saber como abordamos isto ao nível do alojamento.
Use HTTPS em todo o lado
Sirva o site inteiro em HTTPS, incluindo a área de administração. Os certificados gratuitos Let's Encrypt estão incluídos no nosso alojamento; veja a página de SSL. Em wp-config.php pode forçar sessões de administração seguras:
define( 'FORCE_SSL_ADMIN', true );Desative a edição de ficheiros no painel
O WordPress permite que os administradores editem os ficheiros de plugins e temas a partir do painel. Se um atacante entrar, é uma ferramenta pronta a usar. Desligue-a:
define( 'DISALLOW_FILE_EDIT', true );Defina as permissões de ficheiros corretas
Os ficheiros devem, em geral, poder ser lidos pelo servidor web mas não ser graváveis por todos. Evite dar permissões totais às pastas para resolver um problema de carregamento; encontre antes o verdadeiro problema de propriedade. Mantenha o wp-config.php o mais restrito que a sua configuração permitir e nunca deixe cópias de segurança ou despejos da base de dados dentro da raiz web.
Cópias de segurança, origens e monitorização
A segurança é tanto sobre recuperação como sobre prevenção. Mantenha cópias de segurança automáticas guardadas fora do servidor web e teste o seu restauro. Se algo correr mal, uma cópia limpa é o seu caminho mais rápido de volta.
Instale software apenas de fontes de confiança
Use plugins e temas do diretório oficial ou do programador. O software premium pirata é uma fonte frequente de backdoors escondidas. Se uma licença for demasiado cara, procure antes uma alternativa mais leve.
Fique atento às alterações
Os plugins de segurança ou os serviços de monitorização podem avisá-lo de alterações em ficheiros, novas contas de administrador e atividade de início de sessão invulgar. Os alertas só ajudam se alguém os ler, por isso encaminhe-os para um endereço de email que consulte.
Reduza o que está exposto
- Elimine os temas e plugins que não usa, não se limite a desativá-los.
- Desative o XML-RPC se não o usar, ou restrinja-o.
- Oculte os números de versão quando for fácil, mas não confie na obscuridade.
- Use utilizadores de base de dados separados para sites separados, com palavras-passe fortes.
Mantenha saudável a camada do servidor
Reforçar o WordPress é só metade do trabalho. O servidor precisa de uma versão de PHP suportada, de atualizações atuais do sistema operativo e de isolamento entre contas. Nos planos partilhados e geridos isso é tratado por si; num VPS é responsabilidade sua.
Uma tabela rápida de reforço
| Área | Ação | Esforço |
|---|---|---|
| Atualizações | Núcleo, plugins e temas atualizados | Baixo |
| Contas | Palavras-passe fortes, 2FA, privilégio mínimo | Baixo |
| Configuração | Desativar a edição de ficheiros, forçar SSL na administração | Baixo |
| Cópias de segurança | Fora do servidor, com restauros testados | Médio |
| Firewall | WAF e limites de início de sessão | Médio |
Nenhum site é 100% seguro
Seja honesto quanto aos limites. O reforço reduz o risco; não o elimina. Tenha um plano para o que vai fazer se o site for comprometido e guarde os contactos de quem o vai ajudar.
Faça da segurança um hábito, não um projeto
A maior fragilidade da maioria das configurações de segurança do WordPress não é uma funcionalidade em falta, mas uma rotina em falta. Ponha um lembrete mensal no calendário para rever os utilizadores, verificar os plugins que deixaram de receber atualizações, ler os alertas de segurança e confirmar que uma cópia de segurança recente se restaura. Vinte minutos por mês valem mais do que uma sessão única de reforço que nunca mais é revista.
Escreva também quem tem acesso a quê: painel de alojamento, registador de domínios, contas de administrador do WordPress e quaisquer serviços de terceiros. Quando uma agência ou um freelancer termina um projeto, remova-lhe o acesso no mesmo dia.
Se só tem tempo para três coisas hoje, que sejam estas: atualizar tudo, ativar a autenticação de dois fatores para todos os administradores e confirmar que existe uma cópia de segurança recente fora do servidor. Respondem às formas mais comuns de comprometer sites e à forma mais importante de recuperar.
Segurança ao nível do alojamento
Um bom alojamento apoia o seu próprio reforço. O nosso alojamento WordPress inclui SSL gratuito, Plesk para gerir acessos e disponibilidade da CDN Cloudflare, e a nossa equipa de suporte responde a perguntas sobre como proteger o seu site em 17 idiomas.