Como proteger com senha o diretório de administração do seu WordPress (wp-admin)

Proprietários de sites precisam priorizar a segurança do WordPress para proteger seus dados sensíveis e manter a confiança de seus usuários. Uma maneira muito eficaz que fazemos isso no WPBeginner é protegendo com senha nosso diretório de administração do WordPress.

O diretório wp-admin é o centro de controle do seu site WordPress. É onde você gerencia tudo, de conteúdo a configurações, tornando-o um alvo principal para hackers. Proteger seus arquivos de administração com senha os manterá seguros contra ataques.

Este artigo fornece um guia direto para proteger facilmente seu diretório wp-admin com senha e fortalecer a segurança do seu site.

Como proteger com senha o diretório de administração do seu WordPress (wp-admin)

Por que proteger seu diretório de administração do WordPress com senha?

Ao proteger com senha seu diretório de administração do WordPress, você adiciona uma camada extra de segurança ao ponto de entrada mais importante do seu site WordPress.

Seu painel de administração do WordPress é o hub central do seu site. É onde você publicará posts e páginas, personalizará seu tema, instalará plugins do WordPress e muito mais.

Frequentemente, quando hackers tentam acessar seu site, eles o fazem através da tela wp-admin usando um ataque de força bruta.

Você pode ajudar a proteger seu site contra ataques potenciais usando medidas de segurança como uma senha forte e limitando as tentativas de login.

Para ser ainda mais seguro, você também pode proteger por senha o diretório wp-admin. Então, quando alguém tentar acessar sua área de administração, precisará inserir um nome de usuário e senha antes mesmo de chegar à página de login do WordPress.

Dito isso, vamos dar uma olhada em como você pode proteger por senha o diretório de administração do seu WordPress passo a passo.

O primeiro método é recomendado para a maioria dos usuários, e você pode usar os links rápidos abaixo para ir direto ao método que deseja usar:

  1. Proteja por senha o wp-admin usando Privacidade de Diretório (Recomendado)
  2. Proteja por senha o wp-admin usando Código
  3. Solução de problemas de proteção por senha do wp-admin
  4. Bônus: Melhores Guias do WordPress para Segurança do wp-admin

Tutorial em Vídeo

Inscreva-se no WPBeginner

Se você preferir instruções escritas, continue lendo.

Método 1: Proteja por senha o wp-admin usando Privacidade de Diretório (Recomendado)

A maneira mais fácil de proteger por senha o diretório de administração do seu WordPress é usando o aplicativo Privacidade de Diretório do seu provedor de hospedagem WordPress.

Primeiro, você precisa fazer login no painel da sua conta de hospedagem e clicar na opção ‘Privacidade do Diretório’ na seção Arquivos do painel cPanel do seu site.

Clique na opção Privacidade de Diretório na seção Arquivos

Observação: A maioria dos provedores de hospedagem que usam cPanel, como a Bluehost, terão passos semelhantes. No entanto, seu painel pode ser ligeiramente diferente das nossas capturas de tela, dependendo do seu provedor de hospedagem.

Isso o levará a uma tela que lista todos os diferentes diretórios do seu servidor. Você precisa encontrar a pasta que contém os arquivos do seu site.

Para a maioria dos proprietários de sites, isso pode ser encontrado clicando na pasta ‘public_html’.

Clique em public_html

Isso exibirá todos os arquivos do site que você instalou no seu servidor.

Em seguida, você precisará clicar na pasta com o nome de domínio do seu site.

Clique na pasta do nome de domínio

Nessa pasta, você verá uma pasta wp-admin.

Em vez de clicar no nome da pasta, você precisará clicar no botão ‘Editar’ ao lado dessa pasta.

Clique em editar pasta wp-admin

Isso o levará a uma tela onde você pode ativar a proteção por senha.

Basta marcar a caixa que diz ‘Proteger este diretório com senha’. Se desejar, você também pode dar um nome ao seu diretório, como ‘Área de Administração’, para ajudar a lembrar.

Marque a caixa de proteção por senha do diretório

Depois de fazer isso, você precisará clicar no botão ‘Salvar’.

