Por que o WordPress é tão Hackeado?
Por ser o CMS mais popular do mundo (43% de todos os sites), o WordPress é o alvo mais atrativo para ataques automatizados. Bots escaneiam a internet 24 horas em busca de versões desatualizadas, senhas fracas e plugins vulneráveis. Não é sobre o seu site especificamente — é sobre estar no caminho de um bot.
As 12 Configurações de Segurança Essenciais
1. Atualizações automáticas ativadas
WordPress core, temas e plugins com atualizações automáticas para versões de segurança. 90% das invasões acontecem em versões desatualizadas.
2. Senha forte no wp-admin
Mínimo 20 caracteres, letras maiúsculas, minúsculas, números e símbolos. Um gerenciador de senhas (Bitwarden, gratuito) resolve isso para sempre.
3. Autenticação de dois fatores (2FA)
Plugin Wordfence ou miniOrange MFA. Mesmo com senha comprometida, o acesso é bloqueado.
4. Limitar tentativas de login
Bloquear IP após 5 tentativas erradas. Wordfence ou Login LockDown implementam isso em 2 minutos.
5. Mudar a URL de login
A URL padrão /wp-admin ou /wp-login.php é o alvo de todo ataque de força bruta. Mudar para /acesso-restrito elimina 99% dos ataques automatizados.
6. Desativar XML-RPC
Funcionalidade antiga usada para integração com apps. Hoje é principalmente um vetor de ataques. Desativar se não usar.
7. Backups diários externos
UpdraftPlus apontando para Google Drive ou S3. Se o pior acontecer, você restaura em 30 minutos.
8. SSL/HTTPS ativo
Really Simple SSL força todas as conexões para HTTPS. Dado básico mas frequentemente mal configurado.
9. Plugin de segurança completo
Wordfence Free ou Sucuri Free para firewall de aplicação, scanner de malware e alertas em tempo real.
10. Permissões de arquivo corretas
wp-config.php: 600, pastas: 755, arquivos: 644. Configuração incorreta permite que scripts maliciosos sobrescrevam arquivos.
11. Remover usuário admin padrão
O username "admin" é o primeiro testado em ataques de força bruta. Criar novo usuário administrador e deletar o padrão.
12. Monitoramento de integridade
Scanner que verifica alterações não autorizadas em arquivos do núcleo. Wordfence faz isso automaticamente.
No Protocolo 44, todas essas configurações são verificadas mensalmente. Além disso, monitoramos tentativas de invasão em tempo real e respondemos a alertas em menos de 2 horas.