Proteger o WordPress e manter os seus acessos sob controlo

A segurança do WordPress depende da manutenção, das permissões e da capacidade de recuperar o site. Estas medidas complementam-se; nenhuma garante por si só que não haja uma intrusão.

Manter o núcleo, os plugins e os temas

Reveja as atualizações e os avisos de segurança dos componentes instalados. Antes de uma alteração importante, conserve uma cópia verificável e teste em staging as funções críticas. Não mantenha uma vulnerabilidade conhecida aberta indefinidamente por receio de atualizar: prepare uma correção ou substituição controlada.

Retire os componentes que não usa, incluindo plugins desativados que continuam presentes no disco. Reveja a manutenção de cada plugin, a sua proveniência e compatibilidade; uma data antiga, por si só, não demonstra abandono.

Contas e recuperação

Use uma conta individual por pessoa e o perfil mínimo necessário. O perfil Editor padrão não precisa de instalar plugins nem de gerir utilizadores; reveja as capacidades acrescentadas por extensões e as contas que já não devam ter acesso.

Atribua palavras-passe longas e únicas e ative a 2FA para quem administra o site. Guarde fora do WordPress os meios de recuperação que a integração oferecer e teste-os. A 2FA da área de cliente não ativa automaticamente a do seu site.

Reveja sessões, palavras-passe de aplicação e tokens de integrações. Ao retirar um colaborador, revogue também os acessos que tinha ao alojamento e à implementação, conforme o seu alcance.

Proteger o formulário de entrada

Limite as tentativas e reveja os bloqueios para não impedir o acesso legítimo. Pode alterar a rota com um plugin compatível, mas não mude o nome do wp-login.php.

A autenticação HTTP ou uma restrição por IP podem acrescentar outra camada, mas devem ser testadas com AJAX, recuperação da palavra-passe e integrações. Proteja os endpoints sensíveis sem abrir exceções gerais para resolver uma única falha.

Escolher controlos e vigiar alterações

Verifique o que cada plugin de segurança acrescenta. Evite duplicar análises pesadas e mantenha controlos específicos como a 2FA ou o registo de alterações quando cobrirem uma necessidade real.

Reveja a criação de administradores, a instalação de plugins, as modificações e os envios inesperados. Um alerta merece investigação; não basta apagar o ficheiro ou desativar o aviso.

Cópias e resposta a uma intrusão

Guarde os ficheiros e a base de dados em cópias independentes e teste a sua recuperação. Uma cópia guardada apenas dentro do diretório público pode ficar exposta ou ser alterada juntamente com o site.

Se suspeitar de um comprometimento, conserve as evidências, limite o acesso e siga o guia de limpeza do WordPress. Atualizar depois de um ataque não elimina automaticamente backdoors ou utilizadores acrescentados.