Seu site está seguro?

A pergunta sobre segurança do site WordPress parece simples, mas a maioria das empresas não sabe responder com precisão. O site está no ar, o visual está ok e os pedidos chegam. Tudo bem, certo? Não necessariamente. Um WordPress desatualizado, com plugins vulneráveis ou com permissões de arquivos mal configuradas pode estar comprometido há meses sem dar nenhum sinal visível. Quando o problema aparece, costuma ser tarde.

Este guia foi escrito para gerentes, diretores e CEOs que já têm WordPress e querem saber, agora, se a instalação está saudável. Nada de teoria genérica. Nada de jargão de pentester. Perguntas diretas, respostas práticas, critérios objetivos para avaliar o risco real do site e o que fazer quando algo não está certo.

Por que a segurança do site WordPress é um risco de negócio, não só de TI

Empresas costumam tratar segurança digital como responsabilidade exclusiva da equipe de tecnologia. Quando um site WordPress é comprometido, as consequências saem do departamento de TI e chegam direto nas metas de negócio.

Um ataque de defacement (alteração visual do site por invasor) destrói reputação instantaneamente. Um site usado para enviar spam derruba a entregabilidade de todos os e-mails da empresa. Um formulário de contato comprometido vaza dados de leads para concorrentes. Uma página infectada com malware recebe etiqueta vermelha de aviso no Google, derrubando o tráfego orgânico a zero em questão de horas.

E há o LGPD. Se o seu site coleta dados pessoais (qualquer formulário, checkout, área de membros), uma violação obriga a empresa a notificar a ANPD e os titulares afetados. A multa máxima é de 2% do faturamento bruto, limitada a R$ 50 milhões por infração.

Segundo o relatório Sucuri Website Threat Research 2023, 96,2% dos sites WordPress infectados estavam com versão desatualizada do CMS ou de algum plugin no momento da infecção. Vulnerabilidade conhecida, patch disponível, site não atualizado.

O risco é quantificável. E começa sempre com as mesmas falhas.

Os 7 pontos que definem se o seu site está seguro

Antes de contratar qualquer serviço de segurança ou instalar qualquer plugin de proteção, avalie estes sete pontos. Eles cobrem a maioria dos vetores de ataque reais contra WordPress corporativo.

1. Versão do WordPress e dos plugins

A primeira pergunta é simples: quando foi a última atualização da instalação? WordPress, temas e plugins precisam estar na versão mais recente. Não existe “funciona, não mexe” em segurança. Cada versão desatualizada carrega CVEs (vulnerabilidades conhecidas publicamente) que atacantes escaneiam de forma automatizada.

Instale o plugin Site Health (já vem com o WP desde 5.1) e veja o painel em Ferramentas > Saúde do site. Qualquer item marcado como “Crítico” sobre versões precisa de ação imediata.

2. Permissões de arquivos e diretórios

Permissões incorretas são um dos vetores mais explorados em WordPress. O padrão seguro é: 644 para arquivos e 755 para diretórios. O arquivo wp-config.php deve estar em 440 ou 600 (somente leitura pelo proprietário).

Permissões 777 (leitura, escrita e execução para qualquer usuário do servidor) em qualquer diretório do WordPress são um sinal crítico. Qualquer script malicioso que explore outra vulnerabilidade pode gravar arquivos e instalar backdoors.

3. Usuários e senhas

Quantos usuários têm papel de Administrador no seu WordPress? A resposta correta, na maioria dos casos, é uma ou duas pessoas. Quanto maior o número de administradores, maior a superfície de ataque por credenciais comprometidas.

Verifique também se a senha de cada administrador é única (não reutilizada em outros serviços), tem mais de 16 caracteres e inclui números e símbolos. Bots de força bruta quebram senhas fracas em minutos. A autenticação de dois fatores (2FA) elimina o risco de acesso indevido por senha, mesmo que ela seja vazada.

4. SSL e configuração HTTPS

HTTPS já não é diferencial. É mínimo. Um site sem certificado SSL válido exibe aviso de “Conexão não segura” no Chrome, o que destrói a credibilidade com qualquer visitante corporativo. Mas ter o certificado não é suficiente.