Isso o levará a uma página onde a mensagem de confirmação aparecerá.

Mensagem de confirmação clique no botão voltar

Agora, você precisará clicar no botão ‘Voltar’, e você será levado a uma tela onde poderá criar um usuário que poderá acessar este diretório.

Você será solicitado a inserir um nome de usuário e senha e, em seguida, confirmar a senha. Certifique-se de anotar seu nome de usuário e senha em um local seguro, como um gerenciador de senhas.

Criar um Usuário

Certifique-se de clicar no botão ‘Salvar’ quando terminar.

Agora, quando alguém tentar acessar seu diretório wp-admin, será solicitado a inserir o nome de usuário e a senha que você criou acima.

Exemplo de proteção por senha do admin do WordPress

Método 2: Proteger wp-admin com senha usando código

Você também pode proteger seu diretório de administração do WordPress com senha manualmente. Para fazer isso, você precisará criar dois arquivos chamados .htpasswd e .htaccess.

Observação: Adicionar qualquer código ao seu site WordPress pode ser perigoso. Mesmo um pequeno erro pode causar grandes problemas em seu site. Recomendamos este método apenas para usuários avançados.

Criando o arquivo .htaccess

Primeiro, abra seu editor de texto preferido e nomeie o novo arquivo como .htaccess.

Depois disso, você precisa copiar o seguinte trecho de código e adicioná-lo ao arquivo:

AuthName "Admins Only"
AuthUserFile /home/user/public_html/example.com/wp-admin/.htpasswd
AuthGroupFile /dev/null
AuthType basic
require user yourusername

Certifique-se de alterar o caminho de ‘AuthUserFile’ para o local onde você fará o upload do arquivo .htpasswd e altere ‘yourusername’ para o nome de usuário que você deseja usar para fazer login.

Não se esqueça de salvar o arquivo quando terminar.

Criando o Arquivo .htpasswd

Depois de fazer isso, você precisa criar um arquivo .htpasswd.

Para fazer isso, abra um editor de texto e crie um arquivo chamado .htpasswd. Este arquivo listará seu nome de usuário junto com sua senha em formato criptografado.

A maneira mais fácil de gerar a senha criptografada é com um gerador htpasswd.

Simplesmente insira seu nome de usuário e senha, selecione o formato de criptografia e clique no botão ‘Criar arquivo .htpasswd’.

Criar arquivo htpasswd

O gerador htpasswd exibirá uma linha de texto que você precisará colar em seu arquivo .htpasswd. Certifique-se de salvar o arquivo depois de fazer isso.

Upload de .htaccess e .htpasswd para o Diretório wp-admin

O último passo é fazer o upload de ambos os arquivos que você criou para a pasta wp-admin do seu site.

Você precisará se conectar à sua conta de hospedagem WordPress usando um cliente FTP ou a ferramenta de gerenciador de arquivos online fornecida pelo seu provedor de hospedagem. Para mais detalhes, consulte nosso guia para iniciantes sobre como usar FTP para fazer upload de arquivos para o WordPress.

Para este tutorial, usaremos o FileZilla porque é gratuito e funciona tanto em Mac quanto em Windows.

Uma vez conectado ao seu site, você verá os arquivos no seu computador na janela da esquerda e os arquivos no seu site na janela da direita. Na esquerda, você precisa navegar até o local onde salvou os arquivos .htaccess e .htpasswd.

Em seguida, na direita, você precisa ir para o diretório wp-admin do site que deseja proteger. A maioria dos usuários precisará dar um duplo clique na pasta public_html, depois na pasta com o nome do seu domínio, e então na pasta wp-admin.

Agora, você pode selecionar os dois arquivos à esquerda e clicar em ‘Upload’ no menu de clique com o botão direito ou simplesmente arrastar os arquivos para a janela da esquerda.

Enviando os Arquivos para o Diretório wp-admin do Seu Site

Agora, seu diretório ‘wp-admin’ estará protegido por senha.

