Segurança é rotina, não produto
A versão antiga deste post dava três dicas soltas — "elaboração de planejamento", "criptografia", "testes de vulnerabilidade" — e nenhuma delas dizia o que fazer na segunda-feira. Essa é a diferença que muda tudo: segurança de site não é algo que se compra e instala uma vez; é uma rotina com frequências definidas e um responsável. A imensa maioria dos sites invadidos não cai por falta de uma ferramenta cara, e sim por ninguém ter atualizado nada nos últimos oito meses.
O calendário: o que fazer e quando
| O que fazer | Frequência | Quem faz | Se não fizer |
|---|---|---|---|
| Atualizar sistema, tema e extensões | Semanal ou automático | Quem mantém o site | Porta de entrada nº 1 fica aberta |
| Conferir se o backup rodou | Mensal | Quem mantém | Descobre que não havia backup no pior dia |
| Testar a restauração do backup | Trimestral | Quem mantém | Backup existe, mas não volta |
| Revisar usuários e permissões | Trimestral | A empresa | Ex-funcionário com acesso de administrador |
| Senhas fortes e segundo fator | Uma vez + a cada acesso novo | A empresa | Invasão por tentativa automática |
| Verificar o certificado SSL | Mensal | Quem mantém | Navegador avisa o visitante que o site não é seguro |
| Olhar Problemas de segurança no Search Console | Mensal | A empresa | Descobre a invasão pelo cliente |
| Remover o que ninguém usa | Semestral | Quem mantém | Superfície de ataque desnecessária |
| Monitorar se o site está no ar | Contínuo | Ferramenta | Horas fora do ar sem ninguém perceber |
Atualizações: a correção mais barata
Quando uma falha de segurança é descoberta em um sistema, tema ou extensão, duas coisas acontecem quase ao mesmo tempo: os desenvolvedores publicam a correção e a falha vira conhecimento público. A partir daí, todo site que não atualizou está em uma lista pública de alvos fáceis. Atualizar é, disparado, a ação de melhor retorno em segurança — e a mais adiada, geralmente por medo de "quebrar alguma coisa". A solução para esse medo não é deixar de atualizar: é ter backup testado antes de aplicar, o que transforma qualquer problema em cinco minutos de restauração.
Senhas, acessos e segundo fator
- Senha única por serviço — a reutilização é o que transforma um vazamento em outro site num acesso ao seu painel;
- Segundo fator ativado no painel do site, na hospedagem, no registrador do domínio e no e-mail — o e-mail é a chave que recupera todas as outras;
- Cada pessoa com o seu próprio usuário, e não uma conta "admin" compartilhada por todos;
- Permissão mínima necessária: quem só publica textos não precisa de acesso administrativo;
- Remoção imediata ao fim de um contrato ou de um vínculo — inclusive de fornecedores. O mesmo vale para a titularidade do domínio, tema de como verificar o WHOIS do seu domínio.
Backup que você já testou
Backup é a única medida que resolve o problema depois que ele aconteceu — e por isso é a mais importante da lista. Três regras: frequência compatível com a mudança (diário para lojas e blogs ativos, semanal para sites institucionais); cópia fora do mesmo servidor, porque backup guardado junto com o site desaparece junto com ele; e restauração testada pelo menos uma vez por trimestre. Essa última é a que quase ninguém faz — e backup nunca restaurado não é backup, é esperança.
O que o SSL realmente protege
Vale corrigir a explicação do texto original, que descrevia criptografia como "uma espécie de chave que se altera com cada visitante e interpreta se as ações dos mesmos podem ser boas ou ruins". Não é isso. O SSL/TLS criptografa os dados em trânsito entre o navegador do visitante e o servidor, impedindo que sejam lidos ou alterados por quem estiver no meio do caminho — é o que garante que uma senha ou um número de cartão digitados no seu site não trafeguem em texto aberto. Ele não impede invasão, não bloqueia ataques e não analisa comportamento. Quem faz esse tipo de análise é o firewall de aplicação, assunto de por que ter um firewall no site. São camadas diferentes, e ambas são necessárias.
As 4 portas de entrada mais comuns
- Software desatualizado — sistema, tema ou extensão com falha já pública. Responde pela maior parte dos casos em sites de empresas pequenas;
- Senha fraca ou reutilizada, sem segundo fator — testada por robôs que fazem milhares de tentativas por hora;
- Extensão de origem duvidosa — inclusive versões piratas de plugins pagos, que frequentemente vêm com código malicioso embutido. Economizar aqui costuma ser o negócio mais caro do ano;
- Acesso esquecido — conta de ex-funcionário, de ex-fornecedor, um usuário de teste criado durante o projeto, um acesso de FTP antigo que ninguém revogou.
Nenhuma das quatro exige um ataque sofisticado. Todas são fechadas pela rotina da tabela acima.
"Meu site é pequeno demais para ser invadido"
É a crença mais perigosa sobre segurança de sites, e é falsa por dois motivos. Primeiro: ataques são automatizados. Robôs varrem a internet inteira procurando endereços que rodam versões vulneráveis conhecidas. Ninguém olhou para o seu negócio e decidiu atacá-lo — o seu site apenas apareceu em uma lista. Segundo: o alvo raramente é o seu conteúdo. Na maior parte dos casos, o invasor quer o seu servidor: para disparar spam, hospedar páginas de golpe que se aproveitam da reputação do seu domínio, inserir links escondidos ou usar o processamento. Sites pequenos são alvos preferenciais justamente por serem menos cuidados.
"Ninguém escolheu invadir o seu site. Um robô encontrou uma versão desatualizada e seguiu em frente — como faz com outros milhares por hora."
