--- title: "WordPress: 10 dicas para proteger o teu site" date: 2019-03-31 language: pt topics: ["cloud", "cyber-security", "hacking", "howto", "networking", "server", "web", "webdesign"] source_url: https://willem.com/pt/2019-03-31_wordpress-10-dicas-para-proteger-o-teu-site/ --- # WordPress: 10 dicas para proteger o teu site *Mantém os hackers fora do sistema de gestão de conteúdos mais popular do mundo* > Muita gente usa WordPress para gerir o seu site, por isso não admira que me peçam para dar uma vista de olhos à segurança dos seus sites. Como hacker ético, encontro WordPress em diferentes formas, tamanhos e estados. Alguns estão muito mal protegidos contra ataques. Evita que o teu site seja hackeado com estas 10 dicas práticas. ## 1) Atualiza o WordPress (e os plugins + temas) A maioria dos ataques ao WordPress resulta de uma política de atualizações negligente. Os hackers usam bots automáticos para encontrar versões de software desatualizadas com problemas de segurança conhecidos. Quando descobrem que o teu site é vulnerável, hackeá-lo é muitas vezes canja. Hoje em dia, o WordPress pode ser atualizado automaticamente, por isso não tens de o fazer tu. Vê as instruções_para_atualizar_o_WordPress (https://codex.wordpress.org/Updating_WordPress). ![Atualizar o WordPress a partir do painel wp-admin](https://willem.com/global/images/79572e4a515e.webp) ## 2) Plugins e temas A má reputação de segurança do WordPress deve-se sobretudo às partes extensíveis da plataforma, em concreto os plugins e os temas. São os principais vetores de ataque que os cibercriminosos exploram para hackear e abusar do teu site WordPress. As suas vulnerabilidades resultam normalmente de erros e descuidos durante o desenvolvimento. Sê muito cauteloso e pensa duas vezes ao instalar plugins no teu site WordPress. Verifica quem é o programador do plugin ou tema e vê se tem boa reputação a escrever código seguro. Os plugins e temas com muitas transferências costumam ser mantidos ativamente, um bom indicador de segurança. Atualiza todos os plugins e temas e acompanha o historial de segurança num site como wpvulndb.com (https://www.wpvulndb.com/plugins/). ![Verifica a reputação de um plugin do WordPress a olhar para o número de transferências e para a classificação](https://willem.com/global/images/db2e086fcde8.webp) ## 3) Usa encriptação (TLS/SSL) Os sites WordPress sem encriptação TLS/SSL são um risco de segurança, porque sempre que fazes login para administrar o site, a tua palavra-passe é enviada em texto simples. Isto significa que qualquer pessoa que esteja a escutar o tráfego da rede pode obter facilmente a tua palavra-passe. Com uma palavra-passe válida, os hackers entram sem esforço, e tu não queres tornar-lhes isso tão_fácil (https://blog.wpscans.com/sniff-wordpress-login-credentials-wireshark-http-connection/), pois não? Usa TLS/SSL para encriptar toda a comunicação entre o servidor web e o teu navegador. Assim, ninguém consegue decifrar o que escreves no campo da palavra-passe a olhar para o tráfego da rede. Os certificados TLS/SSL de que precisas para ativar a encriptação HTTPS são baratíssimos hoje em dia, pede um ao teu fornecedor de alojamento para o teu site. ![Espiar a palavra-passe do WordPress com captura de pacotes no WireShark (via blog.wpscans.com)](https://willem.com/global/images/7ed5f0ee69b4.webp) ## 4) Usa palavras-passe fortes Mesmo que sigas todas as outras dicas para proteger o teu site, as palavras-passe fracas são outra fonte comum de falhas de segurança no WordPress. Como a maioria das instalações WordPress tem um utilizador "admin", os hackers podem usar dicionários_de_palavras-passe (https://duckduckgo.com/?q=password+dictionairy) para adivinhar automaticamente a tua palavra-passe. Pensa numa palavra-passe forte como