Seu site é atacado todo dia — por robôs
A maioria dos donos de site imagina que ataque é coisa de empresa grande. A realidade é o oposto: todo site público na internet recebe tentativas de invasão diariamente, e quase nenhuma é feita por uma pessoa. São robôs varrendo a web em busca de qualquer endereço com uma tela de login para testar senhas, um plugin desatualizado com falha conhecida, um formulário que aceite código no lugar de texto. Eles não escolhem alvos; escolhem vulnerabilidades. O site de uma padaria e o de um banco recebem o mesmo tipo de varredura.
É por isso que a pergunta do título tem resposta curta: você deve ter um firewall porque a alternativa é depender de que nenhum desses robôs encontre nada — e eles procuram o tempo todo.
Firewall de rede x firewall de site (WAF)
A palavra "firewall" causa confusão porque nomeia duas coisas diferentes. O firewall de rede — o do roteador, do Windows, da empresa — controla portas e conexões: decide se um computador pode falar com outro. Ele não enxerga o conteúdo de uma requisição a um site, que chega pela mesma porta 443 usada por todo visitante legítimo.
O que protege um site é o WAF (Web Application Firewall, firewall de aplicação web): um filtro em software que lê cada requisição HTTP feita ao site e a compara com padrões de ataque conhecidos. Uma versão antiga deste post descrevia o firewall como "equipamento" — para um site, isso está errado: o WAF vive na hospedagem, numa CDN ou num plugin, não numa caixa.
O que o WAF bloqueia
| Ataque | O que é | Como o WAF age |
|---|---|---|
| Força bruta | Robô testa milhares de senhas no login | Limita tentativas e bloqueia o IP |
| Injeção de SQL | Código malicioso enviado por formulário ou URL para ler/alterar o banco de dados | Reconhece o padrão e descarta a requisição |
| XSS (script malicioso) | Script injetado para roubar sessões ou redirecionar visitantes | Filtra o conteúdo antes de chegar ao site |
| Bots abusivos / DDoS | Tráfego automatizado que derruba o servidor ou raspa conteúdo | Identifica o comportamento e desafia ou bloqueia |
| Exploração de falhas conhecidas | Ataque a vulnerabilidade publicada de plugin ou CMS | Regra virtual bloqueia antes da correção oficial |
As categorias de risco mais comuns em aplicações web são catalogadas pelo OWASP Top 10, referência aberta que os fabricantes de WAF usam como base das regras.
WAF x SSL x antivírus x backup
| Camada | O que resolve | O que não resolve |
|---|---|---|
| WAF | Requisições maliciosas chegando ao site | Senha fraca, software desatualizado |
| SSL / HTTPS | Dados lidos no caminho entre visitante e site | Ataque entregue criptografado com o mesmo capricho |
| Antivírus no PC | Malware na máquina de quem administra | Nada no servidor onde o site vive |
| Backup | Recuperar depois de um incidente | Impedir o incidente |
O erro comum é achar que o cadeado do HTTPS "protege o site". O SSL protege a comunicação — os tipos de certificado SSL estão detalhados em outro post. Um site com HTTPS perfeito continua invadível por injeção de SQL; o WAF é a camada que falta.
Como ter um firewall no seu site
- Pela hospedagem — planos profissionais costumam incluir WAF e scanner de malware; verifique se está ativo, não só disponível;
- Por uma CDN com proxy (como o Cloudflare) — o tráfego passa pela rede da CDN antes de chegar ao servidor, e o WAF bloqueia o ataque lá, sem consumir recursos do seu site. É o caminho mais eficiente — e costuma deixar o site mais rápido, porque também entrega páginas em cache;
- Por plugin (em WordPress) — firewalls em plugin funcionam, mas rodam dentro do site, depois que a requisição já chegou; servem como camada complementar, não como única.
Como a CDN também acelera a entrega, vale ler junto o post sobre como acelerar o carregamento do site: segurança e velocidade, nesse caso, vêm da mesma configuração.
