O que é um site blindado?
O termo "site blindado" no Brasil ficou popularizado pela empresa Site Blindado (hoje integrada ao portfólio do UOL Diveo), que oferecia um serviço de certificação de segurança para e-commerces. O conceito, porém, é mais amplo do que uma marca específica.
Um site blindado é aquele que passou por um processo de auditoria e certificação de segurança — realizado por empresas especializadas — que inclui varredura de vulnerabilidades, teste de invasão (pentest), verificação de malware e emissão de um selo de confiança visível para os visitantes.
O selo cumpre duas funções:
- Funcional: confirma que o site passou por testes de segurança recentes
- Psicológica: transmite confiança ao visitante, especialmente em páginas de checkout e formulários com dados pessoais
SSL vs. blindagem: qual a diferença real?
Essa é a confusão mais comum. SSL e blindagem protegem coisas diferentes:
| Proteção | SSL/HTTPS | Blindagem/Certificação |
|---|---|---|
| O que protege | Dados em trânsito (comunicação) | O site em si (código, servidor, dados) |
| Como funciona | Criptografa a conexão entre servidor e navegador | Varredura ativa de vulnerabilidades no código e servidor |
| Visibilidade | Cadeado no navegador | Selo/badge na página |
| Frequência | Permanente enquanto certificado válido | Varredura diária ou semanal |
| Custo | Gratuito (Let's Encrypt) a pago | Pago (serviço de assinatura mensal) |
| É suficiente sozinho? | Não | Parcialmente |
A metáfora mais clara: SSL é o cadeado na porta de entrada. Blindagem é o serviço de segurança que patrulha o prédio, verifica câmeras e detecta se alguém entrou por uma janela. Ambos são necessários — mas são camadas diferentes.
Por que a segurança afeta SEO e conversões?
Segurança não é apenas uma questão técnica — ela tem impacto direto e mensurável no tráfego orgânico e na taxa de conversão.
Impacto no SEO
- HTTPS é fator de ranqueamento: desde 2014, o Google usa HTTPS como sinal de qualidade. Sites sem HTTPS têm desvantagem de ranqueamento.
- Sites invadidos são penalizados: quando o Google detecta malware ou conteúdo suspeito, ele exibe um aviso "Este site pode ser prejudicial" na SERP — efetivamente zerando o tráfego.
- Safe Browsing: o Google Safe Browsing bloqueia o acesso a sites com malware em todos os navegadores baseados em Chromium. Um site infectado pode ficar inacessível para 65%+ dos usuários brasileiros.
Impacto na conversão
- 82% dos usuários abandonam um site se veem o aviso "Não seguro" no navegador (pesquisa GlobalSign, 2022)
- Sites com selos de segurança convertem 30% mais em páginas de pagamento
- A simples ausência do HTTPS reduz a taxa de preenchimento de formulários em 10-20%
"A segurança do site não é responsabilidade apenas do desenvolvedor — é um fator de negócio. Um site invadido pode custar muito mais do que todo o investimento em marketing digital." — OWASP Foundation
As 6 camadas de segurança de um site profissional
Segurança em camadas (defense in depth) é o princípio central da cibersegurança: nenhuma camada sozinha é suficiente, mas múltiplas camadas sobrepostas tornam o site exponencialmente mais resistente a ataques.
- Camada 1 — Dados: criptografia de dados sensíveis no banco de dados. Senhas com bcrypt. Dados pessoais minimizados.
- Camada 2 — SSL/HTTPS: certificado SSL ativo. Redirecionamento HTTP para HTTPS. HSTS habilitado no servidor.
- Camada 3 — Código: sanitização de inputs, proteção contra SQL Injection e XSS, headers HTTP de segurança (CSP, X-Frame-Options).
- Camada 4 — Servidor: atualizações automáticas de SO e software. Acesso SSH por chave (não senha). 2FA no painel admin. Fail2ban.
- Camada 5 — CDN/WAF: Cloudflare com WAF ativo. Proteção contra DDoS. Rate limiting. Filtragem de IPs maliciosos.
- Camada 6 — Monitoramento: backup diário automatizado. Alertas de indisponibilidade. Varredura de malware. Log de acessos.
Certificado SSL: tipos e como obter
O SSL é o mínimo inegociável de segurança para qualquer site em 2026. Sem ele, o Google Chrome exibe "Não seguro" na barra de endereços — o que afugenta visitantes e prejudica o ranqueamento.
