14 Dicas Vitais para Proteger sua Área de Administrador do WordPress (Atualizado)

Não há nada pior do que descobrir que seu site foi comprometido. A área de administração do WordPress é o principal ponto de entrada para hackers, tornando-a a parte mais crítica do seu site para proteger.

Sabemos que pode ser estressante pensar em ataques de força bruta ou roubo de dados. Muitos proprietários de sites se preocupam por não terem as habilidades técnicas para proteger adequadamente seu painel.

A ótima notícia é que você não precisa ser um profissional de segurança para causar um grande impacto. Em nossa experiência gerenciando milhares de sites WordPress, descobrimos que algumas mudanças simples são tudo o que é preciso para construir uma defesa forte.

Neste guia, vamos guiá-lo pelas dicas mais eficazes para proteger sua área de administração. Esses passos simples lhe darão tranquilidade e manterão seu site seguro.

Dicas e truques para proteger a área de administração do WordPress

Cobriremos muitas dicas, e você pode usar os links rápidos abaixo para pular entre elas:

1. Use um Firewall

Um firewall de aplicação web (WAF) monitora o tráfego do seu site e bloqueia solicitações suspeitas antes que elas cheguem ao seu servidor. Esta é sua primeira linha de defesa contra tentativas de hacking.

Embora existam vários plugins de firewall WordPress, recomendamos um firewall em nível de DNS como o Cloudflare. Firewalls em nível de DNS são mais eficazes porque bloqueiam ameaças na borda da rede, de modo que o tráfego malicioso nem sequer chega ao seu site.

Firewall de Aplicação Web

Na WPBeginner, usamos o plano empresarial do Cloudflare para proteger nosso site contra tentativas de hacking, malware e outras atividades maliciosas. Para instruções de configuração passo a passo, veja nosso artigo sobre como configurar o CDN gratuito do Cloudflare para o seu site.

Outra ótima opção é o Sucuri, que já utilizamos. Para mais detalhes, veja nosso artigo sobre por que mudamos de Sucuri para Cloudflare.

2. Proteja por Senha o Diretório de Administração do WordPress

Outra dica que achamos extremamente eficaz é adicionar proteção por senha ao diretório de administração do WordPress. Isso adiciona uma segunda camada de defesa, exigindo duas senhas separadas para acessar seu painel.

Você pode fazer isso a partir do painel de controle da sua hospedagem web WordPress. Aqui estão os passos para o cPanel:

  1. Faça login no painel de controle do seu cPanel de hospedagem WordPress e clique no ícone 'Directory Privacy'.
  2. Selecione sua pasta wp-admin, que geralmente está localizada dentro do diretório /public_html/.
  3. Marque a caixa ao lado de ‘Proteger este diretório com senha’ e forneça um nome para ele.
  4. Clique em ‘Salvar’ e, em seguida, volte para criar um usuário com um novo nome de usuário e senha.
Configurações de proteção de diretório por senha

Agora, qualquer pessoa que tentar acessar sua página de login de administrador verá primeiro um prompt de autenticação.

Isso bloqueia a maioria dos ataques automatizados de bots.

Digite a senha

Para instruções mais detalhadas, consulte nosso guia sobre como proteger com senha o diretório de administrador do WordPress (wp-admin). Observe que estas etapas são para hospedagens que usam cPanel. Se você usa um painel de controle diferente, verifique a documentação da sua hospedagem.

3. Sempre Use Senhas Fortes

Sempre use senhas fortes

Você deve usar senhas fortes e complexas para todas as suas contas do WordPress. Senhas fracas são um dos motivos mais comuns para sites serem hackeados.

Uma senha forte usa uma combinação de letras maiúsculas e minúsculas, números e caracteres especiais (!, #, @, %, etc.). Quanto mais longa for, mais segura será.

É quase impossível lembrar de dezenas de senhas complexas. É por isso que toda a nossa equipe na WPBeginner usa um aplicativo gerenciador de senhas como o 1Password para gerar e armazenar com segurança senhas exclusivas para cada serviço.

Para mais informações sobre este tópico, consulte nosso guia sobre a melhor maneira de gerenciar senhas para iniciantes em WordPress.