O que o firewall não resolve
O WAF é uma camada, não uma muralha. Ele não impede o administrador de usar a senha "123456", não atualiza o plugin com falha publicada há seis meses, não protege contra um computador infectado que faz login legítimo e não devolve o site depois de um desastre. Cada um desses buracos tem sua própria solução — senha forte com autenticação em dois fatores, rotina de atualização, máquina limpa, backup testado. O conceito de site blindado é exatamente a soma dessas camadas.
"Firewall não é o que torna o site seguro. É o que impede que o site inseguro seja encontrado primeiro pelo robô e só depois por você."
Sinais de que seu site precisa de um agora
- Notificações de tentativas de login de países onde você não tem clientes;
- Lentidão sem motivo — o servidor pode estar ocupado atendendo robôs;
- Formulários recebendo spam em volume;
- Aviso do Google de que o site foi marcado como não seguro ou invadido;
- Você usa WordPress com plugins e nunca configurou nada de segurança.
As 5 camadas de um site protegido
- WAF na borda — bloqueia o ataque antes do servidor;
- HTTPS — criptografa a comunicação;
- Atualizações em dia — CMS, plugins, temas;
- Acesso forte — senhas únicas, dois fatores, mínimo de administradores;
- Backup automático e testado — porque nenhuma camada é perfeita.
Malware, ransomware e os tipos de ameaça que essas camadas combatem estão descritos no post sobre o que são vírus de computador.
Perguntas frequentes
Por que devo ter um firewall no meu site?
Porque todo site público recebe, todos os dias, tentativas automatizadas de invasão — robôs testando senhas, procurando falhas em plugins, injetando código. O firewall de aplicação (WAF) filtra esse tráfego antes que chegue ao site, bloqueando os ataques mais comuns sem que você precise fazer nada.
O que é WAF?
WAF é a sigla de Web Application Firewall — firewall de aplicação web. É um filtro, em software, que analisa cada requisição feita ao seu site e bloqueia as que têm padrão de ataque: injeção de SQL, scripts maliciosos, força bruta no login, robôs abusivos. É o tipo de firewall que protege sites, diferente do firewall de rede que protege computadores.
Qual a diferença entre firewall de rede e firewall de site?
O firewall de rede controla portas e conexões de um computador ou rede — é o do roteador ou do sistema operacional. O firewall de site (WAF) entende o conteúdo das requisições HTTP e reconhece ataques dentro delas. Um site precisa do segundo; o primeiro não enxerga o que acontece na camada da aplicação.
SSL substitui o firewall?
Não — resolvem problemas diferentes. O SSL (o cadeado, HTTPS) criptografa o que trafega entre o visitante e o site, impedindo que seja lido no caminho. O WAF bloqueia requisições maliciosas. Um site pode ter HTTPS perfeito e ser invadido por um ataque que o SSL entrega criptografado, com o mesmo capricho.
Antivírus no computador protege o site?
Não. O antivírus protege a máquina em que está instalado; o site vive no servidor de hospedagem, acessado por milhares de máquinas. A proteção do site precisa estar no servidor ou na frente dele — é o papel do WAF e dos scanners de malware da hospedagem.
Como ativar um firewall no meu site?
Três caminhos comuns: pela hospedagem, que costuma incluir WAF nos planos profissionais; por uma CDN com proxy, como o Cloudflare, que filtra o tráfego antes de chegar ao servidor; ou, em WordPress, por um plugin de segurança com firewall. A CDN é o mais eficiente porque bloqueia o ataque antes de consumir recursos do site.
Firewall deixa o site lento?
Um WAF em CDN costuma deixar o site mais rápido, não mais lento: ele bloqueia robôs que consumiam o servidor e ainda entrega páginas em cache. Plugins de firewall em WordPress podem pesar um pouco, porque rodam dentro do site — por isso a proteção na borda (CDN) é preferível.
O que o firewall não resolve?
Senha fraca ou vazada, plugin e sistema desatualizados com falha conhecida, acesso de um computador infectado e ausência de backup. O firewall é uma camada; sem as outras — atualização, senhas fortes, autenticação em dois fatores, backup — o site continua vulnerável.