WPBeginner - Tutoriais de WordPress para iniciantes

Trusted WordPress tutorials, when you need them most.
Beginner’s Guide to WordPress
Copa WPB
25 Million+
Websites using our plugins
16+
Years of WordPress experience
3000+
WordPress tutorials
by experts

14 dicas vitais para proteger sua área de administração do WordPress (atualizado)

Última atualização em por Editorial Staff | Avaliado por: Syed Balkhi

Compartilhar Facebook Messenger WhatsApp
Nota editorial: Ganhamos uma comissão de links de parceiros no WPBeginner. As comissões não afetam as opiniões ou avaliações de nossos editores. Saiba mais sobre Processo editorial.

Você está procurando maneiras de proteger sua área de administração do WordPress?

Proteger a área de administração contra acesso não autorizado permite bloquear muitas ameaças comuns à segurança. Isso pode ser útil se você estiver sofrendo muitos ataques em seu site WordPress.

Neste tutorial, mostraremos algumas dicas e hacks essenciais para proteger sua área de administração do WordPress.

Tips and hacks to protect WordPress admin area

Abordaremos várias dicas, e você pode usar os links rápidos abaixo para alternar entre elas:

1. Use um firewall

Um firewall monitora o tráfego do site e impede que solicitações suspeitas cheguem ao seu site.

Embora existam vários plug-ins de firewall para WordPress, como o Wordfence, recomendamos o uso do Sucuri. Ele é um serviço de segurança e monitoramento de sites que oferece um firewall baseado em nuvem para proteger seu site.

Website Application Firewall

Todo o tráfego do seu site passa primeiro pelo proxy em nuvem da Sucuri, que analisa cada solicitação e impede que as suspeitas cheguem ao seu site. Isso evita que seu site seja alvo de possíveis tentativas de invasão, phishing, malware e outras atividades mal-intencionadas.

Outra ótima opção é o Cloudflare, que é o que usamos agora no WPBeginner. Para obter mais detalhes, consulte nosso artigo sobre por que mudamos da Sucuri para a Cloudflare.

2. Proteger o diretório de administração do WordPress com senha

Sua área de administração do WordPress já está protegida por sua senha do WordPress. No entanto, adicionar proteção por senha ao diretório de administração do WordPress acrescenta outra camada de segurança à sua página de login.

Primeiro, é necessário fazer login no painel do cPanel da hospedagem na Web do WordPress e clicar no ícone “Password Protect Directories” (Diretórios protegidos por senha) ou “Directory Privacy” (Privacidade do diretório).

Directory privacy

Em seguida, você precisará selecionar sua pasta wp-admin, que normalmente está localizada dentro do diretório /public_html/.

Na tela seguinte, você precisa marcar a caixa ao lado da opção “Password protect this directory” (Proteger este diretório com senha) e fornecer um nome para o diretório protegido.

Depois disso, clique no botão “Salvar” para definir as permissões.

Password protect directory settings

Em seguida, é necessário clicar no botão voltar e criar um usuário. Será solicitado que você forneça um nome de usuário/senha e, em seguida, clique no botão “Save” (Salvar).

Agora, quando alguém tentar visitar o diretório de administração do WordPress ou wp-admin em seu site, será solicitado a inserir o nome de usuário e a senha.

Enter password

Para obter instruções mais detalhadas, consulte nosso guia sobre como proteger com senha o diretório de administração do WordPress (wp-admin).

3. Use sempre senhas fortes

Always use strong passwords

Sempre use senhas fortes para todas as suas contas on-line, inclusive para o site do WordPress. Recomendamos o uso de uma combinação de letras, números e caracteres especiais em suas senhas. Isso torna mais difícil para os hackers adivinharem sua senha.

Os iniciantes sempre nos perguntam como lembrar todas essas senhas. A resposta mais simples é que você não precisa. Existem alguns aplicativos gerenciadores de senhas realmente excelentes que você pode instalar no seu computador e telefone.

Para obter mais informações sobre esse tópico, consulte nosso guia sobre a melhor maneira de gerenciar senhas para iniciantes no WordPress.

4. Use a verificação em duas etapas na tela de login do WordPress

WordPress login screen with Google Authenticator enabled

A verificação em duas etapas, também conhecida como verificação de dois fatores, autenticação de dois fatores ou 2FA, acrescenta outra camada de segurança às suas senhas. Em vez de usar apenas a senha, ela solicita que você insira um código de verificação gerado pelo aplicativo Google Authenticator no seu telefone.