4. Use Verificação em Duas Etapas na Tela de Login do WordPress

Tela de login do WordPress com o Google Authenticator ativado

A verificação em duas etapas, também conhecida como autenticação de dois fatores (2FA), adiciona outra camada crítica de segurança. Usamos 2FA não apenas em nossos sites WordPress, mas em todas as nossas contas online onde a opção está disponível.

Após inserir sua senha, você também deve fornecer um código sensível ao tempo gerado por um aplicativo em seu telefone, como 1Password ou Authenticator. Mesmo que um hacker roube sua senha, ele não conseguirá fazer login sem o seu telefone.

Para instruções detalhadas passo a passo, consulte nosso guia sobre como configurar a verificação em 2 etapas no WordPress usando o Google Authenticator.

5. Limite as Tentativas de Login

Limitar tentativas de login

Por padrão, o WordPress permite que os usuários tentem fazer login quantas vezes quiserem. Isso permite que hackers usem scripts automatizados para tentar milhares de combinações de senhas no que é conhecido como um "ataque de força bruta".

Você pode parar isso facilmente instalando o plugin Limit Login Attempts Reloaded. Após a ativação, vá para Configurações » Limitar Tentativas de Login para configurar quantas tentativas falhas são permitidas antes que um endereço IP seja bloqueado temporariamente.

Para instruções detalhadas, consulte nosso guia sobre por que você deve limitar as tentativas de login no WordPress.

Para saber mais sobre o plugin, você também pode conferir nossa análise detalhada do Limit Login Attempts.

6. Limite o Acesso de Login a Endereços IP

Aviso: Esta é uma técnica avançada e só deve ser usada se você tiver um endereço IP estático (fixo). A maioria das conexões de internet doméstica usa IPs dinâmicos que mudam regularmente. Se você usar este método com um IP dinâmico, você se bloqueará do seu próprio site.

Se você tiver um IP fixo, poderá restringir o acesso à sua área de administração apenas a esse endereço. Basta adicionar este código ao seu arquivo .htaccess:

AuthUserFile /dev/null AuthGroupFile /dev/null AuthName “WordPress Admin Access Control” AuthType Basic <LIMIT GET> order deny,allow deny from all # whitelist Syed’s IP address allow from xx.xx.xx.xxx # whitelist David’s IP address allow from xx.xx.xx.xxx </LIMIT>

Não se esqueça de substituir os valores 'xx' pelo seu próprio endereço IP. Você pode encontrar facilmente seu endereço IP atual pesquisando por “qual é o meu endereço IP” no Google. Se você usa mais de um endereço IP, certifique-se de adicioná-los também.

Para instruções detalhadas, consulte nosso guia sobre como limitar o acesso ao admin do WordPress usando .htaccess.

7. Desative Dicas de Login

Dicas de login desativadas

Quando um login falha, o WordPress informa se o nome de usuário ou a senha estavam incorretos. Embora úteis para os usuários, essas dicas também confirmam um nome de usuário válido para um invasor, facilitando o trabalho dele.

Você pode ocultar essas dicas adicionando o seguinte código ao arquivo functions.php do seu tema. No entanto, recomendamos o uso de um plugin de snippets de código como o WPCode. É uma maneira muito mais segura de gerenciar código personalizado sem arriscar erros no site.

function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );

Para mais detalhes, consulte nosso guia sobre como adicionar código personalizado no WordPress sem quebrar seu site.

8. Exija que os Usuários Usem Senhas Fortes

Se você gerencia um site WordPress com vários autores, um único usuário com uma senha fraca pode criar uma vulnerabilidade para todos. Você pode impor uma política de senhas fortes para evitar isso.

Para fazer isso, você pode instalar e ativar o plugin Solid Security (anteriormente conhecido como iThemes Security), feito pela equipe da SolidWP.

Em seguida, você pode seguir as etapas em nosso guia completo sobre como forçar senhas fortes para usuários no WordPress.

9. Redefina a Senha de Todos os Usuários

Para sites WordPress com vários usuários, você pode melhorar a segurança forçando todos os usuários a redefinirem suas senhas. Isso é especialmente útil se você suspeitar de uma violação de segurança ou apenas quiser impor uma nova política de senhas.

