Trusted WordPress tutorials, when you need them most.
Beginner’s Guide to WordPress
Copa WPB
25 Million+
Websites using our plugins
16+
Years of WordPress experience
3000+
WordPress tutorials
by experts

O guia definitivo de segurança do WordPress – passo a passo (2024)

Nota editorial: Ganhamos uma comissão de links de parceiros no WPBeginner. As comissões não afetam as opiniões ou avaliações de nossos editores. Saiba mais sobre Processo editorial.

A segurança do WordPress é um tópico de grande importância para todos os proprietários de sites.

Se você leva seu site a sério, precisa prestar atenção às práticas recomendadas de segurança do WordPress. Caso contrário, você poderá se tornar um dos mais de 10.000 sites que o Google coloca na lista negra todos os dias por causa de malware e phishing.

Neste guia, compartilharemos nossas principais dicas de segurança do WordPress para ajudá-lo a proteger seu site contra hackers e malware.

The Ultimate WordPress Security Guide - Step by Step

Embora o software principal do WordPress seja muito seguro e seja auditado regularmente por centenas de desenvolvedores, ainda há muito que precisa ser feito para manter seu site seguro.

Na WPBeginner, acreditamos que a segurança não se trata apenas de eliminação de riscos. Trata-se também de redução de riscos. Como proprietário de um site, há muito que você pode fazer para melhorar a segurança do WordPress, mesmo que não seja um especialista em tecnologia.

Por isso, elaboramos uma lista de medidas práticas que você pode adotar para proteger seu site contra vulnerabilidades de segurança.

Para facilitar, criamos um índice para ajudá-lo a navegar facilmente pelo nosso guia definitivo de segurança do WordPress.

Índice

Noções básicas de segurança do WordPress

Segurança do WordPress em etapas fáceis (sem codificação)

Segurança do WordPress para usuários DIY

Pronto? Vamos começar.

Por que a segurança do site é importante

Um site WordPress invadido pode causar sérios danos à receita e à reputação de sua empresa. Os hackers podem roubar informações e senhas de usuários, instalar software mal-intencionado e até mesmo distribuir malware aos seus usuários.

Na pior das hipóteses, você pode acabar pagando ransomware a hackers apenas para recuperar o acesso ao seu site.

Ransomware Attack

Todos os dias, o Google avisa de 12 a 14 milhões de usuários que um site que eles estão tentando visitar pode conter malware ou roubar informações.

Além disso, o Google coloca na lista negra cerca de mais de 10.000 sites todos os dias por malware ou phishing.

Assim como os proprietários de empresas com um local físico têm a responsabilidade de proteger sua propriedade, os proprietários de empresas on-line precisam prestar mais atenção à segurança do WordPress.

[Voltar ao topo ↑]

Mantenha o WordPress atualizado

Easily update WordPress

O WordPress é um software de código aberto e é mantido e atualizado regularmente. Por padrão, o WordPress instala automaticamente pequenas atualizações.

Para versões principais, você precisa iniciar manualmente a atualização.

O WordPress também vem com milhares de plugins e temas que você pode instalar em seu site. Esses plugins e temas são mantidos por desenvolvedores de terceiros, que também lançam atualizações regularmente.

Essas atualizações do WordPress são cruciais para a segurança e a estabilidade de seu site WordPress. Você precisa se certificar de que o núcleo, os plugins e o tema do WordPress estejam atualizados.

[Voltar ao topo ↑]

Use senhas fortes e permissões de usuário

Manage strong passwords

As tentativas mais comuns de invasão do WordPress usam senhas roubadas. Você pode dificultar isso usando senhas mais fortes que sejam exclusivas do seu site.

Não estamos falando apenas da área de administração do WordPress. Lembre-se de criar senhas fortes para suas contas de FTP, bancos de dados, contas de hospedagem do WordPress e endereços de e-mail personalizados que usam o nome de domínio do seu site.

Muitos iniciantes não gostam de usar senhas fortes porque elas são difíceis de lembrar. O bom é que você não precisa mais se lembrar de senhas porque pode simplesmente usar um gerenciador de senhas.

Consulte nosso guia sobre como gerenciar as senhas do WordPress para obter mais informações.

Outra forma de reduzir o risco é não dar a ninguém acesso à sua conta de administrador do WordPress, a menos que seja absolutamente necessário.

Se você tiver uma grande equipe ou autores convidados, certifique-se de entender as funções e os recursos do usuário no WordPress antes de adicionar novas contas de usuário e autores ao seu site WordPress.

[Voltar ao topo ↑]

Entenda a função da hospedagem do WordPress

WP Engine WordPress Hosting Homepage

Seu serviço de hospedagem WordPress desempenha o papel mais importante na segurança do seu site WordPress. Um bom provedor de hospedagem compartilhada, como Hostinger, Bluehost ou SiteGround, toma medidas extras para proteger seus servidores contra ameaças comuns.