Tipos de certificado SSL
| Tipo | Validação | Para quem | Custo |
|---|---|---|---|
| DV (Domain Validation) | Apenas domínio | Sites institucionais e blogs | Gratuito (Let's Encrypt) |
| OV (Organization Validation) | Domínio + empresa verificada | Empresas que precisam de mais credibilidade | R$200-600/ano |
| EV (Extended Validation) | Verificação completa da empresa | Bancos, grandes e-commerces | R$800-2.500/ano |
| Wildcard | DV ou OV para todos os subdomínios | Sites com múltiplos subdomínios | R$300-1.200/ano |
Como obter SSL gratuito com Let's Encrypt
O Let's Encrypt é uma autoridade certificadora sem fins lucrativos patrocinada pela EFF, Mozilla e Google que oferece certificados DV gratuitos e renovação automática a cada 90 dias. A maioria das hospedagens modernas (cPanel, Plesk, Hostinger, Locaweb) já oferece instalação em um clique.
Para sites no Cloudflare, o SSL gratuito é configurável diretamente no painel sem precisar de certificado no servidor de origem.
WAF e Cloudflare: proteção na nuvem
O Cloudflare é, de longe, a ferramenta de segurança com melhor custo-benefício para sites brasileiros. No plano gratuito, já oferece:
- CDN com pontos de presença em São Paulo e Rio de Janeiro
- Proteção básica contra DDoS (ilimitada, mesmo no free)
- SSL automático e gratuito
- Regras de firewall básicas
- Bloqueio de bots maliciosos conhecidos
- Rate limiting básico
O plano Pro (US$20/mês) adiciona o WAF completo com regras para as principais vulnerabilidades web (OWASP Top 10), firewall avançado e proteção contra ataques de dia zero.
Ataques mais comuns e como se proteger
Conhecer os tipos de ataque é o primeiro passo para se defender. Estes são os mais frequentes contra sites brasileiros:
SQL Injection
O atacante insere código SQL malicioso em campos de formulário para manipular o banco de dados. Pode roubar todos os dados dos usuários, excluir registros ou obter credenciais de admin. Proteção: usar queries parametrizadas (prepared statements) no código, nunca montar queries com concatenação de strings do usuário.
XSS (Cross-Site Scripting)
Injeção de JavaScript malicioso no site que executa no navegador das vítimas. Pode roubar cookies de sessão, redirecionar usuários para sites de phishing ou capturar dados digitados. Proteção: escapar todo output de dados do usuário, implementar Content Security Policy (CSP).
Brute Force no painel admin
Robôs testam milhares de combinações de usuário/senha para invadir o painel de gerenciamento. Especialmente comum contra instalações de WordPress com URL padrão /wp-admin. Proteção: 2FA, limite de tentativas de login, URL de admin customizada, senha forte.
DDoS (Distributed Denial of Service)
Inundação do servidor com requisições para tornar o site inacessível. Muito usado por concorrentes desonestos ou extorsão. Proteção: Cloudflare (absorve o tráfego antes de chegar ao servidor), rate limiting.
Malware via plugins/temas vulneráveis
Especialmente crítico para WordPress: plugins desatualizados ou de fontes não confiáveis são a porta de entrada mais comum para malware. Proteção: manter tudo atualizado, instalar apenas plugins de fontes oficiais, usar scanner como Wordfence ou MalCare.
LGPD e as obrigações de segurança do site
A Lei Geral de Proteção de Dados (LGPD — Lei 13.709/2018) é a legislação brasileira equivalente ao GDPR europeu. Qualquer site que coleta dados pessoais de brasileiros deve estar em conformidade, independentemente de onde o servidor está hospedado.
O que a LGPD exige do seu site
- Base legal para coleta: você precisa de um motivo legítimo para coletar dados (consentimento, contrato, obrigação legal)
- Política de privacidade clara e acessível — descrevendo quais dados coleta, por que e por quanto tempo
- Banner de cookies com opt-in — o usuário deve consentir antes de ser rastreado (exceto cookies estritamente necessários)
- Medidas técnicas de segurança adequadas — HTTPS, criptografia de dados sensíveis, controle de acesso
- Notificação de incidentes: violações de dados devem ser comunicadas à ANPD em até 2 dias úteis
Backup: a última linha de defesa
Todo site pode ser invadido, corrompido ou ter dados perdidos por falha de hardware. O backup é a garantia de que nenhuma dessas situações é permanente. A regra de ouro é a estratégia 3-2-1:
- 3 cópias dos dados
- 2 em tipos de mídia diferentes
- 1 armazenada fora do site (offsite — nuvem)
Para sites em WordPress, plugins como UpdraftPlus (gratuito) automatizam o backup diário para Google Drive, Dropbox ou Amazon S3. Para sites customizados, scripts cron com rsync ou serviços como o Veeam Backup funcionam bem.
