Proteger o WordPress – sem pânico.

Como os sites WordPress são realmente atacados

Quase ninguém se senta em frente ao seu site à procura de uma falha específica. Os ataques são automáticos: programas percorrem milhões de sites e testam vulnerabilidades conhecidas e palavras-passe comuns. Ou seja: quem corrige as falhas conhecidas e não usa palavras-passe fracas sai do radar.

As portas de entrada mais frequentes são plugins e temas desatualizados, palavras-passe fáceis de adivinhar ou divulgadas noutros sítios e extensões de fontes duvidosas.

Atualizações: a medida mais importante

Quando se conhece uma falha num plugin, normalmente surge uma atualização em poucos dias – e é precisamente a partir daí que os ataques automáticos procuram sites que ainda não a instalaram.

• As pequenas atualizações de segurança do núcleo do WordPress são instaladas pelo próprio WordPress. Para os plugins, pode ativar atualizações automáticas plugin a plugin.
• As grandes atualizações (nova versão principal, construtor de páginas, loja) devem ser testadas primeiro. Connosco, cria para isso uma cópia de teste do seu site na Área de cliente.
• Um plugin que não recebe atualizações há anos deve ser substituído. Já ninguém corrige ali as falhas.

Proteger os acessos

• Palavras-passe longas e únicas para cada conta, de preferência com um gestor de palavras-passe.
• Autenticação de dois fatores para todos os administradores – basta um plugin gratuito; a partir daí, uma palavra-passe roubada já não chega por si só.
• Atribuir funções com moderação. Quem apenas escreve artigos não precisa de uma conta de administrador.
• Eliminar contas antigas, por exemplo da agência que criou o site há anos.

Escolher as extensões com cuidado

Instale plugins e temas a partir do diretório oficial em wordpress.org ou diretamente do fabricante. Evite cópias „gratuitas“ de extensões pagas (muitas vezes chamadas „nulled“): são o caminho mais cómodo para código malicioso entrar num site.

Vale a pena verificar antes de instalar: quando saiu a última atualização, quantas instalações existem, o programador responde a perguntas? E o que já não usa, elimine – mesmo desativado, continua no servidor.

Cópias de segurança: o plano B

Nenhuma medida protege por completo. O que conta numa emergência é uma versão limpa de anteontem. Uma boa cópia de segurança existe pelo menos uma vez fora do servidor, recua vários dias e está testada – uma cópia que não se consegue restaurar não é uma cópia.

Connosco, cada alojamento web tem cópia de segurança diária, no servidor e também fora das instalações. Guardamos 7 versões diárias e 4 semanais, e restauramos gratuitamente uma delas por si. Antes de uma atualização maior, pode ainda criar uma cópia de segurança no painel de alojamento.

O que o servidor tem de garantir

Algumas coisas não dependem de si, mas do fornecedor: uma ligação encriptada (HTTPS), uma versão de PHP atual, atualizações de segurança do sistema operativo instaladas a tempo e uma proteção que bloqueia endereços com demasiadas tentativas de início de sessão falhadas. Pergunte ao seu fornecedor – connosco, tudo isto é padrão.

O seu site foi atacado – e agora?

1. Manter a calma e não eliminar nada – precisa do estado atual para encontrar a causa.
2. Alterar todas as palavras-passe: contas WordPress, base de dados, FTP, Área de cliente.
3. Restaurar uma versão anterior à infeção. É por isso que as cópias de segurança recuam vários dias.
4. Corrigir a falha antes de o site voltar a estar online – caso contrário, é infetado de novo em poucas horas. Normalmente significa: atualizar tudo e remover plugins suspeitos.

Não tem de fazer isto sozinho. Contacte-nos – ajudamos na limpeza.