Verifique se todo o tráfego HTTP redireciona para HTTPS (301 no servidor, não apenas no WordPress). Verifique se não há conteúdo misto (mixed content): imagens, scripts ou fontes carregadas via HTTP dentro de uma página HTTPS. Ferramentas como o Why No Padlock? identificam esses problemas em segundos.

5. Backups funcionando

Backup não é segurança ativa. É o plano B quando a segurança ativa falha. E ela sempre pode falhar. A pergunta não é “temos backup?”, mas sim “quanto tempo levaria para restaurar o site a partir do backup mais recente?”

Se a resposta for “não sei” ou “nunca testamos a restauração”, o backup é de confiança zero. Backup sem teste de restauração é arquivo, não proteção. O repositório deve estar fora do servidor de hospedagem (armazenamento externo: S3, Google Drive, Dropbox), com rotação mínima diária para o banco de dados e semanal para os arquivos completos.

6. Logs de acesso e monitoramento

Um site seguro registra o que acontece nele. Isso inclui logins bem-sucedidos e tentativas falhas, alterações em arquivos do núcleo do WordPress, criação ou modificação de usuários, instalação e ativação de plugins.

Sem logs, você só descobre um ataque depois que o estrago está feito. Com logs, dá para detectar comportamento anômalo antes que ele escale. Plugins como WP Activity Log fazem esse registro sem impactar performance.

7. Hospedagem e configuração do servidor

A segurança do WordPress começa no servidor. Hospedagem compartilhada barata com configuração padrão não isola os sites entre si. Uma conta comprometida no mesmo servidor pode escalar privilégios e afetar os outros sites hospedados. Isso se chama cross-site contamination e é mais comum do que parece.

Servidores WordPress seguros desabilitam a execução de PHP em diretórios de upload, ativam cabeçalhos de segurança HTTP (como Content-Security-Policy e X-Frame-Options), usam Web Application Firewall (WAF) para bloquear payloads maliciosos antes que cheguem ao WordPress e registram logs de acesso por padrão.

Se você tem dúvidas sobre a infraestrutura atual, o artigo sobre 9 sinais de hospedagem inadequada no WordPress lista os critérios objetivos para avaliar se o servidor está à altura do site.

Como fazer uma verificação rápida agora

Você não precisa de um pentest completo para ter uma primeira leitura da situação. Estas ferramentas gratuitas entregam um diagnóstico inicial em menos de 10 minutos.

Verificação de malware e reputação

O Google Safe Browsing (transparencyreport.google.com/safe-browsing/search) mostra se o Google identificou conteúdo malicioso no domínio. Se aparecer qualquer alerta aqui, o impacto no tráfego orgânico já está acontecendo.

O Sucuri SiteCheck (sitecheck.sucuri.net) faz uma varredura externa gratuita checando malware conhecido, reputação em listas negras de e-mail, configurações de segurança HTTP e status da versão do WordPress. Não é uma auditoria completa (não acessa arquivos internos), mas identifica problemas visíveis externamente.

Verificação de cabeçalhos HTTP

O Security Headers (securityheaders.com) avalia os cabeçalhos HTTP do servidor e dá uma nota de A a F. Cabeçalhos como Strict-Transport-Security, Content-Security-Policy e X-Content-Type-Options são configurados no servidor ou via plugin, e a ausência de cada um representa um vetor de ataque específico.

Painel de saúde do WordPress

Dentro do próprio painel WP, acesse Ferramentas > Saúde do site. A aba “Status” lista itens críticos e recomendações. A aba “Informações” detalha versões instaladas, configurações do servidor e status de plugins. É o ponto de partida mais rápido para um diagnóstico interno.

Sinais de que o site pode estar comprometido

Nem todo comprometimento é óbvio. Alguns atacantes preferem permanecer invisíveis, usando o servidor para enviar spam ou hospedar páginas de phishing sem alterar nada que você veja no frontend. Mas há sinais que escapam ao controle deles.