Regra crucial: testar a restauração do backup periodicamente. Um backup não testado pode não funcionar quando mais precisar.
Selos de confiança e impacto na conversão
Além dos selos de segurança técnica, outros elementos de confiança têm impacto significativo nas conversões, especialmente em e-commerces e páginas de captura de leads:
| Elemento de confiança | Impacto típico na conversão |
|---|---|
| Selos de segurança (Site Blindado, McAfee Secure) | +15% a +30% no checkout |
| HTTPS visível na URL | Evita abandono de -20% dos visitantes |
| CNPJ e endereço físico visíveis | +10% a +20% em formulários de contato |
| Avaliações verificadas (Google Reviews, Reclame Aqui) | +25% a +40% em páginas de produto |
| Política de devolução/reembolso clara | +10% a +15% na finalização de compra |
Segurança específica para WordPress
WordPress alimenta mais de 43% de todos os sites do mundo — e isso o torna o alvo mais frequente de ataques automatizados. Boas práticas específicas:
- Mantenha WordPress, temas e plugins sempre atualizados — a maioria dos ataques explora vulnerabilidades já corrigidas em versões antigas
- Use apenas plugins do repositório oficial ou de desenvolvedores reconhecidos com histórico de atualizações
- Instale Wordfence ou MalCare — scanners de malware que monitoram arquivos em tempo real
- Troque o prefixo padrão das tabelas (wp_) no banco de dados para dificultar SQL Injection
- Desabilite o editor de arquivos no painel (define('DISALLOW_FILE_EDIT', true) no wp-config)
- Limite tentativas de login com plugin Limit Login Attempts Reloaded ou similar
- Use Two Factor Authentication para todos os usuários com acesso admin
- Troque a URL de login de /wp-admin para uma URL customizada com o plugin WPS Hide Login
🏆 Sites Fort: segurança em camadas incluída
Precisa de um site seguro do zero ou quer blindar o site que já tem? A Agência Fort entrega sites com todas as 6 camadas de segurança configuradas e Cloudflare ativo por padrão. Conheça a criação de sites da Fort.
Checklist completo de segurança (2026)
Nível 1 — Básico (obrigatório para qualquer site)
- ☐ Certificado SSL ativo e redirecionamento HTTP → HTTPS
- ☐ HTTPS forçado com HSTS
- ☐ Senha do admin com 16+ caracteres (letras, números, símbolos)
- ☐ Backup diário automatizado em local externo
- ☐ Software, plugins e temas atualizados
Nível 2 — Intermediário (recomendado)
- ☐ Cloudflare configurado com proteção DDoS
- ☐ 2FA no painel de admin e hospedagem
- ☐ Limite de tentativas de login ativo
- ☐ Scanner de malware configurado (Wordfence, Sucuri ou similar)
- ☐ Política de privacidade e banner de cookies conforme LGPD
- ☐ Headers HTTP de segurança (X-Frame-Options, CSP, X-XSS-Protection)
Nível 3 — Avançado (e-commerce e sites críticos)
- ☐ WAF ativo (Cloudflare Pro ou Sucuri)
- ☐ Conformidade PCI DSS para processamento de pagamentos
- ☐ Teste de penetração (pentest) anual
- ☐ Monitoramento de uptime 24/7 com alertas
- ☐ Plano de resposta a incidentes documentado
- ☐ Segregação de dados sensíveis com criptografia no banco
Como a Agência Fort garante segurança nos projetos
Em todos os sites criados pela Agência Fort, a segurança faz parte do processo padrão — não é opcional ou adicional:
- SSL via Let's Encrypt com renovação automática e HSTS configurado
- Cloudflare ativado em todos os projetos, com WAF básico e proteção DDoS
- Hospedagem com TTFB baixo em servidores VPS no Brasil, com atualizações automáticas de segurança
- Headers HTTP de segurança configurados no Nginx de todos os projetos
- Backup diário automatizado com retenção de 30 dias
- Para WordPress: configuração hardened com 2FA, URL de admin customizada e scanner de malware ativo
Veja também: tipos de certificados SSL e qual o ideal para seu site e os 8 diferenciais de um site profissional.