Barra o ataque na porta
Um firewall analisa cada visita e bloqueia as tentativas de invasão mais comuns, como injeção de código e robôs atrás de brechas, antes de elas chegarem ao seu conteúdo.
Plugin gratuito · Código aberto · Em português
Seu WordPress protegido, sem precisar virar especialista em segurança.
Receba as novidades por e-mail. Avisamos quando sair versão nova, recurso ou correção.- (01)R$ 0, sem plano pago escondido
- (02)GPL, código aberto no GitHub
- (03)Em português, do painel ao e-mail
- (04)16 anos de Digital Pixel no WordPress
Desde 2010
16 anos de foco exclusivo em WordPress, pela Digital Pixel.
O DPXL Shield bloqueia ataques, tranca a porta do login, confere os arquivos do site todo dia e te avisa por e-mail quando algo foge do normal. Você instala, ativa e ele já começa a trabalhar.
(02) O que ele faz por você
Sete cuidados que um site WordPress precisa, num plugin só.
Tranca o login
Quem erra a senha várias vezes fica bloqueado por cada vez mais tempo. E você pode ligar a verificação em duas etapas: além da senha, o login pede o código do aplicativo no celular (Google Authenticator, Authy e similares), com códigos de recuperação se o celular sumir.
Confere seus arquivos todo dia
Uma varredura completa por dia e uma rápida a cada hora comparam os arquivos com os originais do WordPress.org e procuram código malicioso conhecido. Se um arquivo do WordPress ou de um plugin do WordPress.org foi alterado, dá para restaurar o original com um clique, guardando uma cópia do que estava lá.
Aponta o que está desatualizado
Mostra quais plugins e temas estão com versão antiga, que é a porta de entrada mais comum em sites WordPress. Com uma chave gratuita do WPScan, também cruza com a lista de falhas já conhecidas.
Te avisa do que importa
E-mail sempre que alguém entra como administrador, alertas quando algo grave acontece e um relatório semanal ou mensal em PDF, pronto para mandar ao cliente ou ao chefe.
Escolhe quem entra
Bloqueie países inteiros de onde seu site nunca recebe cliente, separe pessoas de robôs no tráfego ao vivo e deixe armadilhas que denunciam quem está procurando brecha.
Cuida do básico da gestão do site
Avisa quando os e-mails do site param de sair, encontra senhas fracas ou vazadas, confere se o site entrou em lista de bloqueio do Google ou de spam, guarda um histórico de quem fez o quê e leva as configurações de um site para outro com exportar e importar.
(03) Para quem é
Feito para quem cuida de site de verdade.
Três jeitos de usar o mesmo plugin: quem só quer o site protegido, quem cuida do site dos outros e quem quer ver o código.
(01)
Quem tem um site
Painel em português, que explica o que encontrou e o que fazer. Sem precisar entender de servidor.
(02)
Agências e freelancers
Relatório em PDF para o cliente, configuração padrão levada de um site para o outro e alertas no Slack ou no Discord.
(03)
Devs
Código aberto, firewall que pode rodar antes do WordPress carregar, API somente leitura e webhooks assinados. Os detalhes estão mais abaixo.
(04) Como começar
Três passos, uns dois minutos.
Requer WordPress 6.4 ou mais novo e PHP 7.4 ou mais novo. Em breve também no diretório oficial do WordPress.org.
- 1
Baixe o arquivo .zip
O botão abaixo baixa sempre a versão mais recente, direto.
- 2
Envie no WordPress
Em Plugins › Adicionar novo › Enviar plugin, escolha o arquivo e instale.
- 3
Ative e pronto
Abra DPXL Shield › Painel. A proteção básica já vem ligada.
(05) Sem letra miúda
O que ele não faz, para você não se enganar.
Plugin de segurança não é mágica. Estes são os limites, ditos antes de você instalar e não depois.
Não é backup.
Mantenha uma cópia do site e do banco de dados fora do servidor.