Comportamento estranho no frontend

Redirecionamentos inesperados para domínios externos, especialmente quando o acesso vem de dispositivos móveis ou de resultados do Google, são um sinal claro de conditional redirect malware. O site parece normal quando você acessa direto pelo navegador, mas quem chega pelo Google é redirecionado para outra página.

Pop-ups que você não instalou, anúncios em locais onde não havia, textos em outros idiomas injetados no rodapé da página. Tudo isso indica injeção de código.

Alertas externos

Se o Google Search Console enviou um e-mail de “ação manual” ou se apareceu um aviso de “Este site pode ter sido hackeado” nos resultados de busca, o comprometimento já é conhecido pelo Google. Isso é uma emergência. O impacto no tráfego orgânico começa imediatamente e pode durar semanas mesmo após a limpeza.

Da mesma forma, se clientes ou contatos relatam que e-mails da empresa chegam na pasta de spam, o domínio pode estar na lista negra de algum provedor de e-mail por envio de spam via servidor WordPress comprometido.

Performance degradada sem causa aparente

Um servidor que passou a consumir muito mais CPU e memória sem mudanças de tráfego pode estar executando scripts maliciosos. Cryptomining em servidores de sites WordPress é um vetor explorado desde 2019 e ainda ativo: o atacante usa a capacidade de processamento do servidor para minerar criptomoedas sem você saber.

Se o seu plano de hospedagem enviou alertas de consumo excessivo de recursos sem que o tráfego tenha aumentado, essa hipótese precisa ser investigada. O post sobre impacto de instabilidade no SEO aborda o que acontece com o ranqueamento quando o servidor oscila.

O que fazer se identificar um problema

Descobrir que o site tem uma vulnerabilidade ou foi comprometido é desconfortável, mas reagir de forma desorganizada agrava o problema. Há uma sequência lógica para responder.

Isolar antes de limpar

Se o site está ativamente comprometido (malware detectado, redirecionamentos indevidos, conteúdo injetado), colocar uma página de manutenção enquanto o site é limpo é mais inteligente do que deixá-lo infectado no ar. Cada minuto que um usuário acessa um site infectado é um risco real para ele e para a reputação da empresa.

Restaurar ou limpar

Se há backup limpo recente, restaurar é geralmente mais rápido e confiável do que tentar limpar um site comprometido. A limpeza manual é trabalhosa e exige identificar todos os pontos de infecção, incluindo backdoors escondidos em arquivos de temas e plugins que parecem legítimos.

Se não há backup, a limpeza precisa ser feita com ferramentas especializadas (Sucuri, Wordfence, MalCare) e com revisão manual dos arquivos alterados. Após qualquer limpeza, redefinir todas as senhas (WordPress, banco de dados, FTP, painel de hospedagem) e revogar todas as sessões ativas é obrigatório.

Entender a causa raiz

Limpar o malware sem entender como ele entrou é garantia de reinfecção. O atacante deixou uma porta aberta: plugin vulnerável, senha comprometida ou permissão incorreta. Sem fechar essa porta, o ciclo se repete.

Uma auditoria WordPress completa identifica a causa raiz, mapeia todas as vulnerabilidades abertas e define um plano de remediação com priorização por risco. Não é um processo pontual: sites corporativos devem passar por auditoria pelo menos uma vez por ano.

Segurança contínua versus reação a incidentes

Existe uma diferença de custo significativa entre manter segurança preventiva e reagir a um incidente. Em segurança de WordPress, como em qualquer área de risco operacional, prevenir é muito mais barato do que remediar.

Um ataque bem-sucedido a um site corporativo envolve: horas de trabalho técnico para limpeza e restauração, possível indisponibilidade enquanto o problema é resolvido, queda no tráfego orgânico enquanto o Google mantém o aviso de segurança, dano à reputação com clientes e parceiros que encontraram o site comprometido, e potencial notificação obrigatória à ANPD se dados pessoais foram expostos.