Solução de problemas de proteção por senha do wp-admin

Dependendo de como seu servidor e site estão configurados, há uma chance de você encontrar erros do WordPress. Esses erros podem ser corrigidos adicionando cuidadosamente código ao seu arquivo .htaccess.

Nota: Este é o arquivo .htaccess localizado na pasta principal do seu site, não o que você carregou na pasta ‘wp-admin’. Se estiver com problemas para encontrá-lo, consulte nosso guia sobre por que você não consegue encontrar o .htaccess e como localizá-lo.

Corrigindo o Erro de Ajax Não Funcionando

Um dos erros mais comuns é que a funcionalidade Ajax pode parar de funcionar no front-end do seu site. Se você tem plugins do WordPress que exigem Ajax, como pesquisa Ajax ao vivo ou formulários de contato Ajax, então você notará que esses plugins não funcionarão mais.

Para corrigir isso, basta adicionar o seguinte código ao arquivo .htaccess que está localizado na sua pasta wp-admin:

<Files admin-ajax.php>
    Order allow,deny
    Allow from all
    Satisfy any 
</Files>

Corrigindo o Erro 404 e o Erro de Muitos Redirecionamentos

Outros dois erros que você pode encontrar são o erro 404 e o erro de muitos redirecionamentos.

A maneira mais simples de corrigi-los é abrir seu arquivo .htaccess principal localizado no diretório do seu site e adicionar a seguinte linha de código antes das regras do WordPress:

ErrorDocument 401 default

Bônus: Melhores Guias do WordPress para Segurança do wp-admin

Esperamos que este artigo tenha ajudado você a aprender como proteger com senha o diretório de administração do seu WordPress (wp-admin). Você pode querer ver alguns guias adicionais sobre como tornar sua área de administração mais segura:

Se você gostou deste artigo, por favor, inscreva-se em nosso Canal do YouTube para tutoriais em vídeo do WordPress. Você também pode nos encontrar no Twitter e no Facebook.

Aviso: Nosso conteúdo é apoiado pelos leitores. Isso significa que, se você clicar em alguns de nossos links, poderemos ganhar uma comissão. Veja como o WPBeginner é financiado, por que isso importa e como você pode nos apoiar. Aqui está nosso processo editorial.

O Kit de Ferramentas Definitivo para WordPress

Obtenha acesso GRATUITO ao nosso kit de ferramentas - uma coleção de produtos e recursos relacionados ao WordPress que todo profissional deve ter!

Interações do Leitor

206 CommentsLeave a Reply

  1. Esta pode ser uma pergunta boba, mas estou pensando agora – tenho a configuração acima aplicada ao meu site e funciona bem, mas vamos supor que um bot tente força bruta naquela área de login extra e eu tentei manualmente por um tempo e meu servidor não bloqueou meu IP ou algo assim. Então, tecnicamente, esse ataque de força bruta naquela área poderia durar 'para sempre' e isso, por sua vez, poderia desacelerar meu site de alguma forma, ou não? Se sim, é uma pena porque levei algumas horas para configurar isso e fiquei encantado com essa camada extra de proteção…

    • Embora possível, carrega muito menos recursos carregar o login da sua área wp-admin do que sua página de login do WordPress, o que significa que exigiria muito mais de um ataque de força bruta para afetar a velocidade do seu site.

      Admin

  2. Não sou muito técnico, mas fico feliz que você tenha incluído a opção de usar o aplicativo Directory Privacy. Isso parece muito mais fácil do que criar esses arquivos .htaccess. Obrigado.

  3. Obrigado. Achei útil.
    Quero perguntar se todos os métodos oferecem o mesmo nível de segurança, eu preferiria e recomendaria manter o primeiro método, pois parece fácil e direto.

    Ou há algum que seja melhor que o outro??

    • Estes são métodos diferentes para atingir o mesmo resultado, então dependeria da sua preferência para qual deles você usaria.

      Admin

  4. Mudei meu URL de login usando o plugin “WPS Hide Login”. Vamos dizer que o URL anterior terminava em wp-admin/ e o novo URL termina em hidden/, agora como posso proteger com senha este novo URL?