Não segura ataque de volume gigante (DDoS).
Isso se resolve na hospedagem ou numa CDN, antes de o tráfego chegar ao site.
Não limpa sozinho um site já infectado.
Ele encontra o problema e restaura os arquivos originais do WordPress e dos plugins do WordPress.org, mas tema e arquivos próprios pedem mão de especialista.
Não atualiza plugins sozinho.
Ele aponta o que está velho e leva você até a tela de atualização.
O código no celular vale para o login padrão.
Telas de login feitas sob medida podem precisar de ajuste. Hoje, só administradores conseguem ativar o próprio código.
Seus dados ficam no seu site.
O plugin guarda tudo no seu próprio banco de dados e não manda nada para servidores da Digital Pixel. As consultas externas, como a lista de senhas vazadas, são opcionais e não enviam dados do site.
(06) Para devsDetalhes técnicos
- WAF em dois modos: básico (no
plugins_loaded) ou estendido, viaauto_prepend_file, que inspeciona a requisição antes do WordPress, das sessões e dos plugins. O plugin configura o modo estendido sozinho e desfaz se a hospedagem não aceitar. - Regras: SQLi, XSS, LFI/RFI, travessia de diretório e injeção de shell, mais regras atualizadas diariamente por um feed assinado.
- Bloqueios: IP e faixas CIDR, país (GeoLite2, atualizada sozinha), padrões regex próprios, limite de requisições por IP e bloqueio automático de varreduras, enxurrada de 404 e abuso da API REST.
- Scanner: SHA-256 de cada arquivo PHP, checksums oficiais do WordPress.org, mais de 100 assinaturas de malware, conteúdo suspeito (iframes, scripts externos, links ocultos) e reputação no Google Safe Browsing e Spamhaus.
- Login: TOTP (RFC 6238) com códigos de recuperação, bloqueio progressivo por força bruta, mensagens de erro genéricas e senhas vazadas por k-anonimato (HIBP).
- Endurecimento: bloqueio de PHP em uploads, enumeração de autores fechada, pingbacks desligados, honeypots e endpoints-isca, e detecção de adulteração do próprio plugin.
- Auditoria: log de logins, usuários, plugins, temas e configurações, encadeado por hash SHA-256.
- Integração: webhooks assinados com HMAC-SHA256 (Slack, Discord, PagerDuty, SIEM) e API REST somente leitura com tokens revogáveis.
(07) Quem fez
Digital Pixel, especialista em WordPress desde 2010.
Há 16 anos a gente cria e cuida de sites WordPress de empresas. O DPXL Shield nasceu do que aprendemos protegendo esses sites, e agora é da comunidade, de graça.
Se o seu site precisa de mais do que um plugin, como uma limpeza, uma migração ou alguém cuidando dele todo mês, fale com a gente.
(08) Novidades
Quer saber das próximas versões?
Deixe seu e-mail e avisamos quando sair versão nova, recurso novo ou correção importante. Pouca mensagem, só o que vale a pena.
(Pronto)
Pronto, . Você vai receber as novidades em . Enquanto isso, o plugin já está esperando por você:
Baixar o plugin (.zip)
(09) Perguntas rápidas
O que mais perguntam antes de instalar.
É gratuito mesmo?
É. Todos os recursos desta página estão no plugin, sem versão paga. O código é aberto, sob a licença GPL, como o próprio WordPress.
Vai deixar meu site lento?
Não deveria. As regras do firewall são leves, o registro de visitas é gravado depois que a página já foi entregue e as varreduras rodam em segundo plano, de madrugada.
Posso usar junto com outro plugin de segurança?
Recomendamos ter só um firewall ativo por vez, para os dois não brigarem pela mesma visita. Se for trocar, desative o antigo antes.
Encontrei um problema. Como aviso?
Abra uma issue no GitHub ou responda qualquer e-mail de novidades. Quem lê somos nós mesmos.