Comparado a isso, a gestão preventiva de segurança tem custo previsível e controlado. Ela cobre: monitoramento contínuo com alertas automáticos, atualizações regulares de plugins, temas e núcleo, backups testados periodicamente, revisão de usuários e permissões, e aplicação de patches de segurança assim que disponíveis.

O post sobre quanto custa a sustentação WordPress detalha o que está incluso em um contrato de gestão e como avaliar se o investimento faz sentido para o porte do site.

O papel do suporte especializado em WordPress

Gestão de segurança não precisa ser responsabilidade interna. Para a maioria das empresas, faz mais sentido contratar suporte especializado do que manter um profissional técnico dedicado exclusivamente a isso.

O que diferencia um suporte WordPress especializado de um genérico: conhecimento específico do ecossistema (saber quais plugins têm histórico de vulnerabilidade, como o núcleo do WordPress gerencia permissões, como configurar o servidor para WordPress), experiência com incidentes reais, não apenas manuais de segurança, e capacidade de agir rapidamente quando algo acontece.

Um site corporativo que gera leads, processa pedidos ou sustenta a reputação da empresa online não pode depender de suporte reativo. A equipe responsável pelo site precisa ser notificada antes que o problema chegue ao gerente.

O artigo sobre riscos de sites abandonados ilustra o que acontece quando o suporte ativo é interrompido: acúmulo de vulnerabilidades, queda gradual de performance, até o colapso que força uma intervenção emergencial cara.

Checklist de avaliação de segurança

Use esta lista para uma primeira avaliação da situação atual. Cada “não” é um item de ação.

• O WordPress, todos os plugins e o tema ativo estão na versão mais recente?
• As permissões de arquivos seguem o padrão 644/755, com wp-config.php em 600?
• O número de usuários Administrador está restrito ao mínimo necessário?
• Todos os administradores usam senhas fortes e únicas, com 2FA ativado?
• O certificado SSL está válido e todo o tráfego HTTP redireciona para HTTPS?
• Os backups são automáticos, diários para o banco de dados, e armazenados fora do servidor?
• A restauração do backup foi testada nos últimos 6 meses?
• Há monitoramento de atividade e logs de acesso ativos?
• O Google Search Console não mostra alertas de segurança ou ações manuais?
• O serviço de hospedagem oferece isolamento entre contas e WAF ativo?

Se três ou mais itens ficaram como “não”, o site tem vulnerabilidades abertas que precisam de ação agora.

Perguntas frequentes sobre segurança em WordPress

Com que frequência devo atualizar plugins e temas do WordPress?

Sempre que uma atualização estiver disponível, especialmente se ela corrige uma vulnerabilidade de segurança. Para plugins de alta criticidade (formulários, e-commerce, cache), o prazo máximo entre verificação e atualização deve ser de 72 horas após a disponibilização. Para atualizações do núcleo do WordPress, o prazo deve ser ainda menor.

Plugin de segurança substitui uma auditoria profissional?

Não. Plugins de segurança como Wordfence ou MalCare fazem monitoramento automatizado e bloqueiam ataques conhecidos. O que eles não identificam: configurações incorretas de servidor, lógica de permissões mal implementada, plugins com código proprietário vulnerável ou backdoors sofisticados. A auditoria profissional complementa os plugins, não substitui.

O que é um backup seguro para WordPress?

Um backup seguro tem quatro características: é automático (não depende de ação manual), é recente (banco de dados com no máximo 24 horas, arquivos com no máximo 7 dias), está armazenado fora do servidor de hospedagem (caso o servidor seja comprometido, o backup não é afetado), e foi testado por restauração em ambiente separado para confirmar que funciona.

O site recebe pouco tráfego. Vale a pena se preocupar com segurança?

Sim. Ataques automatizados não discriminam pelo volume de tráfego. Bots varrem a internet buscando instalações WordPress com versões vulneráveis, independente do tamanho do site. Um site pequeno comprometido é usado como infraestrutura para atacar outros alvos ou enviar spam em escala, o que causa dano real ao domínio e ao servidor mesmo que o site em si não seja o alvo principal.