O texto anterior e a lista que não dizia nada
A versão de 2019 abria com um parágrafo que não era da Agência Fort: "aqui em nossa mais nova parceria com uma empresa de criação de sites podemos encontrar os mais belos sites profissionais já criados por nossos profissionais". É texto de outro site falando sobre uma parceira — publicado aqui por engano e mantido por sete anos, inclusive como resumo do artigo na listagem do blog.
Pior: a lista de limitações, que é o que o título promete, dizia isto na íntegra — "comprometimento de rede ou de um computador, podendo ser resolvido através de ampliação de infraestrutura; verificação de serviços e políticas; tratar devidamente os novos serviços e protocolos já impostos". Nenhum dos três é uma limitação, o primeiro sugere uma solução que não resolve nada, e a lista terminava em "e muitos outros que podem ser analisados por nossos profissionais" — ou seja, em anúncio.
Havia ainda uma seção chamada "Mais", "WhatsAppp" com três pês e "encontre a baixo". Este texto entrega o que o título promete: as limitações reais, uma a uma, e o que cobre cada uma delas.
Onde este texto entra
Se a sua dúvida é se vale a pena ter um firewall, como ele se compara a SSL, antivírus e backup, e como contratar, isso está em por que ter um firewall no site.
Aqui o assunto é o outro lado: o que ele não consegue fazer, e por que essas falhas são estruturais — não defeitos de um produto ruim que se resolvem comprando um melhor. Saber disso é o que evita a conclusão perigosa de que, com firewall instalado, o assunto segurança está encerrado.
O que um firewall faz, em uma frase
Um firewall é um filtro entre a internet e o que você quer proteger. Ele examina cada requisição que chega e decide, com base em um conjunto de regras, se ela passa ou não.
No caso de sites, o tipo relevante é o firewall de aplicação — o WAF. Diferente do firewall de rede, que filtra por origem, destino e porta sem olhar o conteúdo, o WAF lê o que está sendo enviado e reconhece padrões conhecidos de ataque: uma tentativa de injetar comando num campo de busca, um endereço malformado, uma sequência de logins na velocidade de um robô.
E ele é bom nisso. A maior parte do que chega a um site comum é tráfego automatizado varrendo endereços em busca de falhas conhecidas, e o firewall elimina esse volume antes que chegue ao site. É por isso que ele vale a pena. As limitações começam onde esse mecanismo termina.
Correção: a origem e o que mudou com a web
O texto anterior afirmava que os firewalls "surgiram na década de 1980, buscando com ajuda de antivírus e outros programas manter a integridade do site". Há um anacronismo aí: em 1980 não existiam sites.
Os primeiros firewalls apareceram no fim dos anos 1980 para proteger redes corporativas, filtrando conexões entre computadores. O firewall de aplicação, que é o que interessa a quem tem um site, é bem posterior — surgiu nos anos 2000, quando os ataques deixaram de mirar a rede e passaram a mirar o próprio conteúdo das requisições.
A distinção não é curiosidade histórica: ela explica por que "ter firewall" na empresa não significa ter o site protegido. São dois produtos diferentes, em camadas diferentes, e um não cobre o trabalho do outro.
A regra do porteiro
Existe uma frase que resume todas as limitações que vêm a seguir: o firewall é porteiro, não detetive.
O porteiro confere quem chega na entrada. Ele barra quem tenta pular o muro, quem carrega ferramenta suspeita, quem tenta a porta cem vezes seguidas. Faz isso bem e é insubstituível.
O que ele não faz: acompanhar o que a pessoa faz depois de entrar; reconhecer que a chave usada era roubada, se ela funciona; nem descobrir alguém que já estava lá dentro antes de o porteiro ser contratado. E, no limite, o firewall só barra o que consegue reconhecer como estranho. Tudo o que parece normal, passa — porque é isso que ele deve fazer.
Limitação 1 — credencial válida
Se alguém obtém o usuário e a senha de um administrador, entra pela porta da frente. Para o firewall, aquilo é um administrador legítimo fazendo o que administradores fazem — e bloquear seria o erro.
É a limitação mais explorada na prática, porque roubar credencial é mais fácil do que furar defesa técnica: senha repetida em outro serviço que vazou, senha fraca descoberta por tentativa, acesso de um ex-funcionário que nunca foi revogado, computador com programa malicioso capturando o que é digitado.