    • It would depend on what method you are using and how you changed the URL, as long as there is a file/folder in the new location you should be able to select that folder or change the path on line 2 of the htaccess method :)

      Admin

    • O WPShide não cria uma nova pasta, eu também uso isso. A pasta wp-admin ainda está no servidor e funcional. Portanto, se você usar o WPSHide, proteja a pasta wp-admin exatamente da mesma forma.

  5. Uma boa prática é também renomear a URL de administração do WordPress e escolher um nome de usuário administrador diferente de 'admin'. Alterar a URL dificulta que os atacantes localizem a administração e não usar 'admin' como administrador reduz o risco de um ataque de força bruta bem-sucedido.

    • Ter um nome de usuário diferente de admin é definitivamente recomendado, mas para alterar a URL do wp-admin nem sempre é recomendado, pois isso pode causar problemas com alguns plugins e dificultar a solução de problemas.

      Admin

  6. E se alguém acessar nosso diretório de administração do WordPress digitando meusite.com/wp-login.php em vez de meusite.com/wp-admin. Este método protege apenas o wp-admin e não protege o wp-login.php. Então, como isso é útil?

  7. O primeiro método através do cPanel funcionou perfeitamente. No entanto, quando faço logout novamente do WP e login novamente, ele não pede a senha do diretório novamente. É para pedir apenas uma vez?

    • Seus cookies/cache lembrarão as informações de login. Normalmente, na próxima vez que você iniciar seu computador, ele exigirá que você faça login novamente.

      Admin

  8. A opção “Proteger Diretórios com Senha” não está no meu cPanel em “segurança”, então tentei o método manual, mas não parece funcionar, pois não pede login quando abro o wp-admin…

    • Se você entrar em contato com seu provedor de hospedagem, eles poderão ajudar e verificar se há algum motivo para não estar funcionando.

      Admin

  9. Obrigado pelos seus esforços!
    Eu usei o método cpanel, funciona bem, mas o problema é que o prompt de senha aparece em todas as páginas do meu site!

    O que devo fazer para que ele apareça apenas na página wp-admin?

    • Parece que você pode ter protegido com senha a pasta public_html em vez da pasta wp-admin. Você gostaria de remover a proteção atual e tentar configurá-la novamente

      Admin

    • Seria onde suas pastas do WordPress estão localizadas. Você pode usar FTP ou o gerenciador de arquivos do seu host, se eles tiverem um, para acessar seus arquivos do WordPress.

      Admin

  10. Por favor, essas configurações funcionam bem para mim, mas meu problema é que estou usando woocommerce e a página da minha conta do yith woocoomerce, então sempre que os usuários fazem login em sua área de minha conta, eles são frequentemente solicitados a inserir os detalhes de login para meu administrador protegido, como posso corrigir isso?

    • Para isso, você precisaria remover essa proteção, a menos que quisesse dar a cada usuário um login para o httpassword.

      Admin

  11. Minha página de login do wp-admin está quebrada depois de usar esse código.

    Eu configurei o conserto do ajax, mas ainda está quebrado.

    • Dependeria do erro específico que você está encontrando ao tentar acessar sua área administrativa para resolver o problema.

      Admin

  12. Oi amigo, eu tentei o método cpanel que não funcionou para mim, mas o método manual funcionou como mostrado acima.

    Mas tenho um problema depois de ir para exemplo.com/admin, tenho que inserir nome de usuário e senha do diretório, mas depois de inserir nada acontece, o que significa que ele não me redireciona para o painel ou para qualquer lugar. Apenas a mesma página — mostrando esperando pela conexão para exemplo.com e obtendo o erro de muitos redirecionamentos.

  13. Uau,

    Você é uma lenda! Passei tipo 2 horas pulando de site em site para fazer isso funcionar… Primeiro site que mencionou o ErrorDocument 401 default. Funciona como um encanto agora.

    Obrigado

  14. Muito obrigado – este é o primeiro lugar que encontrei com os 3 trechos de código necessários – (eu tinha o problema de redirecionamento). O código funcionou perfeitamente. Agora tenho uma camada extra de proteção sem adicionar outro plugin potencialmente vulnerável.

