10 min
Checklist de Segurança WordPress
20 passos para proteger um site WordPress.
O WordPress está por detrás de mais de 43% de todos os websites na internet, o que o torna o alvo mais comum dos hackers. A boa notícia: a maioria dos ataques baseia-se em vulnerabilidades conhecidas que pode prevenir com estes 20 passos. A checklist abrange todas as camadas de segurança — das definições básicas à manutenção avançada.
Checklist de Segurança WordPress
Atualizar o WordPress, temas e plugins
A maioria dos ataques tem como alvo o núcleo do WordPress, temas ou plugins desatualizados. Ative as atualizações automáticas menores e analise as atualizações maiores mensalmente, após um backup. Elimine os plugins e temas que não utiliza — continuam a ser vetores de ataque.
Usar palavras-passe fortes e 2FA
Utilize palavras-passe aleatórias com mais de 16 caracteres para as contas de administrador. Ative a autenticação de dois fatores com o WP 2FA ou o Google Authenticator. Nunca reutilize palavras-passe entre contas. Guarde-as num gestor de palavras-passe (1Password, Bitwarden).
Limitar as tentativas de início de sessão
Instale o Limit Login Attempts Reloaded para bloquear IPs após 3-5 tentativas falhadas. Mude o URL de administração de /wp-admin para um personalizado, utilizando o WPS Hide Login. Desative o XML-RPC se não precisar dele (o xmlrpc.php é um vetor de ataque comum).
Instalar um plugin de segurança
Instale o Wordfence, Sucuri Security ou iThemes Security. Estes plugins oferecem: análise de malware, firewall (WAF), proteção contra força bruta, monitorização da integridade de ficheiros e segurança no início de sessão. Execute análises semanais.
Forçar HTTPS em todo o site
O SSL é obrigatório. Na BeoHosting, o SSL gratuito Let's Encrypt está incluído. Force o HTTPS através do "Force HTTPS Redirect" no cPanel ou via .htaccess. Atualize todos os URLs internos para https:// utilizando o plugin Better Search Replace.
Configurar backups automáticos
Agende backups diários da base de dados e backups semanais dos ficheiros com o UpdraftPlus. Guarde-os fora do servidor (Google Drive, Dropbox, S3). Teste o restauro trimestralmente. A BeoHosting realiza automaticamente backups diários em todos os pacotes.
Reforçar as permissões de ficheiros
Defina as pastas para 755 e os ficheiros para 644. Torne o wp-config.php apenas de leitura (440). No .htaccess, negue o acesso ao wp-config.php, .htaccess e readme.html. Desative a navegação nas pastas.
Desativar a edição de ficheiros a partir da administração
Adicione define('DISALLOW_FILE_EDIT', true); ao wp-config.php para que os atacantes não possam editar temas ou plugins através do painel de administração, mesmo que obtenham acesso.
Ocultar a versão do WordPress
Remova a meta tag da versão do WordPress da secção head. Adicione ao functions.php: remove_action('wp_head', 'wp_generator'); Isto dificulta que os atacantes ataquem vulnerabilidades específicas de versões conhecidas.
Escolher um alojamento seguro
Utilize um alojamento com Imunify360, ModSecurity WAF, proteção DDoS, backups diários e isolamento CageFS. A BeoHosting inclui tudo isto por norma. Evite alojamento partilhado barato sem estas proteções.
Pronto para lançar o seu site?
Junte-se a mais de 4.000 clientes satisfeitos. Migração gratuita e garantia de reembolso de 30 dias.
FAQ
Respostas às perguntas mais comuns sobre os nossos serviços.
Ligue-nos: o suporte funciona 24/7, por telefone e através de tickets.
(+381) 60 3535 720Com que frequência devo atualizar o WordPress?
O núcleo do WordPress, os temas e os plugins devem ser atualizados assim que novas atualizações estiverem disponíveis. Para versões menores (por exemplo, 6.4.1 para 6.4.2), ative as atualizações automáticas. Para versões maiores (por exemplo, 6.4 para 6.5), aguarde 2-3 dias pela confirmação de estabilidade, faça um backup e depois atualize.
O Wordfence é suficiente para proteger um site?
O Wordfence é uma excelente primeira linha de defesa, mas não é suficiente por si só. Combine-o com palavras-passe fortes, 2FA, atualizações regulares, permissões de ficheiros corretas e um alojamento fiável. A segurança é um processo de múltiplas camadas — nenhum plugin isolado pode substituir todas as outras medidas.
O que é um ataque de força bruta e como me protejo contra ele?
Um ataque de força bruta é uma tentativa de adivinhar uma palavra-passe testando milhares de combinações. Proteja-se: limitando as tentativas de início de sessão (Limit Login Attempts), utilizando 2FA, mudando o URL de administração e uma palavra-passe forte. Os servidores da BeoHosting utilizam o Imunify360, que bloqueia automaticamente as tentativas de força bruta.
Como sei se o meu site foi pirateado?
Sinais de pirataria: redirecionamentos inesperados, utilizadores administradores desconhecidos, ficheiros estranhos no servidor, aviso de malware do Google, links de spam no conteúdo, abrandamento súbito. Instale o Wordfence, que analisa os ficheiros e os compara com os originais — reporta todas as alterações suspeitas.
O SSL gratuito é suficiente para um site WordPress?
Sim, o certificado SSL gratuito Let's Encrypt que a BeoHosting oferece proporciona a mesma encriptação que os certificados pagos. A diferença está na garantia e na validação da empresa. Para a maioria dos sites WordPress (blogues, apresentações, pequenas lojas), o SSL gratuito é totalmente suficiente.
As nossas garantias para a sua tranquilidade
Protegido em todas as frentes
Garantia de 30 dias
Reembolsamos sem perguntas nos primeiros 30 dias.
Migração gratuita
Migramos o seu site sem qualquer interrupção — não tem de fazer nada.
Suporte 24/7
Os nossos especialistas estão disponíveis 24/7 através de tickets e chat em direto.