Mesmo que alguém consiga adivinhar sua senha do WordPress, ele ainda precisará do código do Google Authenticator para entrar.

Para obter instruções detalhadas passo a passo, consulte nosso guia sobre como configurar a verificação em duas etapas no WordPress usando o Google Authenticator.

5. Limitar tentativas de login

Limit login attempts

Por padrão, o WordPress permite que os usuários digitem as senhas quantas vezes quiserem. Isso significa que alguém pode continuar tentando adivinhar sua senha do WordPress inserindo combinações diferentes. Isso também permite que os hackers usem scripts automatizados para decifrar senhas.

Para corrigir isso, você precisa instalar e ativar o plug-in Login Lockdown. Após a ativação, vá para a página Settings ” Login Lockdown para definir as configurações do plug-in.

Para obter instruções detalhadas, consulte nosso guia sobre por que você deve limitar as tentativas de login no WordPress.

6. Limitar o acesso de login a endereços IP

Outra ótima maneira de proteger o login do WordPress é limitar o acesso a endereços IP específicos. Essa dica é particularmente útil se você ou apenas alguns usuários confiáveis precisarem acessar a área administrativa.

Basta adicionar este código ao seu arquivo .htaccess:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName "WordPress Admin Access Control"
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
# whitelist Syed's IP address
allow from xx.xx.xx.xxx
# whitelist David's IP address
allow from xx.xx.xx.xxx
</LIMIT>
Hosted with ❤️ by WPCode
1-click Use in WordPress

Não se esqueça de substituir os valores xx por seu próprio endereço IP. Se você usa mais de um endereço IP para acessar a Internet, certifique-se de adicioná-los também.

Para obter instruções detalhadas, consulte nosso guia sobre como limitar o acesso ao administrador do WordPress usando .htaccess.

7. Desativar dicas de login

Disabled login hints

Em uma tentativa de login com falha, o WordPress mostra erros que informam aos usuários se o nome de usuário estava incorreto ou a senha. Essas dicas de login podem ser usadas por alguém para tentativas maliciosas, como ataques de força bruta.

Você pode ocultar facilmente essas dicas de login adicionando o seguinte código ao arquivo functions.php do seu tema ou usando um plug-in de snippets de código como o WPCode (recomendado):

function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );
Hosted with ❤️ by WPCode
1-click Use in WordPress

Para obter mais detalhes, consulte nosso guia sobre como adicionar código personalizado no WordPress sem danificar seu site.

8. Exija que os usuários usem senhas fortes

Se você tiver um site WordPress com vários autores, esses usuários poderão editar suas contas de usuário e usar uma senha fraca. Essas senhas podem ser quebradas e dar a alguém acesso à área de administração do WordPress.

Para corrigir isso, você pode instalar e ativar o plug-in SolidWP. Em seguida, siga as etapas do nosso guia completo sobre como forçar senhas fortes nos usuários do WordPress.

9. Redefinir senha para todos os usuários

Está preocupado com a segurança da senha em seu site WordPress multiusuário? Você pode facilmente pedir a todos os seus usuários que redefinam suas senhas.

Primeiro, você precisa instalar e ativar o plug-in Emergency Password Reset. Após a ativação, vá para a página Usuários ” Redefinição de senha de emergência e clique no botão “Redefinir todas as senhas”.

Reset all passwords

Para obter instruções detalhadas, consulte nosso guia sobre como redefinir as senhas de todos os usuários no WordPress

10. Mantenha o WordPress atualizado

O WordPress lança frequentemente novas versões de software. Cada nova versão do núcleo do WordPress contém importantes correções de bugs, novos recursos e correções de segurança.

O uso de uma versão mais antiga do WordPress em seu site o deixa exposto a explorações conhecidas e possíveis vulnerabilidades. Para corrigir isso, você precisa se certificar de que está usando a versão mais recente do WordPress.

Para saber mais sobre esse tópico, consulte nosso guia sobre por que você deve sempre usar a versão mais recente do WordPress.

Da mesma forma, os plug-ins do WordPress também são atualizados com frequência para introduzir novos recursos ou corrigir problemas de segurança e outros. Certifique-se de que seus plug-ins do WordPress também estejam atualizados.

Observação: Você prefere deixar sua manutenção do WordPress para os profissionais? Nossos serviços de manutenção WPBeginner podem cuidar de tudo, desde atualizações até remoção de malware, para que você possa se concentrar apenas na administração do seu site.