Aqui estão apenas algumas maneiras pelas quais as boas empresas de hospedagem na Web trabalham em segundo plano para proteger seus sites e dados:

  • Eles monitoram continuamente sua rede em busca de atividades suspeitas.
  • Todas as boas empresas de hospedagem têm ferramentas para evitar ataques DDoS em grande escala.
  • Eles mantêm o software do servidor, as versões do PHP e o hardware atualizados para evitar que os hackers explorem uma vulnerabilidade de segurança conhecida em uma versão antiga.
  • Eles têm planos de recuperação de desastres e de acidentes prontos para serem implementados, o que lhes permite proteger seus dados em caso de um acidente grave.

Em um plano de hospedagem compartilhada, você compartilha os recursos do servidor com muitos outros clientes. Há o risco de contaminação entre sites, em que um hacker pode usar um site vizinho para atacar seu site.

Por outro lado, o uso de um serviço gerenciado de hospedagem WordPress oferece uma plataforma mais segura para seu site. As empresas de hospedagem gerenciada do WordPress oferecem backups automáticos, atualizações automáticas do WordPress e configurações de segurança mais avançadas para proteger seu site

Recomendamos o WP Engine como nosso provedor de hospedagem gerenciada de WordPress preferido. Eles também são o provedor mais popular do setor.

Certifique-se de obter a melhor oferta usando nosso cupom especial do WP Engine.

[Voltar ao topo ↑]

Segurança do WordPress em algumas etapas fáceis (sem codificação)

Sabemos que melhorar a segurança do WordPress pode ser uma ideia aterrorizante para iniciantes, especialmente se você não tiver conhecimentos técnicos. Adivinhe só: você não está sozinho.

Ajudamos milhares de usuários do WordPress a fortalecer a segurança do WordPress.

Mostraremos como você pode melhorar a segurança do WordPress com apenas alguns cliques (não é necessário codificar).

Se você sabe apontar e clicar, pode fazer isso!

1. Instale uma solução de backup do WordPress

WordPress Backup

Os backups são sua primeira defesa contra qualquer ataque ao WordPress. Lembre-se de que nada é 100% seguro. Se os sites do governo podem ser invadidos, os seus também podem.

Os backups permitem que você restaure rapidamente o seu site WordPress, caso algo ruim aconteça.

Há muitos plug-ins de backup do WordPress gratuitos e pagos que você pode usar. O aspecto mais importante que você precisa saber quando se trata de backups é que você deve salvar regularmente backups completos do site em um local remoto (não na sua conta de hospedagem).

Recomendamos armazená-lo em um serviço de nuvem como Amazon, Dropbox ou nuvens privadas como Stash.

Com base na frequência com que você atualiza seu site, a configuração ideal pode ser uma vez por dia ou backups em tempo real.

Felizmente, isso pode ser feito facilmente com o uso de plug-ins como Duplicator, UpdraftPlus ou BlogVault. Ambos são confiáveis e, o mais importante, fáceis de usar (não é necessário codificar).

Para obter mais detalhes, consulte nosso guia sobre como fazer backup de seu site WordPress.

[Voltar ao topo ↑]

Instale um plug-in de segurança do WordPress confiável

Depois dos backups, a próxima coisa que precisamos fazer é configurar um sistema de auditoria e monitoramento que acompanhe tudo o que acontece no seu site.

Isso inclui o monitoramento da integridade dos arquivos, tentativas de login com falha, varredura de malware e muito mais.

Felizmente, você pode cuidar disso com facilidade instalando um dos melhores plug-ins de segurança do WordPress, como o Sucuri.

Você precisa instalar e ativar o plug-in gratuito Sucuri Security. Para obter mais detalhes, consulte nosso guia passo a passo sobre como instalar um plug-in do WordPress.

Agora, você pode acessar o painel de controle do Sucuri Security “ para ver se o plug-in encontrou algum problema imediato no código do WordPress.

Setting up the Sucuri WordPress security plugin

A próxima coisa que você precisa fazer é navegar até a página Sucuri Security ” Settings e clicar na guia “Hardening”.

As configurações padrão funcionam bem para a maioria dos sites, portanto, você pode ir em frente e ativá-las clicando no botão “Apply Hardening” (Aplicar proteção) para cada opção.

Hardening your WordPress blog or website

Isso o ajuda a bloquear as principais áreas que os hackers costumam usar em seus ataques.

Dica: abordaremos outras maneiras de fortalecer seu site mais adiante neste artigo, como alterar o prefixo do banco de dados e o nome de usuário do administrador. No entanto, essas são mais técnicas e podem exigir conhecimento de codificação.

Após a parte de proteção, as outras configurações padrão do plug-in são suficientes para a maioria dos sites e não precisam de nenhuma alteração.

A única coisa que recomendamos personalizar são os alertas de e-mail, que podem ser encontrados na guia “Alertas” da página de configurações.

Customizing your website's security alerts

Por padrão, você receberá muitos alertas de e-mail que podem sobrecarregar sua caixa de entrada.

Recomendamos ativar os alertas apenas para as principais ações sobre as quais você deseja ser notificado, como alterações de plugins e registros de novos usuários.