algo que ninguém usou antes. Normalmente isto significa mais comprida, com mais caracteres diferentes e sem palavras ou expressões conhecidas. Podes usar um gerador de palavras-passe para obter algo mesmo difícil de adivinhar (e fácil de esquecer...). Evita usar a mesma palavra-passe em vários sites e considera ativar a autenticação_em_dois_passos_para_o_máximo_controlo_de_acesso (https://codex.wordpress.org/Two_Step_Authentication). ![Os ataques de dicionário usam listas de palavras-passe conhecidas (divulgadas), que se encontram em recantos duvidosos da internet](https://willem.com/global/images/7e3624540722.webp) ## 5) Usa um computador e uma rede de confiança Tal como não deves exibir dinheiro e gadgets em ruas duvidosas, deves ter cuidado com onde (e quando) fazes login no teu site. Um computador com spyware, malware ou vírus pode registar as teclas que premes (e a tua palavra-passe) e enviá-las a criminosos. Ou até de forma não digital: um adversário pode literalmente espreitar por cima do teu ombro (no autocarro, no comboio ou num café) enquanto escreves a palavra-passe. Tem cuidado com onde e quando trabalhas no teu site. Não trabalhes num computador partilhado ou público quando não for preciso. Se trabalhas numa rede WiFi pública, tens de usar encriptação para impedir que alguém espreite. Podes fazê-lo com TLS/SSL ou com uma VPN (como buffered.com). Garante que o teu computador, tablet ou smartphone está atualizado. ![Confias na rede wifi gratuita que estás a usar? (Imagem via buffered.com)](https://willem.com/global/images/94b8eedd02ca.webp) ## 6) Desativa a API REST do WordPress A API_REST_do_WordPress (https://developer.wordpress.org/rest-api/) dá acesso a todos os dados disponíveis no teu site num formato JSON legível por máquinas. Artigos, páginas, categorias, etiquetas, comentários, multimédia, utilizadores, definições e mais podem ser acedidos facilmente. Por exemplo, tenta acrescentar isto ao endereço do teu site: **/wp-json/wp/v2/users** para obteres uma lista de todos os nomes de utilizador válidos do teu site. Será que *queres* partilhar isso com hackers? Desativa a API REST para evitar a extração de conteúdo (plágio) e para impedir fugas de dados de utilizadores. Os dados de utilizadores são pessoais e não devem ser partilhados publicamente se valorizas a privacidade e a segurança, pensa no RGPD (https://en.m.wikipedia.org/wiki/General_Data_Protection_Regulation). Podes desativar a API REST com plugins como Disable_REST_API (https://wordpress.org/plugins/disable-wp-rest-api/) ou REST_API_Toolbox (https://wordpress.org/plugins/rest-api-toolbox/). Vê o artigo_detalhado_de_Jeff_Star_com_mais_informação_sobre_como_proteger_a_API_REST_do_WP (https://digwp.com/2018/08/secure-wp-rest-api/). ![Fuga de informação pessoal de utilizadores através da API REST do WordPress](https://willem.com/global/images/b4bed4a35679.webp) ## 7) Desativa o acesso XML-RPC O XML-RPC é uma funcionalidade do WordPress que permite controlar remotamente o teu site com XML (RPC significa "remote procedure call"). Este mecanismo permite gerir o site sem entrares no WP-Admin, por exemplo com serviços ou apps externos. Infelizmente, o XML-RPC é uma fraqueza de segurança, porque é basicamente uma porta das traseiras que os hackers podem tentar forçar com força_bruta (https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html) ou comandos_especiais (https://medium.com/@the.bilal.rizwan/wordpress-xmlrpc-php-common-vulnerabilites-how-to-exploit-them-d8d3c8600b32). Evita problemas com o xml-rpc.php ao desativar por completo esta funcionalidade do WordPress. Podes fazê-lo com o plugin Disable_XML-RPC (https://wordpress.org/plugins/disable-xml-rpc/) ou a configurar manualmente o servidor web com um_ficheiro_htaccess (https://graspingtech.com/disable-xml-rpc-wordpress/). ![Limitar o acesso ao XML-RPC por endereço IP com um ficheiro .htaccess](https://willem.com/global/images/e8fa9fcb7c0e.webp) ## 8) Esconde ou protege a página de login (wp-admin) Toda a gente sabe que, para fazer login no WordPress, basta acrescentar '/wp-admin' ao endereço do site. Qualquer hacker pode começar facilmente a atacar o teu site por força bruta por causa disto. É muito mais difícil forçar uma fechadura se não a encontrares. Considera esconder ou substituir a página wp-admin. Os especialistas chamam-lhe "segurança_por_obscuridade" (https://en.m.wikipedia.org/wiki/Security_through_obscurity), confiar no segredo para a segurança. Podes usar um plugin para isso, ou configurar o servidor web para limitar o acesso ao wp-admin com filtragem por endereço IP. Vê este artigo_do_blogue_com_formas_de_esconder_e_proteger_a_página_wp-admin (https://www.3nions.com/hide-wp-admin-page-wordpress-login/). Fica o aviso: confiar só no segredo não chega, deves implementar também as outras dicas. ![É bem difícil hackear a minha página WP-Admin, porque não a encontras (dica: não está em /wp-admin)](https://willem.com/global/images/a21ba24bbd4e.webp) ## 9) Alojamento fiável Mesmo que implementes todas estas dicas para proteger o teu site WordPress, pode não chegar se o alojamento for inseguro. O alojamento é o serviço que permite que o teu site esteja disponível na internet. Faz-se com computadores especiais chamados servidores. Tal como o próprio site, o servidor web que o publica também tem de ser seguro. Pensa num alojamento como um navio: se afundar, leva consigo todos os passageiros (sites)... Investe em alojamento fiável, ao escolher uma empresa com boa reputação. Escolhe uma que sirva bem a tua empresa, considera alojar num VPS dedicado (gerido). Tem presente que as opções de alojamento baratas são muitas vezes baratas porque o servidor é partilhado com (muitos) outros sites (possivelmente inseguros). Lê para perceber as_questões_de_segurança_do_alojamento_partilhado (https://willem.com/en/2019-02-28_understanding-the-security-concerns-in-shared-hosting/). ![Nalgum centro de dados há uma máquina como esta a alojar o teu site](https://willem.com/global/images/b8c695c798fe.webp) ## 10) Cópias de segurança e verificações Embora o teu site possa estar a funcionar na perfeição agora, as coisas podem mudar para pior no futuro. A segurança nunca é absoluta, é sempre possível apanhares mau tempo. Prepara-te para problemas e não deixes passar despercebidos os problemas de segurança. Verifica regularmente o teu site, ou contrata alguém (https://digidef.nl) para o fazer por ti. Com um plugin como o WP_Security_Audit_Log (https://wordpress.org/plugins/wp-security-audit-log/) podes detetar ataques e comportamentos suspeitos logo no início. Faz cópias de segurança do teu site, para estares pronto a recuperar de um desastre informático. Os acidentes acontecem aos melhores, faz uma cópia de segurança do teu site para não perderes o teu trabalho por completo. Vê este artigo_do_blogue_para_conhecer_formas_diferentes_de_fazer_cópias_de_segurança_do_teu_site_WordPress (https://websitesetup.org/wordpress-backup/). ![Usa o WP Security Audit Log para vigiar o que se passa no teu site WordPress (wpsecurityauditlog.com)](https://willem.com/global/images/ba045569ad2d.webp) ## Conclusão A segurança do teu site é como a segurança do teu escritório ou da tua casa. Quando sais, fechas as janelas e trancas as portas, certo? Não descuides a segurança do teu site, é tão importante como o design e o conteúdo. Se implementares estas dicas de segurança, o teu site será muito mais difícil de hackear por cibercriminosos. Faz tu mesmo (https://codex.wordpress.org/Hardening_WordPress) ou pede a alguém (https://willem.com) que te ajude.