Primeiro, instale e ative o plugin Emergency Password Reset. Após a ativação, vá para a página Usuários » Emergency Password Reset e clique no botão ‘Reset All Passwords’.

Redefinir todas as senhas

Para instruções detalhadas, consulte nosso guia sobre como redefinir senhas para todos os usuários no WordPress.

10. Mantenha o WordPress Atualizado

O WordPress lança frequentemente novas versões para adicionar recursos e corrigir vulnerabilidades de segurança. Executar uma versão desatualizada do WordPress, seus plugins ou seu tema é um dos maiores riscos de segurança que você pode correr.

Sempre certifique-se de que está usando a versão mais recente do software principal do WordPress, bem como de todos os seus plugins e temas. Para mais informações sobre isso, consulte nosso guia sobre por que você deve sempre usar a versão mais recente do WordPress.

11. Crie Páginas de Login e Registro Personalizadas

Para sites que exigem registro de usuário, como sites de associação ou lojas online, você deve criar páginas de login e registro personalizadas.

Isso impede que usuários não administradores precisem ver ou acessar a tela de login padrão do WordPress. Ele oferece uma experiência de usuário mais profissional e permite que você restrinja completamente o acesso padrão ao wp-admin sem afetar seus membros ou clientes.

A maneira mais fácil de fazer isso é com um plugin como o WPForms, que possui um poderoso add-on de Registro de Usuário. Para instruções detalhadas, veja nosso guia sobre como criar páginas de login e registro personalizadas no WordPress.

12. Saiba Mais Sobre Funções e Permissões de Usuário do WordPress

O WordPress tem um sistema de gerenciamento de usuários integrado com diferentes funções e capacidades. Atribuir a função errada pode dar a um usuário muito mais permissões do que ele precisa, criando um risco de segurança potencial.

É importante entender o que cada função pode fazer antes de adicionar usuários ao seu site. Aqui estão as 5 funções padrão:

  • Administrador: Tem acesso total a todas as configurações e conteúdo do site.
  • Editor: Pode publicar e gerenciar todas as postagens, incluindo as de outros usuários.
  • Autor: Pode publicar e gerenciar apenas suas próprias postagens.
  • Colaborador: Pode escrever e gerenciar suas próprias postagens, mas não pode publicá-las.
  • Assinante: Só pode fazer login e gerenciar seu próprio perfil.

Para um detalhamento completo, consulte nosso guia para iniciantes sobre funções e permissões de usuário do WordPress.

13. Limite o Acesso ao Painel do WordPress

Em alguns sites, certos usuários podem não precisar de acesso ao painel do WordPress. Por padrão, qualquer usuário pode fazer login e ver a área administrativa, mesmo que suas capacidades sejam limitadas.

Para corrigir isso, instale e ative o plugin Remove Dashboard Access. Após a ativação, vá para Configurações » Acesso ao Painel e selecione quais funções de usuário podem acessar a área administrativa. Outros podem ser redirecionados para a página inicial ou outro URL.

Para instruções mais detalhadas, consulte nosso guia sobre como limitar o acesso ao painel no WordPress.

14. Desconecte Usuários Inativos

Logout de usuário inativo

Usuários logados que se afastam de seus computadores podem representar um risco de segurança. Se o computador deles for público ou compartilhado, outra pessoa poderá acessar a conta deles.

Você pode resolver isso instalando o plugin Inactive Logout. Vá para Configurações » Logout por Inatividade e defina um limite de tempo. Após esse período de inatividade, os usuários serão desconectados automaticamente.

Para mais detalhes, consulte nosso artigo sobre como desconectar automaticamente usuários inativos no WordPress.

Perguntas Frequentes Sobre a Segurança da Administração do WordPress

Qual é o passo mais importante para proteger minha área administrativa do WordPress?

Usar um Web Application Firewall (WAF) é o primeiro passo mais crítico. Um bom firewall, como Cloudflare ou Sucuri, bloqueia tráfego malicioso antes que ele chegue ao seu site, prevenindo uma ampla gama de ataques.

Proteger o diretório wp-admin com senha é realmente necessário?