  15. Tudo o que recebo depois de adicionar o código acima em um arquivo .htacess na pasta /wp-admin é um erro interno do servidor 500.

    • Se o método htaccess não estiver funcionando, você pode remover o código e usar o método cpanel para proteger o diretório com senha

      Admin

  16. Segui os passos, mas agora não consigo fazer login. Diz “O servidor encontrou um erro interno ou de configuração e não pôde concluir sua solicitação.”

    mesmo atualizando a página o pop-up para inserir a senha não reaparece, me ajude

  17. oi,

    comprei um novo nome e mudei o nome do site e depois salvei. agora não consigo fazer login no admin. aparece um erro 404.
    como posso mudar isso?
    por favor, me aconselhe.

    • Você deve entrar em contato com seu provedor de hospedagem e eles devem ser capazes de ajudá-lo a fazer com que seu novo domínio aponte para onde seu site está atualmente

      Admin

  18. Ativei a proteção por senha para o diretório do WordPress via c-panel, mas o wordfence não consegue escanear meu site. Devido a um problema de ajax.

    Tentei corrigir atualizando meu arquivo wp-admin/.htaccess com o código fornecido por você, mas o wordfence ainda não consegue iniciar um scan. O que você sugere?

    • Você pode querer garantir que seu cache seja limpo e, se o erro continuar, entre em contato com o Wordfence sobre o plugin deles

      Admin

  19. Habilitar a proteção por senha do diretório wp-admin me impede de fazer login como administrador. Recebo um erro de página não encontrada. Não consigo acessar a página de login. Se eu remover a proteção por senha, consigo fazer login.

    O que devo fazer. Estou configurando um site Wordpress pela primeira vez.

  20. Então, como você desfaz a proteção por senha usando o cPanel? Ou seja, quero remover minha proteção por senha para o diretório wp-admin.

  21. Segui as instruções para adicionar proteção por senha usando o c_panel.

    Funciona bem no IE 11, mas não funciona no: Edge; Firefox; Chrome; ou Opera.
    Alguma ideia?

  22. > Faça o upload deste arquivo fora do seu diretório /public_html/.

    Bom conselho - mais geralmente: fora do seu DocRoot.

    > Um bom caminho seria: home/user/.htpasswds/public_html/wp-admin/passwd/

    That, however, doesn’t seem to be outside your DocRoot ;)

  23. Oi Syed, segui seu tutorial como sempre faço quando encontro um problema, mas estou enfrentando este erro continuamente.

    ERRO –

    401
    Não autorizado

    É necessária autorização adequada para acessar este recurso!

    1. Criei o arquivo htpassword corretamente com nome de usuário e senha.
    2. Editei o arquivo .htaccess principal com o código correto.
    3. Implementei esta linha no arquivo .htaccess no topo como primeira linha
    ErrorDocument 401 default
    4. Adicionei o código de funcionalidade AJAX

    Depois de fazer tudo isso, vejo uma caixa pop-up adicional que precisa de detalhes de login para o wp-admin. – Sucesso aqui

    Mas não consigo acessar minha página inicial, como example.com. A caixa pop-up aparece novamente sem chamar /wp-admin. Por favor, diga como remover este Erro 401. Vejo que muitos blogueiros fizeram essa pergunta na seção de comentários, mas você não respondeu. Espero que você resolva o problema em breve.

    • Olá Pawan,

      Isso pode ser porque a senha que você inseriu está incorreta ou seu servidor não conseguiu encontrar o arquivo .htpasswds. Recomendamos que você refaça seus passos para descobrir o que deu errado.

      Admin

      • Estou vendo o mesmo problema. Em subpáginas do meu site, quando tenho meu /wp-admin/ .htaccess protegendo meu site com senha, recebo a caixa de diálogo de usuário/senha nas páginas do front-end.

        A solução temporária foi simplesmente remover o arquivo htaccess do wp-admin. Agora estou tentando colocá-lo de volta, então verei o que consigo e postarei de volta se descobrir.

