A segurança WordPress não depende de um plugin milagroso. Depende de hábitos simples, repetidos: manter tudo atualizado, usar senhas fortes, limitar acessos e ter backup. Quase toda invasão em site pequeno acontece por um descuido básico, e não por um ataque sofisticado.
Aqui estão 12 medidas práticas, em ordem de importância, que qualquer pessoa consegue aplicar.
1. Mantenha o WordPress, o tema e os plugins atualizados
Atualizações corrigem falhas de segurança conhecidas. Um site desatualizado é um alvo fácil, porque a falha já é pública. Reserve um dia fixo na semana para checar. Antes de atualizar, faça backup. Se quiser fazer isso com segurança, veja como fazer backup de um site WordPress.
2. Remova o que você não usa
Plugin e tema desativados continuam no servidor e continuam podendo ter falhas. Apague (não só desative) o que não usa. Menos código, menos risco.
3. Use senhas longas e únicas
Senha curta ou repetida em outros sites é a porta de entrada mais comum. Use uma senha longa, diferente em cada serviço, guardada em um gerenciador de senhas. Isso vale para o WordPress, o cPanel, o FTP e o e-mail.
4. Ative a verificação em duas etapas
Com a verificação em duas etapas (2FA), só a senha não basta para entrar. Existem plugins que adicionam isso ao login do WordPress. É uma das medidas que mais reduzem o risco, com pouco esforço.
5. Não use o usuário “admin”
“admin” é o primeiro nome que robôs testam. Crie um usuário com outro nome e dê a ele a função de administrador. Depois, remova o “admin” antigo.
6. Dê a cada pessoa só o acesso de que precisa
Quem só escreve artigos não precisa ser administrador. O WordPress tem funções (editor, autor, colaborador) justamente para isso. Remova também contas de quem não trabalha mais com você.
7. Evite plugins e temas “piratas”
Versões pagas baixadas de sites não oficiais costumam vir com código malicioso. Use apenas o diretório oficial do WordPress ou o site do próprio desenvolvedor. A economia nunca compensa o risco.
8. Mantenha o SSL ativo
O certificado SSL protege a conexão entre o visitante e o site, e o login do painel. Em planos de hospedagem da Via ele é grátis e ativado automaticamente. Confira se o site abre com cadeado, inclusive o painel. Se aparecer algum aviso, veja site não seguro: o que significa e como resolver.
9. Limite as tentativas de login
Robôs tentam milhares de senhas por minuto. Um plugin de segurança que bloqueia depois de poucas tentativas erradas reduz muito esse tipo de ataque. Escolha um só: instalar vários ao mesmo tempo deixa o site lento e pode gerar conflito.
10. Faça backup e teste a restauração
Backup que nunca foi testado é só esperança. Tenha cópias fora do servidor do site e restaure uma de vez em quando, para ter certeza de que funciona. A Via mantém uma rotina de backups regulares, mas a sua cópia própria antes de mudanças grandes continua sendo boa prática.
11. Monitore o que muda
Fique atento a sinais de problema: página que você não criou, e-mails de redefinição de senha que você não pediu, site que redireciona para outro endereço, aviso de “site enganoso” no navegador. Se algo parecer estranho, pare e avalie antes de mexer.
12. Tenha um plano para quando der errado
Saiba de antemão quem chamar, onde está o backup mais recente e como acionar o suporte. Se o site for invadido, mudar senhas, restaurar uma cópia limpa e atualizar tudo é o caminho. Para dúvidas, abra um chamado no suporte.
Quando contar com ajuda profissional
Se você não tem tempo ou segurança para manter essa rotina, o serviço de manutenção contínua cuida de atualização e segurança do WordPress. Na Via, isso é o WP Care, dentro da hospedagem WordPress.
Onde ver a lista oficial
O WordPress mantém um guia técnico de proteção, o Hardening WordPress, útil para quem quer ir além do básico.
Perguntas frequentes
Preciso de um plugin de segurança?
Ajuda, principalmente para limitar tentativas de login e verificar arquivos alterados. Mas ele não substitui atualização, senha forte e backup.
WordPress é inseguro?
Não por natureza. A maioria dos casos de invasão vem de plugin desatualizado, senha fraca ou software pirata.
Como saber se meu site foi invadido?
Sinais comuns: páginas estranhas, redirecionamentos, lentidão repentina, avisos do navegador e contas de usuário desconhecidas.
Com que frequência devo atualizar?
Cheque toda semana. Correções de segurança importantes devem entrar o quanto antes.
Comece pelo básico
Se você só puder fazer três coisas hoje: atualize tudo, ative a verificação em duas etapas e confira seu backup. Para quem prefere deixar a rotina com especialistas, conheça a hospedagem WordPress com WP Care.