Embora não seja obrigatório, é altamente eficaz. Ele adiciona uma segunda camada de autenticação que impede quase todos os bots automatizados que tentam forçar o login na sua página. É uma mudança simples que aumenta significativamente a segurança.

Posso ficar bloqueado do meu próprio site ao seguir estas dicas?

Sim, se você não for cuidadoso. A dica para limitar o acesso ao login a endereços IP específicos é apenas para usuários avançados com um IP estático. Se você usa um endereço IP normal e dinâmico, você se bloqueará. Sempre faça backup do seu site antes de editar arquivos como o .htaccess.

Recursos Adicionais para Segurança do WordPress

Esperamos que este artigo tenha ajudado você a aprender novas dicas e truques para proteger a área de administração do seu WordPress.

Você também pode querer ver nossos outros guias de especialistas para manter seu site seguro:

Se você gostou deste artigo, por favor, inscreva-se em nosso Canal do YouTube para tutoriais em vídeo do WordPress. Você também pode nos encontrar no Twitter e no Facebook.

Aviso: Nosso conteúdo é apoiado pelos leitores. Isso significa que, se você clicar em alguns de nossos links, poderemos ganhar uma comissão. Veja como o WPBeginner é financiado, por que isso importa e como você pode nos apoiar. Aqui está nosso processo editorial.

O Kit de Ferramentas Definitivo para WordPress

Obtenha acesso GRATUITO ao nosso kit de ferramentas - uma coleção de produtos e recursos relacionados ao WordPress que todo profissional deve ter!

Interações do Leitor

138 CommentsLeave a Reply

  1. Estou aprendendo desenvolvimento em WP. Quero fazer um site de e-commerce com WordPress usando o plugin WP e-Commerce. Alguém sabe se essas dicas manterão meu site de e-commerce seguro?

  2. Uau – este é um post INCRÍVEL! Muito obrigado por compartilhar todas essas informações – e alguns ótimos plugins também!

    In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one. ;)

  3. O problema com os plugins é que eles nem sempre são compatíveis com todas as versões, e nem sempre são atualizados.

    • A maioria dos plugins é compatível com versões mais recentes, e se o desenvolvedor decidir abandonar o desenvolvimento do plugin, outros frequentemente assumem e criam um plugin com correções para futuras versões. Você só precisa se manter ativo na comunidade.

      Admin

  4. Existem também alguns plugins pagos – por exemplo, “WP Secure”, que também afirma que tornará seu WP seguro contra hackers. Ele também funciona com base em alguns dos princípios acima – por exemplo, página de login personalizada, confirmação de um IP, etc.

    Vale a pena comprar? = alguém sabe se é mais fácil de usar para não-técnicos do que alguns dos mencionados acima?

  5. Olá
    Muito obrigado pelas suas dicas.
    Em relação à dica 8, eu me pergunto como inserir o código
    `add_filter(’login_errors’,create_function(’$a’, “return null;”));`
    Qual é a função completa a ser usada?
    Gostaria de tentar, pois já uso o AskApache Password Protect e esse plugin é incompatível com o Secure Wordpress.
    Obrigado,
    Kjetil
    http://www.dolcevita.no

    • Você vai em functions.php e insere esse código. É só isso, se entendemos sua pergunta claramente. Se isso não respondeu, por favor, responda ao comentário e certamente daremos uma olhada.

      Admin

  6. Obrigado por esta informação inestimável. Acabei de sofrer um ataque de malware que deixou meu blog fora do ar por um ou dois dias enquanto meu programador do Wordpress resolvia. Muito inconveniente.

    Implementarei algumas das sugestões que você fez nos próximos dias.

    Robinoz
    http://www.e1jobs-blog.com (Blog Tudo Sobre Empregos)

  7. boas dicas para proteger o wordpress. com o tempo, veremos os hosts se tornarem mais rigorosos e seguros ou os pacotes de CMS precisarem implementar algumas iniciativas de segurança adicionais na instalação.

  8. Levei alguns minutos para resolver isso, mas você usou o tipo errado de aspas em torno desta função

    add_filter(’login_errors’,create_function(’$a’, “return null;”));

    Deveria ser:

    add_filter(‘login_errors’,create_function(‘$a’, “return null;”));

    Fora isso, ótimo post.