11. Criar páginas personalizadas de login e registro

Muitos sites WordPress exigem que os usuários se registrem. Por exemplo, sites de associação, sites de gerenciamento de aprendizado e lojas on-line precisam que os usuários criem uma conta.

No entanto, esses usuários podem usar suas contas para fazer login na área de administração do WordPress. Isso não é um grande problema, pois eles só poderão fazer coisas permitidas por sua função de usuário e seus recursos.

No entanto, isso o impede de limitar adequadamente o acesso às páginas de login e registro, pois você precisa dessas páginas para que os usuários se inscrevam, gerenciem seus perfis e façam login.

A maneira fácil de corrigir isso é criar páginas personalizadas de login e registro para que os usuários possam se inscrever e fazer login diretamente no seu site.

Para obter instruções detalhadas passo a passo, consulte nosso guia sobre como criar páginas personalizadas de login e registro no WordPress.

12. Saiba mais sobre funções e permissões de usuário do WordPress

O WordPress vem com um sistema avançado de gerenciamento de usuários com diferentes funções e recursos de usuário. Ao adicionar um novo usuário ao seu site WordPress, você pode selecionar uma função de usuário para ele. Essa função de usuário define o que ele pode fazer no seu site WordPress.

A atribuição de funções de usuário incorretas pode dar às pessoas mais recursos do que elas precisam. Para evitar isso, você precisa entender quais recursos vêm com as diferentes funções de usuário no WordPress.

Para saber mais sobre esse tópico, consulte nosso guia para iniciantes sobre funções e permissões de usuário do WordPress.

13. Limitar o acesso ao painel do WordPress

Alguns sites do WordPress têm determinados usuários que precisam acessar o painel e outros que não precisam. No entanto, por padrão, todos eles podem acessar a área de administração.

Para corrigir isso, você precisa instalar e ativar o plug-in Remove Dashboard Access. Após a ativação, vá para a página Settings ” Dashboard Access e selecione quais funções de usuário terão acesso à área de administração do seu site.

Para obter instruções mais detalhadas, consulte nosso guia sobre como limitar o acesso ao painel de controle no WordPress.

14. Fazer logout de usuários ociosos

Idle user logout

O WordPress não faz o logout automático dos usuários até que eles façam o logout explicitamente ou fechem a janela do navegador. Isso pode ser uma preocupação para sites WordPress com informações confidenciais. É por isso que os sites e aplicativos de instituições financeiras fazem o logout automático dos usuários se eles não estiverem ativos.

Para corrigir isso, você pode instalar e ativar o plug-in Inactive Logout. Após a ativação, vá para a página Configurações ” Logout inativo e insira o tempo após o qual deseja que os usuários sejam desconectados automaticamente.

Para obter mais detalhes, consulte nosso artigo sobre como fazer logout automático de usuários inativos no WordPress.

Esperamos que este artigo tenha ajudado você a aprender algumas novas dicas e hacks para proteger sua área de administração do WordPress. Talvez você também queira ver nosso guia passo a passo definitivo de segurança do WordPress para iniciantes e nossas escolhas de especialistas dos melhores plug-ins de segurança do WordPress.

Se você gostou deste artigo, inscreva-se em nosso canal do YouTube para receber tutoriais em vídeo sobre o WordPress. Você também pode nos encontrar no Twitter e no Facebook.

Popular no WPBeginner Agora mesmo!

Divulgação: Nosso conteúdo é apoiado pelo leitor. Isso significa que, se você clicar em alguns de nossos links, poderemos receber uma comissão. Veja como o WPBeginner é financiado, por que isso é importante e como você pode nos apoiar. Aqui está nosso processo editorial.

Avatar

Editorial Staff at WPBeginner is a team of WordPress experts led by Syed Balkhi with over 16 years of experience in WordPress, Web Hosting, eCommerce, SEO, and Marketing. Started in 2009, WPBeginner is now the largest free WordPress resource site in the industry and is often referred to as the Wikipedia for WordPress.

O kit de ferramentas definitivo WordPress

Obtenha acesso GRATUITO ao nosso kit de ferramentas - uma coleção de produtos e recursos relacionados ao WordPress que todo profissional deve ter!