Customizing your WordPress security notifications

Esse plug-in de segurança do WordPress é muito avançado, portanto, navegue por todas as guias e configurações para ver tudo o que ele faz, como varredura de malware, registros de auditoria, rastreamento de tentativas de login com falha e muito mais.

Para obter mais informações, consulte nossa análise detalhada da Sucuri.

Ativar um firewall de aplicativo da Web (WAF)

A maneira mais fácil de proteger seu site e ter confiança na segurança do WordPress é usar um firewall de aplicativo da Web (WAF).

Um firewall de site bloqueia todo o tráfego malicioso antes mesmo que ele chegue ao seu site.

  • Um firewall de site em nível de DNS roteia o tráfego do seu site por meio de seus servidores proxy em nuvem. Isso permite que ele envie somente tráfego genuíno para seu servidor da Web.
  • Um firewall em nível de aplicativo examina o tráfego quando ele chega ao servidor, mas antes de carregar a maioria dos scripts do WordPress. Esse método não é tão eficiente quanto o firewall em nível de DNS para reduzir a carga do servidor.

Para saber mais, consulte nossa lista dos melhores plug-ins de firewall para WordPress.

How website firewall blocks attacks

Usamos o Sucuri no WPBeginner por muitos anos e ainda o recomendamos como um dos melhores firewalls de aplicativos da Web para WordPress. Recentemente, mudamos da Sucuri para a Cloudflare porque precisávamos de uma rede CDN maior com recursos mais voltados para clientes corporativos.

Você pode ler sobre como a Sucuri nos ajudou a bloquear 450.000 ataques ao WordPress em um mês.

Attacks blocked by Sucuri

A melhor parte do firewall da Sucuri é que ele também vem com uma garantia de limpeza de malware e remoção de lista negra. Isso significa que, se você for hackeado sob a vigilância deles, eles garantem a correção do seu site, independentemente do número de páginas que você tenha.

Essa é uma garantia muito forte porque o reparo de sites invadidos é caro. Os especialistas em segurança normalmente cobram mais de US$ 250 por hora, enquanto você pode obter toda a pilha de segurança da Sucuri por US$ 199 durante um ano inteiro.

Dito isso, a Sucuri não é o único provedor de firewall em nível de DNS no mercado. O outro concorrente popular é o Cloudflare. Veja nossa comparação entre Sucuri e Cloudflare (prós e contras).

[Voltar ao topo ↑]

Mova seu site WordPress para SSL/HTTPS

O SSL (Secure Sockets Layer) é um protocolo que criptografa a transferência de dados entre o seu site e o navegador do usuário. Essa criptografia torna mais difícil para alguém bisbilhotar e roubar informações.

How SSL Works

Depois de ativar o SSL, o endereço do seu site usará HTTPS em vez de HTTP. Você também verá um sinal de cadeado ou ícone semelhante ao lado do endereço do site no navegador.

Os certificados SSL são normalmente emitidos por autoridades de certificação e seus preços variam de US$ 80 a centenas de dólares por ano. Devido ao custo adicional, a maioria dos proprietários de sites no passado optou por continuar usando o protocolo inseguro.

Para corrigir isso, uma organização sem fins lucrativos chamada Let’s Encrypt decidiu oferecer certificados SSL gratuitos aos proprietários de sites. Seu projeto é apoiado pelo Google Chrome, Facebook, Mozilla e muitas outras empresas.

Está mais fácil do que nunca começar a usar SSL em todos os seus sites WordPress. Muitas empresas de hospedagem agora oferecem um certificado SSL gratuito para seu site WordPress.

Se a sua empresa de hospedagem não oferecer um, você poderá adquirir um certificado SSL na Domain.com. Eles têm as melhores e mais confiáveis ofertas de SSL do mercado. O certificado vem com uma garantia de segurança de US$ 10.000 e um selo de segurança TrustLogo.

Se você fizer tudo o que mencionamos até agora, estará em boas condições.

Mas, como sempre, há mais coisas que você pode fazer para reforçar a segurança do WordPress.

Lembre-se de que algumas dessas etapas podem exigir conhecimento de codificação.

Alterar o nome de usuário padrão do administrador

Antigamente, o nome de usuário padrão do administrador do WordPress era “admin”. Como os nomes de usuário representam metade das credenciais de login, isso facilitava os ataques de força bruta por parte dos hackers.

Felizmente, o WordPress mudou isso e agora exige que você selecione um nome de usuário personalizado no momento da instalação do WordPress.

No entanto, alguns instaladores do WordPress com um clique ainda definem o nome de usuário padrão do administrador como “admin”. Se você perceber que esse é o caso, provavelmente é uma boa ideia mudar sua hospedagem na Web.

Como o WordPress não permite que você altere os nomes de usuário por padrão, há três métodos que podem ser usados para alterar o nome de usuário.

  1. Crie um novo nome de usuário de administrador e exclua o antigo.
  2. Use o plug-in Username Changer
  3. Atualizar o nome de usuário do phpMyAdmin

Abordamos todos esses três aspectos em nosso guia detalhado sobre como alterar corretamente seu nome de usuário do WordPress.