O que fazer nas primeiras 24 horas
- Não apague nada ainda. O que está lá ajuda a descobrir por onde entraram — e apagar por impulso costuma destruir a única pista;
- Coloque o site em manutenção se houver qualquer risco ao visitante (redirecionamento estranho, página de golpe, download suspeito);
- Troque todas as senhas: painel do site, hospedagem, FTP, banco de dados, registrador do domínio e, principalmente, o e-mail;
- Avise a hospedagem. Muitas têm equipe e ferramentas para identificar e limpar, e podem confirmar se o problema é isolado;
- Descubra quando começou e restaure um backup anterior a essa data — restaurar de um backup já infectado é o erro mais comum;
- Atualize tudo antes de voltar ao ar. Voltar sem fechar a porta resulta em nova infecção em dias;
- Verifique o Search Console, em Problemas de segurança, e peça revisão depois de limpo — é o que remove o alerta de site perigoso nos navegadores e ajuda a recuperar posições, como descrito em o que fazer quando o site cai no ranking.
Vazamento de dados: o dever de comunicar
Se o incidente expôs dados pessoais de clientes — cadastros, pedidos, mensagens de formulário —, existe uma obrigação legal que a versão antiga deste post não mencionava, porque é posterior a ela. A LGPD prevê a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados quando o incidente puder acarretar risco ou dano relevante. Na prática: registre o que aconteceu, quais dados foram expostos, quando, e quais medidas foram tomadas; e busque orientação jurídica sobre a comunicação. A omissão costuma pesar mais do que o próprio incidente.
Prevenir × remediar: a conta
Prevenir custa: hospedagem decente, certificado (frequentemente incluso), backup automático e algumas horas por mês de manutenção. Remediar custa: horas ou dias de site fora do ar; o serviço de limpeza; a restauração; a perda de posições no Google enquanto o site esteve marcado como perigoso; os clientes que tentaram acessar e viram um alerta vermelho; e o tempo da equipe durante a crise. A diferença entre as duas contas costuma ser de uma ordem de grandeza — e a segunda ainda vem no pior momento possível.
5 erros de segurança
- Adiar atualizações por medo de quebrar — quando a solução é backup testado, não imobilidade;
- Backup no mesmo servidor — some junto com o site;
- Uma conta de administrador compartilhada — ninguém sabe quem fez o quê, e ninguém a revoga;
- Instalar extensão pirata para economizar a licença;
- Achar que SSL resolve segurança — o cadeado protege o trânsito dos dados, não o site.
Perguntas frequentes
Como manter a segurança do meu site em dia?
Com uma rotina, não com um produto. Semanalmente: atualizar sistema, tema e extensões. Mensalmente: conferir se o backup rodou, checar o certificado SSL e olhar o relatório de problemas de segurança no Search Console. Trimestralmente: testar a restauração de um backup e revisar quem tem acesso. Semestralmente: remover o que ninguém usa. E monitoramento contínuo para saber se o site saiu do ar.
Qual é a causa mais comum de invasão de sites?
Software desatualizado — sistema, tema ou extensões com versões antigas cujas falhas já são públicas. Depois vêm senhas fracas ou reutilizadas sem segundo fator, extensões de origem duvidosa (inclusive versões piratas de plugins pagos) e acessos esquecidos de ex-funcionários ou ex-fornecedores. Nenhuma dessas quatro exige um ataque sofisticado.
Meu site é pequeno. Por que alguém invadiria?
Porque ninguém escolheu o seu site: robôs varrem a internet inteira procurando versões vulneráveis conhecidas, e o seu apenas apareceu na lista. E o objetivo raramente é o seu conteúdo — é usar o seu servidor para enviar spam, hospedar páginas de golpe, inserir links escondidos ou minerar. Site pequeno é alvo justamente por ser menos cuidado.
O certificado SSL protege meu site de invasão?
Não. O SSL criptografa os dados em trânsito entre o navegador do visitante e o servidor, impedindo que sejam interceptados no caminho. Ele não impede invasão, não bloqueia ataques e não analisa comportamento — isso é papel de um firewall de aplicação e da rotina de atualizações. SSL é obrigatório, mas resolve um problema específico.
Com que frequência devo fazer backup do site?
Diariamente para sites que mudam todo dia, como lojas e blogs ativos; semanalmente para sites institucionais estáveis. Mais importante que a frequência é testar a restauração pelo menos uma vez por trimestre, e manter cópias fora do mesmo servidor — backup que nunca foi restaurado não é backup, é esperança.
O que fazer se meu site foi invadido?
Nas primeiras horas: não apague nada, coloque o site em manutenção se houver risco ao visitante, troque todas as senhas (painel, hospedagem, FTP, banco de dados, e-mail), avise a hospedagem, identifique quando começou e restaure um backup anterior a essa data, atualize tudo antes de voltar ao ar e peça revisão no Search Console. Voltar sem atualizar quase sempre resulta em nova infecção.
Preciso avisar alguém se houve vazamento de dados?
Se dados pessoais de clientes foram expostos, a LGPD prevê a comunicação à Autoridade Nacional de Proteção de Dados e aos titulares afetados quando o incidente puder acarretar risco relevante. Registre o que aconteceu, o que foi exposto e as medidas tomadas, e consulte orientação jurídica — a omissão pesa mais do que o incidente.
Quanto custa manter a segurança de um site?
A rotina preventiva custa pouco: hospedagem decente, certificado, backup automático e algumas horas por mês de manutenção. Remediar custa muito mais — limpeza, restauração, horas ou dias fora do ar, perda de posições no Google, alerta de site perigoso no navegador e o desgaste com clientes que tentaram acessar. A diferença entre as duas contas costuma ser de uma ordem de grandeza.