O que cobre: verificação em duas etapas, que torna a senha insuficiente sozinha; um usuário por pessoa, com permissões mínimas; revisão periódica de quem ainda tem acesso; e limite de tentativas de login.
Limitação 2 — o que já está dentro
Firewall filtra o que chega. Se um arquivo malicioso foi instalado antes de ele entrar em operação — por um plugin comprometido, por uma falha antiga já explorada, por um acesso indevido no passado —, esse arquivo já está do lado de dentro e não precisa atravessar filtro nenhum para funcionar.
É um ponto cego traiçoeiro porque produz uma falsa sensação de resolução: o site foi limpo, o firewall foi instalado, os ataques pararam de aparecer no relatório — e a porta dos fundos continua aberta.
O que cobre: verificação de integridade dos arquivos, que compara o que está no servidor com o que deveria estar; varredura de malware; e, em caso de invasão confirmada, restauração de um backup anterior à data do comprometimento, e não apenas remoção do que foi encontrado.
Limitação 3 — ele tapa o caminho, não corrige a falha
Quando surge uma vulnerabilidade conhecida em um plugin ou sistema, bons firewalls conseguem criar uma regra que bloqueia as tentativas de explorá-la. Isso tem valor real: dá tempo até a atualização ser aplicada.
Mas é preciso ser claro sobre o que aconteceu — a falha continua lá. O firewall reconhece a forma conhecida do ataque; se alguém usar uma variação que a regra não prevê, ela passa. E regras assim dependem de o fornecedor conhecer a vulnerabilidade, o que nem sempre é imediato.
O que cobre: manter sistema, tema e plugins atualizados, e remover o que não é usado. Cada plugin instalado é uma porta a mais para vigiar, mesmo desativado.
Limitação 4 — ele não conhece o seu negócio
Esta é a limitação menos evidente e a mais difícil de resolver. O firewall reconhece padrões técnicos de ataque; ele não faz ideia de quais são as regras do seu negócio.
Ele não sabe que um cliente não deveria conseguir abrir o pedido de outro cliente trocando um número no endereço. Não sabe que um cupom de desconto deveria valer uma vez por pessoa. Não sabe que um formulário de orçamento não deveria ser enviado quatrocentas vezes no mesmo dia. Tecnicamente, todas essas requisições são perfeitamente normais.
O que cobre: essa proteção é da aplicação, não do filtro — verificação de permissão a cada acesso a dado, validação das regras no servidor e não apenas na tela, e limites de uso onde eles fazem sentido.
Limitação 5 — o que não passa por ele
Um firewall protege o caminho em que está instalado. Tudo o que chega ao seu site por outro caminho passa sem ser visto.
Os casos mais comuns: acesso por FTP ou SSH direto ao servidor; o painel de controle da hospedagem, que fica em outro endereço; um banco de dados exposto na internet por configuração equivocada; e serviços externos que se conectam ao site por integração, com uma chave que pode vazar como qualquer senha.
O que cobre: fechar o que não é usado, exigir dupla verificação também no painel da hospedagem, restringir por endereço de origem quando possível, e tratar chaves de integração com o mesmo cuidado de uma senha de administrador.
O falso positivo: a limitação mais cara
Todas as limitações anteriores são sobre o que passa quando não deveria. Esta é o contrário — e costuma custar mais dinheiro: o firewall bloqueia gente legítima.
Acontece o tempo todo. Um formulário com texto longo parece tentativa de injeção. Um caractere incomum em um nome dispara uma regra. Um upload maior é interpretado como abuso. Um cliente em uma rede compartilhada herda o bloqueio de outra pessoa.
O que torna isso caro é a invisibilidade: o visitante barrado não avisa. Ele vê uma tela de erro, conclui que o site não funciona e vai embora. Não vira reclamação, não vira ticket, não aparece em relatório de ataques bloqueados — aparece só como um número de contatos menor do que deveria, sem causa aparente.
Daí o trade-off que raramente é explicado: firewall é uma régua entre bloquear demais e bloquear de menos. Regra frouxa deixa passar ataque; regra apertada derruba conversão. Ajustar essa régua é trabalho contínuo, não configuração única — e vale conferir os bloqueios de tempos em tempos justamente para encontrar clientes barrados por engano.
Por que limitação não é defeito
Nada do que está acima significa que o firewall não vale a pena. Significa que ele é uma camada, e que nenhuma camada de segurança é completa sozinha — inclusive o certificado SSL, cujos limites estão em o que o cadeado realmente diz.