  24. Obrigado por isso. Funcionou muito bem, especialmente aquela linha “ErrorDocument 401 default” que impediu que desse erro 404. Eu realmente não sinto falta de tweets seus. Minha pergunta agora é, como alguém pode remover a senha? E novamente, a senha será necessária no registro de usuários via página de registro personalizada?

  25. depois de usar este método, agora quando tento entrar no wp-admin, ele diz modo de manutenção (este modo está ativado no meu painel do wp).. então como posso usá-lo?

  26. Olá, como faço para alterar minha URL padrão do cPanel, como "www.exemplo.com/cpanel", para "www.exemplo.com/customizado"
    não há nada na internet sobre este tópico.

  27. Olá, meus queridos amigos, tenho um problema. Quero fazer autenticação dupla no meu wordpress. Mas há um conflito no htacsess do wordpress entre as regras padrão do wp e este código:

    AuthType Basic
    AuthName "Protegido por senha"
    AuthUserFile caminho/para/.htpasswd
    Require valid-user
    Satisfy All

    Recebo erros como 500 ou erro “esta página está errada”, mas depois de deletar as regras padrão do wp, meu código funciona. Há algum conflito entre o código do wp e o meu código! Alguém pode resolver!

  28. Uma abordagem muito boa, mas também sugiro ir seguro com https, porque não importa o quão protegido o painel de administração esteja, com senhas, as senhas em si não são seguras se não for https.

  29. E aí, pessoal, meu problema está relacionado a este post, mas é um pouco diferente também.
    Preciso proteger com senha a minha pasta wp-content na minha hospedagem.
    Liguei para a minha hospedagem GoDaddy e eles disseram que não é possível.
    Mas eu preciso protegê-la com senha.
    Alguém pode me ajudar, por favor?

  30. Proteger com senha o Admin do WordPress com Permalink "Post Name" dá erro de "erro login page (Redireciona muitas vezes)". Como resolver?

  31. Posso fazer isso para o meu wp-login?

    O wp-admin é protegido por senha e retorna um 401 se alguém tentar sair do pop-up (portanto, 0 acesso sem a primeira senha).

    Mas meu wp-login permite o acesso a uma página wp-login distorcida se alguém sair do pop-up.

  32. Este é um ótimo artigo.

    No entanto, gostaria de perguntar como posso rastrear quem visita a página (IP, etc.), mesmo que não digitem nenhum nome de usuário ou senha, ou digitem incorretamente. Não consigo encontrar uma maneira de fazer isso.

    Por favor, me avise.
    Obrigado!

  33. Obrigado por este artigo. Realmente me ajudou muito a salvar o formulário de login de pessoas anônimas. Mas, tenho um problema no meu site. Sempre que o usuário visita e entra na página de postagem única, ele pede ao usuário para inserir o nome de usuário e a senha, mesmo que eles não tenham acessado o wp-admin. Isso acontece apenas no navegador Mozilla. Como resolver isso?

  34. Terminei de configurar a proteção por senha para a pasta wp-admin. Mas não consigo registrar uma nova conta para convidados. Porque aparece um pop-up de login exigindo nome de usuário/senha.

  35. senhor, na verdade eu mudei meu diretório de administrador de example.com/wp-admin para example.com/abcde... como protegê-lo com senha agora

  36. Obrigado por esta informação valiosa. Tenho uma pergunta. Quero configurar um limite de tentativas de login. Se o usuário falhar na primeira vez, então tentar após 24 horas. Como faço isso no cPanel?

  37. Olá. Eu protejo meu diretório wp-admin com senha e adicionei esse código ao meu htaccess... mas... ele ainda está pedindo autorização.

    Alguma sugestão?

Deixe uma resposta

Obrigado por escolher deixar um comentário. Por favor, tenha em mente que todos os comentários são moderados de acordo com nossa política de comentários, e seu endereço de e-mail NÃO será publicado. Por favor, NÃO use palavras-chave no campo do nome. Vamos ter uma conversa pessoal e significativa.