Segurança de site e blog em WordPress: dicas e como tratar vírus

Manter tudo atualizado é a medida mais importante. Isso inclui o próprio WordPress, os temas e os plugins. Junte a isso senhas fortes, backups regulares e a instalação apenas de itens de fontes confiáveis. Nenhuma medida cobre tudo sozinha, mas a combinação dificulta a vida de quem procura brechas.

Atualize sempre que houver uma versão nova ou um aviso no painel, sem esperar acumular pendências. O recurso de atualização automática, disponível desde a versão 3.7, ajuda nessa rotina. Ainda assim, confira o painel de tempos em tempos para ver se algo ficou pendente nos temas e nos plugins.

Quando uma falha é corrigida em uma versão, a informação sobre como explorá-la costuma se tornar pública. Quem não atualiza continua vulnerável à falha já conhecida. Por isso, o guia oficial do WordPress trata versões antigas como um risco. Atualizar é uma das formas mais simples de fechar essa brecha.

Desde a versão 3.7, o WordPress tem atualizações automáticas, que podem cuidar de correções do próprio sistema sem que você faça nada. Mesmo assim, o painel continua sendo o lugar para acompanhar avisos, principalmente de temas e plugins, que não dependem só do núcleo do WordPress.

Sim, se o seu nome de acesso ainda for o padrão de administrador. Esse nome é uma das primeiras tentativas de quem tenta entrar em um site. Crie um usuário próprio, com um nome que não seja óbvio, e use uma senha forte. Depois, remova ou rebaixe o usuário antigo, se ele não for mais necessário.

Combine letras maiúsculas e minúsculas, números e símbolos, e tamanho generoso. Evite datas de aniversário e nomes de filhos ou de animais de estimação. Um gerenciador de senhas ajuda a criar e guardar combinações difíceis de adivinhar. Nunca deixe a senha salva em computador de uso público.

Na frequência que faça sentido para o seu conteúdo. Um site que muda todo dia precisa de backups diários. Um blog que quase não muda pode fazer cópias com menos frequência. O importante é guardar a cópia fora do servidor e testar se ela pode ser restaurada quando for preciso.

Não. Plugins de segurança ajudam a limitar tentativas de login, a fazer varreduras e a apontar falhas. Eles não substituem atualização, senha forte e backup. Mantenha o plugin atualizado e baixe-o somente do repositório oficial do WordPress ou de uma empresa conhecida.

Não é seguro. O guia oficial do WordPress recomenda evitar fontes desconhecidas, porque um item de origem duvidosa pode trazer código malicioso junto. Prefira o repositório oficial do WordPress.org ou empresas conhecidas. Economizar agora pode custar caro depois, com o site fora do ar ou invadido.

Redirecionamentos para outros endereços sem motivo, pop-ups que aparecem só em alguns acessos, usuários administradores desconhecidos, lentidão repentina e avisos do navegador dizendo que o endereço é perigoso. Nenhum desses sinais prova invasão sozinho, mas a combinação pede verificação imediata.

Pode ser. Ele indica que alguém conseguiu criar ou alterar uma conta com poderes amplos. Se você não reconhece o usuário, remova-o e troque as senhas de todos os administradores. Depois, confira se há arquivos novos ou alterados e restaure um backup anterior caso encontre algo estranho.

Evite digitar senhas ou dados de cartão no site. Depois, troque as senhas de todos os usuários, começando pelo administrador. Atualize o WordPress, os temas e os plugins. Guarde uma cópia do estado atual e restaure um backup anterior, se ele existir. Por fim, peça ajuda à hospedagem ou a um profissional.

Sim. Troque as senhas do painel, da conta de hospedagem e do banco de dados, além das senhas de e-mail ligadas ao site. Use senhas diferentes para cada serviço. Se a senha antiga foi usada em outro lugar, a troca precisa valer para todos os acessos que ela protegia.

Use o Relatório de Transparência de Navegação Segura do Google. Digite o endereço na ferramenta e veja se ele foi identificado como perigoso. Outras ferramentas de verificação também existem. Mesmo assim, não abra um link suspeito só para testar. Consulte antes de clicar.

Tem. O provedor cuida da infraestrutura, como servidor, rede e proteções básicas. Você continua responsável pela aplicação, ou seja, pelo WordPress, pelos temas, pelos plugins e pelas senhas. Pergunte ao provedor sobre backups, isolamento entre sites e políticas de atualização.

Não. O cadeado e o prefixo https indicam que a conexão entre você e o site é criptografada. Isso protege os dados em trânsito, mas não diz se o site é honesto ou se está infectado. Por isso, o cadeado é só um dos sinais, junto com o aviso do navegador e a verificação do endereço.

Vale, principalmente se o site vende produtos, guarda dados de clientes ou já foi invadido. Um profissional confere o estado do sistema, remove arquivos maliciosos e ajuda a fechar as brechas. Peça orçamento por escrito e confirme que o trabalho inclui um backup antes de qualquer alteração.