Observação: Para que fique claro, estamos falando de alterar o nome de usuário chamado “admin”, não a função de usuário administrador, que às vezes também é chamada de “admin”.

[Voltar ao topo ↑]

Desativar a edição de arquivos

O WordPress vem com um editor de código integrado que permite editar o tema e os arquivos de plug-in diretamente da área de administração do WordPress.

Nas mãos erradas, esse recurso pode ser um risco à segurança, e é por isso que recomendamos desativá-lo.

Adding custom CSS in a child theme's stylesheet in the theme file editor

Você pode fazer isso facilmente adicionando o seguinte código ao seu arquivo wp-config.php ou com um plug-in de snippet de código como o WPCode (recomendado):

// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );

Mostramos como fazer isso passo a passo em nosso guia sobre como desativar os editores de temas e plugins no painel de administração do WordPress.

Como alternativa, você pode fazer isso com um clique usando o recurso Hardening no plug-in gratuito da Sucuri mencionado acima.

[Voltar ao topo ↑]

Desativar a execução de arquivos PHP em determinados diretórios do WordPress

Outra maneira de reforçar a segurança do WordPress é desativar a execução de arquivos PHP em diretórios onde não são necessários, como /wp-content/uploads/.

Você pode fazer isso abrindo um editor de texto como o Bloco de Notas e colando esse código:

<Files *.php>
deny from all
</Files>

Em seguida, você precisa salvar esse arquivo como .htaccess e carregá-lo na pasta /wp-content/uploads/ do seu site usando um cliente FTP.

Para obter uma explicação mais detalhada, consulte nosso guia sobre como desativar a execução do PHP em determinados diretórios do WordPress.

Como alternativa, você pode fazer isso com um clique usando o recurso Hardening no plug-in gratuito da Sucuri que mencionamos acima.

[Voltar ao topo ↑]

Limitar tentativas de login

Por padrão, o WordPress permite que os usuários tentem fazer login quantas vezes quiserem. Isso deixa seu site WordPress vulnerável a ataques de força bruta. É aqui que os hackers tentam decifrar as senhas tentando fazer login com diferentes combinações.

Isso pode ser facilmente corrigido limitando as tentativas de login fracassadas que um usuário pode fazer. Se você estiver usando o firewall de aplicativo da Web mencionado anteriormente, isso será resolvido automaticamente.

No entanto, se você não tiver o firewall configurado, poderá seguir as etapas abaixo.

Primeiro, você precisa instalar e ativar o plug-in gratuito Limit Login Attempts Reloaded. Para obter mais detalhes, consulte nosso guia passo a passo sobre como instalar um plug-in do WordPress.

Após a ativação, o plug-in começará a limitar o número de tentativas de login que os usuários podem fazer.

As configurações padrão funcionarão para a maioria dos sites; no entanto, você pode personalizá-las visitando a página Configurações ” Limitar tentativas de login e clicando na guia “Configurações” na parte superior. Por exemplo, para estar em conformidade com as leis do GDPR, você pode clicar na caixa de seleção “Conformidade com o GDPR”.

Limit Login Attempts

Para obter instruções detalhadas, dê uma olhada em nosso guia sobre como e por que você deve limitar as tentativas de login no WordPress.

[Voltar ao topo ↑]

Adicionar autenticação de dois fatores (2FA)

O método de autenticação de dois fatores requer duas etapas diferentes para que os usuários façam login:

  1. A primeira etapa é o nome de usuário e a senha.
  2. A segunda etapa exige que você use um código de um dispositivo ou aplicativo em sua posse que os hackers não possam acessar, como o seu smartphone.

A maioria dos principais sites on-line, como Google, Facebook e Twitter, permite que você a habilite para suas contas. Você também pode adicionar a mesma funcionalidade ao seu site WordPress.

Primeiro, você precisa instalar e ativar o plug-in WP 2FA – Two-factor Authentication. Para obter mais detalhes, consulte nosso guia passo a passo sobre como instalar um plug-in do WordPress.

Um assistente fácil de usar o ajudará a configurar o plug-in e, em seguida, você receberá um código QR.

Use Your Authenticator App to Scan the QR Code

Você precisará digitalizar o código QR usando um aplicativo autenticador em seu telefone, como o Google Authenticator, o Authy e o LastPass Authenticator.

Recomendamos usar o LastPass Authenticator ou o Authy porque eles permitem fazer backup de suas contas na nuvem. Isso é muito útil caso seu telefone seja perdido, redefinido ou você compre um novo telefone. Todos os logins de suas contas serão facilmente restaurados.

A maioria desses aplicativos funciona de maneira semelhante e, se você estiver usando o Authy, basta clicar no botão “+” ou “Adicionar conta” no aplicativo autenticador.

Click the + Button to Add an Account

Isso permitirá que você escaneie o código QR no seu computador usando a câmera do seu telefone. Talvez seja necessário primeiro dar permissão ao aplicativo para acessar a câmera.

Depois de dar um nome à conta, você pode salvá-la.

Na próxima vez que você fizer login no site, será solicitado o código de autenticação de dois fatores depois de digitar a senha.

