O WordPress é o alvo número um de ataques automatizados na web — não porque seja inseguro, mas porque é o mais usado. Bots varrem a internet o dia todo testando senhas e explorando plugins desatualizados. A boa notícia: a maioria dos ataques é genérica, e um hardening básico já barra quase tudo. Aqui está o checklist.
Por que seu site é alvo (mesmo sendo pequeno)
Não é pessoal. Bots atacam em massa e no automático, procurando qualquer site com senha fraca ou plugin vulnerável. Um site invadido vira hospedeiro de spam, malware ou phishing. Por isso: mesmo o blog menor precisa de proteção.
1. Blinde o login (a porta mais atacada)
O wp-login.php é onde os bots batem primeiro, testando milhares de senhas (força bruta).
- Nunca use o usuário "admin" — é o primeiro palpite de todo bot.
- Senha longa e única — use um gerenciador de senhas.
- Ative 2FA (autenticação em dois fatores) — plugins como Wordfence ou miniOrange.
- Limite tentativas de login — bloqueia o IP após X falhas. Plugins fazem isso, ou o próprio servidor.
- Opcional: troque a URL de login ou proteja
wp-login.phppor senha no servidor.
2. Mantenha tudo atualizado (a causa nº 1 de invasão)
A maioria dos sites invadidos estava rodando plugin, tema ou core desatualizado com falha conhecida. Faça disso um hábito inegociável:
- Atualize core, plugins e temas assim que sair correção.
- Remova plugins e temas que você não usa — código parado é superfície de ataque.
- Baixe plugins/temas só de fontes confiáveis (repositório oficial ou desenvolvedor legítimo). Plugin "nulled" pirata quase sempre vem com backdoor.
3. Ajuste permissões de arquivo
Permissões erradas deixam arquivos graváveis por quem não deveria. A regra geral segura:
- Diretórios:
755 - Arquivos:
644 - wp-config.php:
640ou600(é o arquivo mais sensível — tem as credenciais do banco)
Nunca use 777 em nada.
4. Proteja o wp-config.php
Esse arquivo guarda as chaves do reino (acesso ao banco). Além da permissão restrita:
- Mova-o um nível acima da raiz web, se o setup permitir.
- Adicione as chaves de segurança (salts) únicas — o WordPress gera em um gerador oficial.
- Bloqueie o acesso direto a ele via configuração do servidor.
5. Use HTTPS (SSL)
HTTPS não é só cadeado: ele criptografa os dados entre o visitante e o site, incluindo a senha que você digita no login. Com Let's Encrypt é gratuito. Com IP dedicado (incluso nos planos de VPS da VittHost) a gestão do SSL fica mais simples.
6. Firewall (WAF)
Um Web Application Firewall filtra requisições maliciosas antes de chegarem ao WordPress. Duas camadas úteis:
- No plugin: Wordfence, Sucuri.
- Na borda: Cloudflare (tem WAF no plano gratuito) filtra ataques antes mesmo de tocar seu servidor.
7. Backup é a sua rede de segurança
Nenhuma proteção é 100%. O backup é o que garante que, no pior caso, você volta o site em minutos em vez de perder tudo. Configure backup automático e mantenha cópias fora do servidor. Veja a estratégia de backup do WordPress.
8. O servidor também protege
Numa VPS você controla a segurança da base, coisa impossível na compartilhada:
- Firewall do servidor (portas fechadas, só o necessário aberto).
- Isolamento — seu site não divide espaço com centenas de outros potencialmente infectados.
- Fail2ban para bloquear IPs abusivos no nível do sistema.
- Versões de PHP e software sempre atualizadas, por sua decisão.
Checklist de segurança
- [ ] Usuário admin renomeado + senha forte + 2FA
- [ ] Limite de tentativas de login ativo
- [ ] Core, plugins e temas atualizados
- [ ] Plugins/temas não usados removidos
- [ ] Permissões corretas (755/644, wp-config 600)
- [ ] Salts únicos no wp-config
- [ ] HTTPS/SSL ativo
- [ ] Firewall (plugin e/ou Cloudflare)
- [ ] Backup automático fora do servidor
Segurança começa na base
Um WordPress bem configurado sobre uma VPS que você controla é muito mais seguro do que sobre uma compartilhada lotada. A VittHost oferece VPS com IP dedicado e isolamento real — a fundação certa para blindar seu site.
