Segurança no WordPress: plugins e práticas para evitar invasões
Como proteger um site WordPress monetizado contra invasões: melhores plugins de segurança, práticas essenciais e quais arquivos checar se for atacado.
Resposta rápidaPara evitar invasões no WordPress, mantenha núcleo, tema e plugins atualizados, use senhas fortes com autenticação em dois fatores, instale um plugin de segurança com firewall (como Wordfence ou Solid Security), faça backups diários fora do servidor e remova plugins e usuários sem uso. Em sites monetizados, uma invasão pode inserir anúncios ou redirecionamentos maliciosos e bloquear a conta de anúncios.
Por que publishers são alvo
Sites com tráfego são valiosos para atacantes: eles injetam redirecionamentos, links de spam e até trocam o ads.txt ou os códigos de anúncio. O resultado pode ser queda de tráfego no Google e problemas com o AdSense ou o Ad Manager.
Melhores plugins de segurança
| Plugin | Destaques | |
|---|---|---|
| Wordfence | Firewall, varredura de malware, bloqueio de login | |
| Solid Security (antigo iThemes) | Autenticação em dois fatores, proteção de força bruta | |
| Sucuri Security | Auditoria e monitoramento; firewall na nuvem no plano pago | |
| All-In-One Security | Opção gratuita completa e fácil |
Use apenas um plugin de segurança principal para evitar conflitos.
Práticas essenciais
- Atualize WordPress, tema e plugins semanalmente.
- Ative autenticação em dois fatores para administradores.
- Não use “admin” como nome de usuário.
- Faça backup diário e guarde cópias fora do servidor.
- Remova plugins e temas desativados.
- Limite tentativas de login e proteja o wp-login.
- Use HTTPS e PHP atualizado.
Quais arquivos checar em caso de invasão
- wp-config.php: códigos estranhos no início ou no fim.
- .htaccess: redirecionamentos que você não criou.
- functions.php do tema: funções desconhecidas.
- Pasta uploads: arquivos .php, que não deveriam existir ali.
- ads.txt: vendedores que você não autorizou.
- Usuários administradores desconhecidos.
Para limpar o banco de dados, veja o guia de WordPress invadido: análise do banco de dados.
Perguntas frequentes
Plugin de segurança deixa o site lento?
Alguns recursos, como varreduras frequentes, consomem recursos. Configure as varreduras para horários de pouco tráfego.
Hospedagem influencia a segurança?
Muito. Boas hospedagens têm firewall, isolamento de contas e backups automáticos.
O que fazer primeiro se o site for invadido?
Coloque o site em manutenção, troque todas as senhas, restaure um backup limpo e faça uma varredura completa.
Análise gratuita
Quer saber quanto o seu projeto pode faturar?
Me chame no WhatsApp e eu faço uma análise gratuita do seu site, app ou operação de afiliados: tráfego, monetização e próximos passos.
Chamar no WhatsApp