Users Must Enter an Authentication Code Before Logging In

Basta abrir o aplicativo autenticador em seu telefone e você verá um código de uso único.

Em seguida, você pode inserir o código em seu site para concluir o login.

Find Your 2FA Token

[Voltar ao topo ↑]

Alterar o prefixo do banco de dados do WordPress

Por padrão, o WordPress usa wp_ como prefixo para todas as tabelas em seu banco de dados do WordPress.

Se o seu site WordPress estiver usando o prefixo padrão do banco de dados, será mais fácil para os hackers adivinharem o nome da tabela. É por isso que recomendamos alterá-lo.

Você pode alterar o prefixo do seu banco de dados seguindo nosso tutorial passo a passo sobre como alterar o prefixo do banco de dados do WordPress para aumentar a segurança.

Observação: a alteração do prefixo do banco de dados pode danificar seu site se não for feita corretamente. Faça isso somente se você se sentir confortável com suas habilidades de codificação.

[Voltar ao topo ↑]

Proteger com senha a página de administração e de login do WordPress

Password protect WordPress admin example

Normalmente, os hackers podem solicitar sua pasta wp-admin e a página de login sem nenhuma restrição. Isso permite que eles tentem seus truques de hacking ou executem ataques DDoS.

Você pode adicionar proteção por senha adicional no nível do servidor, o que bloqueará efetivamente essas solicitações.

Basta seguir nossas instruções passo a passo sobre como proteger com senha o diretório de administração do WordPress (wp-admin).

[Voltar ao topo ↑]

Desativar a indexação e a navegação no diretório

Directory Browsing

Quando você digitar o endereço de uma das pastas do seu site em um navegador da Web, será exibida a página da Web chamada index.html, se ela existir. Se ela não existir, será exibida uma lista de arquivos nessa pasta. Isso é conhecido como navegação de diretório.

A navegação no diretório pode ser usada por hackers para descobrir se você tem algum arquivo com vulnerabilidades conhecidas, de modo que eles possam tirar proveito desses arquivos para obter acesso.

A navegação no diretório também pode ser usada por outras pessoas para examinar seus arquivos, copiar imagens, descobrir a estrutura do diretório e outras informações. Por isso, é altamente recomendável que você desative a indexação e a navegação de diretórios.

Você precisa se conectar ao seu site usando o FTP ou o gerenciador de arquivos do seu provedor de hospedagem. Em seguida, localize o arquivo .htaccess no diretório raiz do seu site. Se não conseguir localizá-lo, consulte nosso guia sobre por que você não consegue ver o arquivo .htaccess no WordPress.

Depois disso, você precisa adicionar a seguinte linha no final do arquivo .htaccess:

Opções -Indexes

Não se esqueça de salvar e carregar o arquivo .htaccess de volta em seu site.

Para obter mais informações sobre esse tópico, consulte nosso artigo sobre como desativar a navegação em diretórios no WordPress.

[Voltar ao topo ↑]

Desativar XML-RPC no WordPress

XML-RPC é uma API central do WordPress que ajuda a conectar seu site WordPress a aplicativos da Web e móveis. Ela está ativada por padrão desde o WordPress 3.5.

No entanto, devido à sua natureza avançada, o XML-RPC pode ampliar significativamente os ataques de força bruta.

Por exemplo, se um hacker quisesse tentar 500 senhas diferentes em seu site, ele teria que fazer 500 tentativas de login separadas. Isso pode ser detectado e bloqueado pelo plug-in Limit Login Attempts Reloaded.

Mas com o XML-RPC, um hacker pode usar a função system.multicall para testar milhares de senhas com, digamos, 20 ou 50 solicitações.

Por isso, se você não estiver usando o XML-RPC, recomendamos desativá-lo.

Há três maneiras de desativar o XML-RPC no WordPress, e abordamos todas elas em nosso tutorial passo a passo sobre como desativar o XML-RPC no WordPress.

Dica: O método .htaccess é o melhor porque consome menos recursos. Os outros métodos são mais fáceis para iniciantes.

Como alternativa, isso é feito automaticamente se você estiver usando um firewall de aplicativo da Web (WAF), conforme mencionamos anteriormente.

[Voltar ao topo ↑]

Logout automático de usuários ociosos no WordPress

Os usuários conectados podem, às vezes, se afastar da tela, o que representa um risco de segurança. Alguém pode sequestrar sua sessão, alterar senhas ou fazer alterações em sua conta.

É por isso que muitos sites bancários e financeiros fazem o logout automático de um usuário inativo. Você também pode configurar uma funcionalidade semelhante em seu site WordPress.

Você precisará instalar e ativar o plug-in Inactive Logout. Após a ativação, visite a página Configurações ” Logout inativo para personalizar as configurações de logout.

Logout idle users

Basta definir o tempo de duração e adicionar uma mensagem de logout. Em seguida, não se esqueça de clicar no botão “Save Changes” (Salvar alterações) na parte inferior da página para armazenar suas configurações.

Para obter instruções passo a passo, consulte o nosso guia sobre como fazer o logout automático de usuários inativos no WordPress.