O firewall elimina o grosso das tentativas automatizadas, que é a maior parte do volume que chega a qualquer site. Sem ele, esse ruído todo bate direto na aplicação, consome recursos e transforma qualquer falha pequena em incidente. Com ele, sobra apenas o que exige atenção humana.
O erro nunca foi comprar firewall. É comprar firewall e considerar o assunto encerrado — porque a sensação de proteção total é exatamente o que faz uma empresa parar de atualizar, parar de conferir backup e parar de revisar quem tem acesso.
O que cobre cada limitação
Reunindo as respostas, cada lacuna tem uma camada correspondente:
- Credencial válida → verificação em duas etapas, usuário por pessoa, revisão de acessos.
- O que já está dentro → verificação de integridade, varredura e backup anterior ao incidente.
- A falha em si → atualização de sistema, tema e plugins; remoção do que não se usa.
- Regras de negócio → validação e permissão dentro da própria aplicação.
- Caminhos alternativos → fechar o que não é usado, proteger painel e chaves de integração.
- Falso positivo → revisão periódica dos bloqueios, com alguém olhando quem foi barrado.
Nenhum desses itens é caro isoladamente, e a maioria é configuração, não compra. A rotina que amarra tudo isso está em como manter a segurança do site em dia.
Perguntas frequentes
O que são firewalls?
É um filtro que fica entre a internet e o que você quer proteger, e decide, requisição por requisição, o que passa e o que não passa, com base em um conjunto de regras. No caso de sites, o tipo usado é o firewall de aplicação, que analisa o conteúdo do que está sendo enviado e reconhece padrões conhecidos de ataque.
Quais as limitações de um firewall?
Cinco são estruturais e valem para qualquer produto: ele não barra quem entra com credencial válida; não enxerga o que já está instalado por dentro; não corrige a falha, apenas tenta bloquear o caminho até ela; não conhece as regras do seu negócio; e não protege o que não passa por ele, como o painel da hospedagem ou um acesso direto ao banco.
Firewall protege contra senha vazada?
Não. Quem entra com usuário e senha corretos parece um administrador legítimo, e é exatamente isso que o firewall deve deixar passar. A proteção contra credencial vazada é outra: verificação em duas etapas, senhas únicas por pessoa, revisão de quem ainda tem acesso e limite de tentativas de login.
Firewall substitui atualizar o site?
Não. Bons firewalls conseguem bloquear tentativas de explorar uma falha conhecida, o que dá tempo — mas a falha continua lá. Se a regra não cobrir uma variação do ataque, ele passa. Atualizar sistema, tema e plugins é o que elimina o problema; o firewall é o que segura enquanto a atualização não acontece.
O que é falso positivo em firewall?
É quando o firewall bloqueia alguém legítimo por achar que a requisição é um ataque — um formulário longo, um caractere incomum no nome, um upload maior. É a limitação mais cara e a menos discutida, porque não aparece em relatório: o visitante não avisa que foi barrado, apenas desiste e vai embora.
Firewall protege contra invasão que já aconteceu?
Não, e esse é um ponto cego perigoso. Se um arquivo malicioso foi instalado antes de o firewall entrar em operação, ele já está do lado de dentro e não precisa atravessar o filtro para funcionar. Descobrir isso exige verificação de integridade dos arquivos e varredura, que são serviços diferentes.
Firewall e antivírus são a mesma coisa?
Não. O firewall trabalha na entrada, decidindo o que passa antes de chegar ao site. O antivírus ou o scanner de malware trabalha por dentro, procurando arquivos alterados e códigos estranhos no que já está no servidor. Um vigia a porta, o outro inspeciona os cômodos — e nenhum faz o trabalho do outro.
Firewall de rede e firewall de site são iguais?
Não. O firewall de rede filtra por origem, destino e porta, sem olhar o conteúdo — é o que protege a rede de uma empresa. O firewall de aplicação, o WAF, lê o conteúdo das requisições que chegam ao site e é o que interessa a quem tem um site na internet. Um não substitui o outro.
Se tem tantas limitações, vale a pena?
Vale, e as limitações não são defeitos: nenhuma camada de segurança é completa sozinha. O firewall elimina o grosso das tentativas automatizadas, que é a maior parte do volume, e libera atenção para o que sobra. O erro não é usá-lo — é tratá-lo como se ele encerrasse o assunto da segurança.