  9. O que você pode fazer com o Plugin Wp-PreventCopyBlogs para WordPress

    1. Rastreie os visitantes que tentam copiar seu conteúdo.

    2. Registre o IP do usuário que tenta fazer cópias fraudulentas com a URL de destino do seu site e a URL de referência. Isso pode ajudá-lo a tomar as medidas necessárias se notar algo ruim.

    3. Habilite a mensagem exibida para seu usuário, de acordo com a escolha do usuário.

    4. Desabilite a seleção do seu texto e o clique com o botão direito para os usuários, dependendo da opção.

  10. Devo parabenizar por este excelente artigo!!! Para ser honesto, conheço algumas dicas, mas algumas informações muito importantes eram desconhecidas para mim até agora!

    Keep on good work :razz:

  11. Em relação ao #6, se você usar o seguinte arquivo .htaccess, poderá fazer login de outros locais em um processo de duas etapas. Isso requer que você adicione um arquivo htpasswd (leia a documentação do seu servidor).

    AuthUserFile ‘algum arquivo htpasswd’
    AuthGroupFile /dev/null
    AuthName “Controle de Acesso de Administrador do WordPress”
    AuthType Basic

    order deny,allow
    deny from all
    Require valid-user
    # lista branca do IP de Syed
    allow from xx.xx.xx.xxx
    # lista branca do IP de David
    allow from xx.xx.xx.xxx
    # lista branca do IP de Amanda
    allow from xx.xx.xx.xxx
    # lista branca do IP de Muhammad
    allow from xx.xx.xx.xxx
    # lista branca do IP do Trabalho
    allow from xx.xx.xx.xxx
    Satisfy Any

    As linhas “require valid user” e “satisfy any” forçarão o Servidor Apache a solicitar um Nome de Usuário e Senha antes que você possa acessar a tela de Login do WordPress. Por favor, NÃO use o mesmo Nome de Usuário e Senha no arquivo htpasswd que você usa para o seu acesso ao WordPress, ou você anulará o propósito do nível extra de segurança.

  12. Oi, eu blogo há 3 anos. Meu blog foi hackeado em junho de 2009 e o Google me baniu por 30 dias, minhas visualizações de página caíram imediatamente de 800 por dia para menos de 100 por dia.
    Eu recomendo fortemente a instalação de um plugin de firewall para WordPress. O plugin enviará um e-mail toda vez que alguém tentar hackear seu blog, juntamente com o endereço IP do hacker. O plugin detecta e bloqueia solicitações estranhas, redirecionando o ataque para a página inicial.
    Na segunda-feira, recebi um e-mail com seis tentativas de invasão durante o fim de semana. O hacker tentou a página de administrador três vezes, quando isso falhou, ele tentou pesquisar o plugin wordspew, que eu não uso.

    Boa sorte a todos os novatos

    • Uma vez que um hack é bem-sucedido, o bot ou hacker humano manterá seus dados e continuará tentando acessar os arquivos do seu site procurando uma maneira de voltar. eles continuarão implacáveis. se eles conseguiram invadir seu e-mail, computador ou servidor, eles continuarão até terem invadido tudo o que você toca. eles são como baratas que encontraram migalhas que levaram à sua casa.

    • Você dá a eles o URL especial que você criou se confiar neles o suficiente. Na maioria das vezes, autores convidados nem deveriam ter acesso ao painel de administração, a menos que sejam autores do seu site. Se alguém escreveu vários posts para o seu site, então eles podem ser confiáveis, então você pode dar a eles o URL especial /login ou /googlogin ou o que quer que você tenha criado.

      A maioria dos principais blogs aceita posts de convidados por e-mail e, se esses autores convidados se tornarem autores regulares, só então eles terão acesso ao painel de administração.

      Admin

  13. Ótimas dicas.

    Para os leitores envolvidos, há uma imprecisão no nº 6.

    “A desvantagem desse hack é que, se você quiser acessar o painel de administração de outro lugar, não poderá fazê-lo, a menos que adicione esse IP extra ao seu arquivo .htaccess.”