[Voltar ao topo ↑]

Adicionar perguntas de segurança à tela de login do WordPress

Adicionar uma pergunta de segurança à tela de login do WordPress torna ainda mais difícil para alguém obter acesso não autorizado.

Você pode adicionar perguntas de segurança instalando o plug-in Two Factor Authentication. Após a ativação, você precisa visitar a página Autenticação multifator ” Two Factor para definir as configurações do plug-in.

Isso permitirá que você adicione vários tipos de autenticação de dois fatores ao seu site, inclusive perguntas de segurança.

Adding Security Questions to WordPress Login

Para obter instruções mais detalhadas, consulte nosso tutorial sobre como adicionar perguntas de segurança à tela de login do WordPress.

[Voltar ao topo ↑]

Verificar se há malware e vulnerabilidades no WordPress

Malware Scan

Se você tiver um plug-in de segurança do WordPress instalado, ele verificará rotineiramente se há malware e sinais de violações de segurança.

No entanto, se você observar uma queda repentina no tráfego do site ou nas classificações de pesquisa, talvez queira fazer uma varredura manual em busca de malware. Você pode fazer isso usando o plug-in de segurança do WordPress ou um dos melhores scanners de malware e segurança.

A execução dessas varreduras on-line é bastante simples. Basta digitar o URL do seu site e os rastreadores do site o examinarão em busca de malware e códigos mal-intencionados conhecidos.

Agora, lembre-se de que a maioria dos scanners de segurança do WordPress só pode avisá-lo se o seu site contiver malware. Eles não podem remover o malware nem limpar um site WordPress invadido.

Isso nos leva à próxima seção, que trata da limpeza de malware e sites WordPress invadidos.

[Voltar ao topo ↑]

Corrigir um site WordPress invadido

Muitos usuários do WordPress não percebem a importância dos backups e da segurança do site até que seu site seja invadido.

Os hackers instalam backdoors nos sites afetados e, se esses backdoors não forem corrigidos adequadamente, seu site provavelmente será invadido novamente.

Para os usuários aventureiros e DIY, compilamos um guia passo a passo sobre como corrigir um site WordPress invadido.

Entretanto, a limpeza de um site WordPress pode ser muito difícil e demorada. Nossa recomendação é deixar que um profissional cuide disso.

Se você estiver pagando para usar o plug-in de segurança da Sucuri que mencionamos acima, o reparo do site invadido estará incluído no preço.

Você também pode usar o serviço de reparo de sites invadidos do WPBeginner Pro Services. Isso requer um pagamento único de US$ 249 e inclui determinação de arquivos premium, remoção de códigos maliciosos, atualizações de software e segurança e um backup limpo do site.

WPBeginner Pro Services Hacked Site Repair

Garantimos a correção de seu site ou a devolução de seu dinheiro. Também cobrimos seu site por 30 dias após o reparo, portanto, se você for hackeado novamente durante esse período, estaremos lá para consertá-lo.

Limpamos e protegemos sites WordPress há mais de 10 anos, portanto, você terá tranquilidade ao usar nosso serviço de reparo de sites invadidos.

[Voltar ao topo ↑]

Dica bônus: contrate um serviço de manutenção do WordPress

Como proprietário de uma pequena empresa ocupada, talvez você não tenha tempo para monitorar a segurança do seu site e protegê-lo contra vulnerabilidades. Portanto, para facilitar sua mente e aliviar sua carga de trabalho, você pode contratar um serviço de manutenção do WordPress para monitoramento de segurança 24 horas por dia, 7 dias por semana.

O WPBeginner Pro Services oferece manutenção abrangente de sites WordPress a um preço acessível. Ele inclui monitoramento de segurança, backups de rotina na nuvem, atualizações do WordPress, monitoramento do tempo de atividade e muito mais.

WPBeginner WordPress website maintenance service

Basta escolher um pacote de serviço de manutenção mensal que atenda às suas necessidades e você terá um site WordPress mais seguro e mais tempo livre para trabalhar em outros aspectos da sua empresa.

Se quiser outras recomendações, você pode ver nossa seleção dos melhores serviços de manutenção de sites para WordPress.

[Voltar ao topo ↑]

Esperamos que este artigo tenha ajudado você a conhecer as práticas recomendadas de segurança do WordPress e a descobrir os principais plug-ins de segurança do WordPress para o seu site. Talvez você também queira ver nosso guia definitivo de SEO para WordPress para melhorar suas classificações de SEO e nossas dicas de especialistas sobre como acelerar o WordPress.

Se você gostou deste artigo, inscreva-se em nosso canal do YouTube para receber tutoriais em vídeo sobre o WordPress. Você também pode nos encontrar no Twitter e no Facebook.

Avatar

Editorial Staff at WPBeginner is a team of WordPress experts led by Syed Balkhi with over 16 years of experience in WordPress, Web Hosting, eCommerce, SEO, and Marketing. Started in 2009, WPBeginner is now the largest free WordPress resource site in the industry and is often referred to as the Wikipedia for WordPress.

