A maioria dos sites WordPress invadidos não foi alvo de ninguém. Foi varredura automática encontrando algo desatualizado.
O essencial, em ordem de importância
- Mantenha tudo atualizado. WordPress, tema e plugins. Plugin abandonado é a porta mais comum.
- Senha forte e única, gerada por um gerenciador de senhas. Nada de reaproveitar a senha do e-mail.
- Verificação em duas etapas no painel. É o item que mais protege por menos esforço.
- Limite de tentativas de login, para travar a força bruta.
- Backup automático que você já testou restaurar. Backup nunca testado é esperança, não é backup.
Teste o seu backup
Restaure uma cópia em um ambiente de teste pelo menos uma vez. É comum descobrir que o backup estava incompleto justamente no dia em que ele era necessário.
Contas e permissões
- Um administrador por pessoa, sem conta compartilhada.
- Quem só escreve recebe o perfil Autor, não Administrador.
- Remova contas de quem não trabalha mais com você.
- Evite que o nome público seja igual ao login.
Plugins: menos é mais seguro
Cada plugin é código de terceiros rodando no seu site. Antes de instalar, olhe a data da última atualização, o número de instalações e se o autor responde no fórum de suporte. Desinstale o que não usa, em vez de só desativar.
No servidor
- HTTPS em todas as páginas, com redirecionamento do http.
- PHP em versão que ainda recebe atualização de segurança.
- Edição de arquivos pelo painel desligada, se você não usa.
- Cabeçalhos de segurança, quando a hospedagem permitir.
Sinais de que algo está errado
Usuário administrador que você não criou, redirecionamento estranho para quem vem do Google, arquivos novos em wp-content, picos de tráfego sem motivo e aviso do Search Console. Diante de qualquer um deles, troque todas as senhas e restaure um backup anterior ao problema.
Perguntas frequentes
Sinais comuns: usuário administrador que você não criou, redirecionamento estranho para quem vem do Google, arquivos novos em wp-content e aviso do Search Console.
Não é obrigatório. Atualizações em dia, senha forte, verificação em duas etapas e backup testado resolvem a maior parte. Plugin ajuda em limite de login e varredura.
Assim que a atualização sai, sobretudo as de segurança. Com backup recente, o risco de atualizar é muito menor do que o de ficar desatualizado.
Troque todas as senhas, restaure um backup anterior ao problema, atualize tudo e só então recoloque no ar. Remover o arquivo suspeito sem restaurar costuma deixar porta aberta.
Veja também LGPD para quem tem site e mais em segurança e privacidade.