Faça o download agora

Reader Interactions

134 ComentáriosDeixe uma resposta

  1. Syed Balkhi says

    Hey WPBeginner readers,
    Did you know you can win exciting prizes by commenting on WPBeginner?
    Every month, our top blog commenters will win HUGE rewards, including premium WordPress plugin licenses and cash prizes.
    You can get more details about the contest from here.
    Start sharing your thoughts below to stand a chance to win!

  4. anthony says

    This is great information which I will be implementing ASAP!I have already experienced having my blog hacked so have been worried about these issues.Many thanks!!

    Responder

  9. Jessica says

    I’m currently learning wp development. I want to make a ecommerce site with wordpress using the WP e-Commerce plugin. Does anyone know if these tips will keep my ecommerce site secure.

    Responder

  10. Ursula Comeau says

    Wow – this is an AWESOME post! Thank you so much for sharing all this information – and some great plugins as well!

    In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one. ;)

    Responder

  11. Lilia says

    The problem with plugins is that they’re not always compatible with every version, and they aren’t always updated.

    Responder

    • Editorial Staff says

      Most plugins are compatible with newer versions, and if the developer decides to leave development of the plugin, others often pick up and create a plugin with fixes for the future releases. You just have to stay active in the community.

      Responder

      Administrador

  13. Dagmar says

    There are also some paid plugins – i.e. “WP Secure” which also claims it is going to make your WP secure from hackers. It also works on the summary of couple of the principles above – i.e. custom made login page, one IP confirmation etc.

    Is it worthy to purchase? = anybody knows if it is easier to use for non-techie than some of the above mentioned?

    Responder

  15. Kjetil says

    Hi
    Thanks a lot for your tips.
    Regarding tip 8, I wonder how to insert the code
    `add_filter(’login_errors’,create_function(’$a’, “return null;”));`
    What is the complete function to use?
    I’d like to try since I already use AskApache Password Protect and that plugin is incompatible with Secure WordPress.
    Thanks,
    Kjetil
    – http://www.dolcevita.no

    Responder

    • Editorial Staff says

      You go to functions.php and insert that code. Thats all if we understand your question clearly. If this has not answered it, then please reply to the comment and we will surely take a look at it.

      Responder

      Administrador

  16. Robinoz says

    Thanks for this invaluable information. I’ve just suffered a malware attack that put my blog off line for a day or two while I had my WordPress programmer sort it out. Ver inconvenient.

    I’ll be implementing some of the suggestions you’ve made in the next day or so.

    Robinoz
    http://www.e1jobs-blog.com (All About Jobs blog”

    Responder

  17. secure server says

    good tips for securing wordpress. as time goes we are going to see hosts either become more stringent and secure or cms packages need to implement on install a few more security initiatives.

    Responder

  19. John Macpherson says

    It took me a few minutes to work this one out but you have the wrong kind of quotes around this function

    add_filter(’login_errors’,create_function(’$a’, “return null;”));

    It should be:

    add_filter(‘login_errors’,create_function(‘$a’, “return null;”));

    Other than that, great post.

    Responder

  20. jakesjohn says

    What you can from Wp-PreventCopyBlogs WordPress Plugin

    1.Track the visitors who try to copy your content.

    2.Record the ip of the user who tries to do fraudulent copy with their landing url of your site and referral url.This can help you to do necessary measures if you notice something bad.

    3.Enable Message displayed to your user upon user’s choice.

    4.Disable Selection of you text and Right Click for users depending on the option.

    Responder

  24. Henry says

    Regarding #6, if you use the following .htaccess file you will be able to login from other locations in a two-step process. This requires you to add a htpasswd file (read your server documentation).

    AuthUserFile ‘some htpasswd file’
    AuthGroupFile /dev/null
    AuthName “WordPress Admin Access Control”
    AuthType Basic

    order deny,allow
    deny from all
    Require valid-user
    # whitelist Syed’s IP address
    allow from xx.xx.xx.xxx
    # whitelist David’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Amanda’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Muhammad’s IP address
    allow from xx.xx.xx.xxx
    # whitelist Work IP address
    allow from xx.xx.xx.xxx
    Satisfy Any

    The “require valid user” and “satisfy any” lines will force the Apache Server to request a Username and Password before you can access the WordPress Login screen. Please DO NOT use the same Username and Password in the htpasswd file that you use for your WordPress access, or you will defeat the purpose of the extra level of security.