Reader Interactions

O kit de ferramentas definitivo WordPress

Obtenha acesso GRATUITO ao nosso kit de ferramentas - uma coleção de produtos e recursos relacionados ao WordPress que todo profissional deve ter!

Divulgação: Nosso conteúdo é apoiado pelo leitor. Isso significa que, se você clicar em alguns de nossos links, poderemos receber uma comissão. Veja como o WPBeginner é financiado, por que isso é importante e como você pode nos apoiar. Aqui está nosso processo editorial.

161 ComentáriosDeixe uma resposta

  1. Syed Balkhi says

    Hey WPBeginner readers,
    Did you know you can win exciting prizes by commenting on WPBeginner?
    Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
    You can get more details about the contest from here.
    Start sharing your thoughts below to stand a chance to win!

  2. Kushal Phalak says

    Great article! Last year my website was hacked(redirecting to another suspicious website), so I think it is a must to use security measure. In my case, I had to delete my website and was lucky that my hosting provider had backup feature. From then I used Wordfence to secure my websites, but moved to Sucuri as it provided the services like DDoS protection, and CDN as well.

  3. Ayanda Temitayo says

    Please I want to ask that is it security wise to change the url of the default login page to another custom url. Like from yourwebsite.com/wp-login to yourwebsite.com/anotherName-login

    I once use a plugin to change my login url to another url where nobody can easily route to my login page. So one of my SEO guy said it will be easy for hackers to hack my site if the plugin is vulnerable and I will lose everything on my website if I keep using a custom route to login page.

    What’s your opinion about changing the default login route?

  4. al amin Sheikh says

    Two important things in a website – Performance and Security.
    Nicely explained how we can protect our site from hackers. Thanks, WPB.

  5. mohadese esmaeeli says

    Hello, thank you for this excellent article.I also want to add a few more items to this list, such as using the Google reCAPTCHA plugin, employing security hardware related to the server, examining security tools within the hosting environment, such as Imunify360, and regularly changing passwords at short intervals.

    • WPBeginner Support says

      Thank you for your recommendations, hosts do have different tools so it would be best to check with the hosting provider for any security tools they offer :)

      Administrador

  6. Fajri says

    Whoa, the method to Disable XML-RPC in WordPress is totally new for me.

    I am gonna try to applicate it to add more security for my websites. Thanks for this information team!

  7. Murad Prodhan says

    WPbeginner is one the best websites for our community. This article is very helpful for me. Thanks WPbeginner.

  8. Jiří Vaněk says

    This is a great article. There are many things here that never occurred to me, even though I tried to secure with WordPress as much as possible. I just copied a snippet to hide error messages when logging into WordPress and I’m going to apply it to my website. It probably won’t stop at just this thing. This article is really a fantastic list of great tips. Thank you for advancing awareness about security. Great job.

  9. Etop Udoekene says

    Thanks very much. This information has come to me at just the right time, as I am in the process of setting up my website again after losing my former laptop and Android phone to thieves.
    I am really grateful.

    • WPBeginner Support says

      You’re welcome, hopefully things get better and we hope our guide helps you with keeping your site secure after that.

      Administrador

  10. Mark Ellsworth says

    Thank you – very well organized and comprehensive! This will definitely help with what is an ongoing and challenging issue with WordPress installs.

  11. Ifakayode Femi says

    I loved this article and am bookmarking this page for future cause I might not remember the names of most plugins listed here, but sincerely this article helps a long way

    Thanks for taking your time to compose this
    Thanks a million times

  12. Marko Kozlica says

    Wow! Extensive and thorough article for beginners and experienced wordpressers alike. Keep up the good work!

  13. Bob De Maria says

    Hi,
    I am brand new to this and this was my first email and I am ever glad I am signed up. You hit on one of my concerns that is right at the top of my list.

    I can’t thank you enough for a very well written and much appreciated tutorial.

    Best Regards,

    Bob De Maria

    • WPBeginner Support says

      Thank you for letting us know, we will be sure to look for an alternative we would recommend :)

      Administrador

  14. MS says

    Hi guys! Txs a lot for this usefull resouces. 1 question, will any of this affect the loading time of my website/pages???

  15. tim jackz says

    Hello team,

    If i install two security plugin in my wordpress website, is there any disadvantages for my website?

    • WPBeginner Support says

      You would want to check with the support for the plugins you are looking to use, some work together but others try to do the same tasks which can cause conflicts.

      Administrador

  16. Diego says

    My WordPress site is running WordPress 5.1.8 which part of the 5.1 branch, last updated on November 2020. The current WordPress version is 5.6.2.

    I don’t quite understands all these different branches of WP.
    Should I still need to upgrade?

  17. Julia says

    So I pay premium and the free plugins are only for business, is there a way around that. They don’t let us pay for plugins. Premium and lower are not allowed to use them at all.

  18. Trisha says

    Great tutorial, thank you! In going thru my 404 error logs, I see a lot of bots hitting non-existent plugins in my /plugins folder….I’m not overly concerned since the plugins they’re looking for don’t exist (hence the 404) BUT is there a way to protect my /plugins folder that won’t interfere with normal plugin operations? Is this advisable? Should I even be concerned?