    Se o endereço IP que você permite for uma caixa na qual você pode fazer SSH, você pode fazer um túnel SSH através dela (eu uso foxyproxy, porque facilita muito a troca). Além disso, se você estiver usando nginx em vez de apache, pode avaliar a URI com expressões regulares para bloquear tudo de wp-app.php a wp-trackback.php (ou escolher seletivamente quais você não quer bloquear). Eu cubro isso em http://www.phrison.com/securing-arbitrary-uris/, mas não é para os inexperientes.

    Eu tenho uma grande coleção de chapéus de papel alumínio.

  14. Este site é uma nova e feliz descoberta para mim (FYI, graças a @Problogger no Twitter), e estou ansioso para explorar mais. Este artigo é o tipo de escrita concisa e clara que é muito rara hoje em dia. Obrigado por informações genuinamente úteis.

    • Ficamos felizes que você goste do nosso site, e também ficamos muito felizes que Darren tenha achado o artigo útil o suficiente para tweetar. Esperamos que você nos siga no Twitter para ficar atualizado com todos os bons tutoriais.

      Admin

  15. Uau – sou bem novo no WP e não tinha ideia de que havia tantas portas de entrada para hackers. Tenho certeza de que eles não conseguirão entrar depois de adicionar algumas dessas.

    Obrigado.

  16. A segurança do WordPress é um problema crescente e essas etapas são críticas para proteger um site WordPress. Fortalecer a segurança ajuda toda a comunidade, bem como o seu próprio site a dedicar tempo para implementar essas ideias. Muito bem feito.

  17. Uma boa lista de dicas vitais para proteger seu site. Eu particularmente gosto da #8, nunca fiz isso antes, mas farei a partir de agora!

    Em relação a #7 – Remover o nome de usuário ‘admin’:

    Eu não removo o nome de usuário admin, eu crio uma nova conta admin e depois mudo o tipo de conta do usuário ‘admin’ para assinante.

    Dessa forma, mesmo que alguém quebre a senha, é uma conta inútil. Se você a remover, alguém pode registrar esse nome de usuário...

    • Pergunta para James Morrison. Você pode explicar um pouco mais o que você está dizendo e como fazer isso?

      Para a equipe, tentei várias vezes obter um número para o plugin akisnet e não consigo encontrar um. Como se obtém um?

      Post muito bom. Vou implementar isso diretamente. Tive um dos meus blogs hackeado duas vezes em 30 dias uma vez.

      Obrigado pelas ótimas informações.

      • Siga estes passos:

        1.) Crie uma nova conta de usuário com acesso de administrador (ex: 'James')
        2.) Faça login com a nova conta no WP Admin
        3.) Edite a conta de usuários 'admin' e altere o acesso para assinante

        Dessa forma, se alguém tentar comprometer a conta de administrador e conseguir, ainda assim não poderá fazer nada de ruim no seu site.

        Para obter uma chave do Akismet, você precisa se inscrever em uma em http://www.wordpress.com

        Espero que isso ajude!

  18. Obrigado por todas as sugestões, estou trabalhando em alguns projetos grandes e isso certamente ajudará assim que os blogs estiverem funcionando.

    Primeira vez aqui e estou adorando o blog, bom trabalho!

    Dan

    • Fico feliz que você goste daqui. Sinta-se à vontade para fazer quaisquer sugestões se tiver alguma dúvida ou quiser que algum tópico específico seja abordado no WPBeginner.

      Admin

    • Sim, você pode fazer isso, mas neste artigo estávamos falando apenas sobre o Painel de Administração do WordPress, não sobre o site inteiro em geral. Existem muitas outras maneiras de proteger todo o seu blog WordPress.

      Admin

  19. Ei, esta é uma coleção maravilhosa de dicas e truques, muito útil. Recomendo que todo blogueiro WP passe pela lista e siga os passos, bem como outros recursos úteis disponíveis em outros lugares. Afinal, não configuramos nossos blogs para que alguém controle nossas vidas. Droga.

    Obrigado por compartilhar, WPBeginner.

Deixe uma resposta

Obrigado por escolher deixar um comentário. Por favor, tenha em mente que todos os comentários são moderados de acordo com nossa política de comentários, e seu endereço de e-mail NÃO será publicado. Por favor, NÃO use palavras-chave no campo do nome. Vamos ter uma conversa pessoal e significativa.