    Responder

  27. Constantine says

    Hi, I have been blogging for 3 years. My blog got hacked in June 2009 and google banned for 30 days, my pageviews immediately slide from 800 a day to less than 100 a day.
    I highly recommend installing wordpress firewall plugin. The plugin will send your an email every time someone tries to hack your blog together with the hackers IP address. The plugin detects and blocks strange requests, redirecting the attack to the homepage.
    On monday i got an email of six attempted hack attempts over the weekend. The hacker tried the admin page three times when that failed he tried searching wordspew plugin which i dont use.

    To all newbies good luck

    Responder

    • Renee Fischer says

      Once a hack is successful the bot or human hacker will keep your data and keep retrying your website files looking for a way back in. they will continue to be relentless. if they have happened to hack your email or computer or server they will keep going until they have hacked everything you touch. they are like cockroaches that found crumbs that led to your house.

      Responder

    • Editorial Staff says

      You give them the special URL that you created if you trust them enough. For the most part, guest authors should not even be allowed in the admin panel unless they are authors of your site. If someone has written multiple posts for your site then they can be trustable so you can give them the special url /login or /googlogin or whatever you created.

      Most top blogs take guest posts via email and if those guest authors become regular authors, only then they are allowed in the admin panel.

      Responder

      Administrador

  34. Tim says

    Great tips.

    For the involved readers there is an inaccuracy in #6.

    “The downside to this hack is that if you ever want to access the admin panel from some other place, you won’t be able to do so unless you add that extra IP in your .htaccess file.”

    If the ip-address you allow is a box you can can SSH into, you can SSH tunnel through it (I use foxyproxy, because it makes the switch very easy). Also, if you are using nginx instead of apache you can evaluate the URI w/ regular expressions to block everything from wp-app.php to wp-trackback.php (or selectively choose which ones you do not want to block). I cover this @ http://www.phrison.com/securing-arbitrary-uris/ but it is not for the unexperienced.

    I have a large collection of tin-foil hats.

    Responder

  38. Jo says

    This site is a happy new find for me (FYI,thanks to @Problogger on Twitter), and I’m looking forward to further exploration. This article is the kind of tight, clear writing that is too rare these days. Thanks for some genuinely helpful information.

    Responder

    • Editorial Staff says

      We are glad that you like our site, and we are also very glad that Darren found the article useful enough to tweet it. We hope you follow us on twitter so you can stay up to date with all the nice tutorials.

      Responder

      Administrador

  39. Marc says

    Wow – I’m fairly new to WP and had no idea there were so many gateways for hackers. I’m sure they won’t find their way in after adding a few of these.

    Thanks.

    Responder

  40. Roger Duck says

    WordPress security is a growing issue and these steps are critical for securing a WordPress site. Beefing up security helps the entire community as well as your own site to take time to implement these ideas. Well done.

    Responder

  42. James Morrison says

    A good list of vital tips to secure your site. I particularly like #8 I’ve never done this before but will from now on!

    Regarding #7 – Remove ‘admin’ username:

    I don’t remove the admin username, I create a new admin account then change the ‘admin’ users account type to subscriber.

    That way, even if someone does crack the password it’s a useless account. If you remove it, someone can register that username…

    Responder

  43. Cheap Sites says

    Thank you for all the suggestions, I’m working on a few big projects and this will certainly help once the blogs are up and running.

    First time here and I’m loving the blog, good job!

    Dan

    Responder

    • Editorial Staff says

      Yes you can do that, but in this article we were only talking about WordPress Admin Panel not the entire site in general. There are many other ways to protect your site entire WordPress blog.

      Responder

      Administrador

  50. Rafi says

    Hey this is a wonderful collection of tips and hacks, very useful. I recommend every WP blogger to go through the list and follow the steps as well as any other useful resources available elsewhere. After all we have NOT set up our blogs so someone shall take control of our lives. Damn.

    Thanks for sharing, WPBeginner.

    Responder

Deixe uma resposta

Obrigado por deixar um comentário. Lembre-se de que todos os comentários são moderados de acordo com nossos política de comentários, e seu endereço de e-mail NÃO será publicado. NÃO use palavras-chave no campo do nome. Vamos ter uma conversa pessoal e significativa.

Direitos autorais © 2009 - 2024 WPBeginner LLC. Todos os direitos reservados. WPBeginner® é uma marca registrada.

Gerenciado por Awesome Motive | Hospedagem WordPress por SiteGround

Preciso de ajuda com…

Pesquisas populares:

Iniciando um blog SEO do WordPress Desempenho do WordPress Erros do WordPress Segurança do WordPress Criação de uma loja on-line