    • WPBeginner Support says

      That normally shouldn’t be something you should be concerned with unless the plugin is on your site then you may want to ensure you have that plugin up to date in case the bot was looking for a plugin with a security vulnerability.

      Administrador

    • WPBeginner Support says

      You would need to check your active plugins and reach out to your hosting provider to see what is active for your site.

      Administrador

  19. Julie Taylor says

    Very helpful information. I would like to know your thoughts on the following, if i were to implement all of those security situations, particuarly those that were involving code etc does it effect Google to be able to pull up the site and for SEO to work effectively?

    • WPBeginner Support says

      No, our guides are for WordPress.org sites, you would want to reach out to WordPress.com for the hardening steps they allow :)

      Administrador

  20. Leanne says

    This is one of the best tutorial sites (on any subject matter) I have found. Thank you I will refer wpbeginner to others – awesome site!

  21. Daniel says

    You know there are guys charging more than $50 or $100 dollars to teach you how to do all of this, and you gave it for free! Thanks heaps guys!

  22. Mydas says

    This was super-useful. I have the coding skills to implement all of it, and now I can take much better care of my and my clients’ WordPress installations. Thank you for the info, it’s so complete that I can’t believe it’s free xD

  23. Splendor Edesiri says

    Please do I need a VPN to access my WordPress site from the backend as part of my WordPress site security.

  24. Kam says

    Thank you for this article. It is essential reading!

    If you have a host like Bluehost, is it essential to have backup with a plugin such as Updraft plus + remote storage? After all, hosting providers should be providing backup?

    • WPBeginner Support says

      While some hosts offer backups, we still recommend creating your own backups for safety

      Administrador

  25. kalmoa says

    just an FYI, with Nginx there is no directory-level configuration file like Apache’s .htaccess. All configuration has to be done at the server level by an administrator, and WordPress cannot modify the configuration, like it can with Apache. So the part about ‘Disable PHP File Execution’, cannot be completed by wordpress installs running on Nginx. That includes myself, who is running my wordpress install on Vultr. Their one-click wordpress install gets deployed on Nginx (ubuntu 18.04)

    • WPBeginner Support says

      Thank you for sharing this for the users who specifically are using Nginx for their site.

      Administrador

  26. Tom says

    What is the best method to update plugins if I have several that need updating? Update one at a time and see if the updated plugin breaks any of the functionality on the website?

  27. Kartik Satija says

    Amazing article, very well articulated and documented.
    Thank you all so much for this.
    More power to you guys, keep up the good work.

    Cheers,
    Kartik.

  28. Liz says

    Great article. I have a question about the hardening options. I read that enabling hardening on all options can cause some plugins or the theme to break/not work properly. If this happens, how difficult is it to fix? It seems like there’s more to it than just reverting the hardening option. Any insight you could offer would be greatly appreciated. Thanks!

    • WPBeginner Support says

      It would depend on the specific hardening recommendation, plugin, and error message for the difficulty should an error appear. Otherwise, most plugins shouldn’t have an issue

      Administrador

  29. Gary Starling says

    Very helpful suggestions and well explained from the basic to the complex
    Thank you four your explanations

  30. Andrei says

    Hi guys,

    After the first user enumeration, brute force a security plugin will block that IP address.

    If you password protect the wp-admin directory the plugin can no longer block that IP.

    Is that a correct assessment?

    • WPBeginner Support says

      Correct, there would be a similar load to a blocked IP but if you need many new users to access your site then limiting login attempts would be better than password protecting your wp-admin

      Administrador

      • Andrei says

        Ok, I finally understood how this works and sharing here for everyone. Password protecting wp-admin is done at the server (Apache/Nginx) level. If a user enumeration, brute force is unable to bypass the server level, it would not be able to touch PHP/MySQL. Thus, password protecting wp-admin does not put additional load on the database.

  31. Aqib khan says

    i will always follow you.i will always love you and always share such a fresh and cool content to make us smile.Thank You.

  32. mahmoud says

    I love this site. you’re offering precious information.
    I’m a beginner and this is helpful.
    but can I only have a strong password and disable indexing to do the matter?
    what about all these plugins I think they will affect the site speed or this not installed on the site?

  33. Krishna says

    Hi WP Beginner Team,

    Thanks for such a brief explanation of WordPress security. This article was very useful and let know the value of wp security for the users and website owner.

    THANKS AGAIN…

  34. Kushal says

    I used all plugin that you mentioned sucuri, itheams, wp serber and jetpack. How many plugin can I use on my website.

  35. Dietrich says

    Hi

    Is it okay to use Sucuri and Wordfence at the same time? I installed Wordfence since Sucuri’s free version doesn’t have a firewall feature.

    • WPBeginner Support says

      We would not recommend using both, multiple security tools can conflict with each other and cause issues with your site.

      Administrador

Deixe uma resposta

Obrigado por deixar um comentário. Lembre-se de que todos os comentários são moderados de acordo com nossos política de comentários, e seu endereço de e-mail NÃO será publicado. NÃO use palavras-chave no campo do nome. Vamos ter uma conversa pessoal e significativa.