• Aula 1: Segurança no WordPress com o Wordfence

    Instale e configure o Wordfence passo a passo para bloquear ataques, proteger o login e manter o site livre de vírus.

    • Passo 1
      +
      • Antes de instalar o plugin de segurança, deixe o site em dia. Um plugin de segurança protege muito melhor um site que já está atualizado e limpo.
      • Faça um backup completo do site. Na Hostinger, o painel já guarda backups automáticos e você pode gerar um novo na hora.
      • Atualize o WordPress, os plugins e o tema para a versão mais recente.
      • Apague plugins e temas que você não usa. Mesmo desativados, eles continuam no servidor e podem ter falhas.
      • Confira se o site abre com o cadeado (https). O certificado SSL já vem gratuito na Hostinger.
      • Troque o usuário admin, se ainda existir, e use uma senha forte, com letras, números e símbolos.

      • Se o site já tem outro plugin de segurança, como o Solid Security ou o All In One WP Security, desative e exclua antes de ativar o Wordfence. Dois plugins de segurança juntos entram em conflito e podem deixar o site fora do ar.

    • Passo 2
      +
      • No painel do WordPress, vá em Plugins > Adicionar novo, procure por Wordfence Security, clique em Instalar agora e depois em Ativar.
      • Ativar a licença gratuita
        +
        • Logo depois de ativar, o Wordfence pede uma licença. Escolha a opção gratuita (Free).
        • Informe o seu e-mail. A chave da licença chega na sua caixa de entrada: copie e cole no WordPress.
        • Use um e-mail que você olha todo dia, porque é nele que chegam os alertas de segurança do site.

      • A versão gratuita atende muito bem a maioria dos sites de clientes. A principal diferença da paga é o tempo de atualização do firewall: na paga, as regras contra ataques novos chegam na hora; na gratuita, chegam 30 dias depois.

    • Passo 3
      +
      • O firewall analisa cada acesso ao site e bloqueia as tentativas de invasão antes que elas cheguem ao WordPress.
      • Otimizar o firewall (Proteção estendida)
        +
        • Depois da ativação, aparece um aviso no topo do painel pedindo para otimizar o firewall. Clique nele. Se o aviso sumiu, vá em Wordfence > Firewall e procure a opção de otimizar.
        • O Wordfence identifica sozinho a configuração do servidor. Mantenha a opção sugerida.
        • Quando ele pedir, baixe o backup dos arquivos de configuração e clique em Continuar.
        • Em alguns minutos, o status do firewall muda de Proteção básica para Proteção estendida.
      • Modo aprendizado
        +
        • Recém instalado, o firewall fica cerca de uma semana em Modo aprendizado. Nesse período ele observa como o site funciona para não bloquear ações normais suas e dos visitantes.
        • Depois desse prazo, ele passa sozinho para Ativado e protegendo. Confira o status em Wordfence > Firewall.

      • Vai instalar plugins novos ou mudar muita coisa no site logo depois de configurar? Faça isso durante a semana do Modo aprendizado. Assim o firewall aprende que essas ações são suas e não bloqueia você depois.

    • Passo 4
      +
      • Robôs tentam entrar no painel testando milhares de combinações de usuário e senha. Essa configuração limita as tentativas e bloqueia quem insiste. Vá em Wordfence > Todas as opções, na seção Proteção contra força bruta.
      • Bloquear após 5 falhas de login.
      • Bloquear após 5 tentativas de recuperar a senha.
      • Contar as falhas dentro de 4 horas e manter o bloqueio por 4 horas ou mais.
      • Ative o bloqueio imediato de quem tenta entrar com nome de usuário que não existe.
      • Ative o bloqueio de senhas que já vazaram na internet.
      • Ative a opção que impede o WordPress de revelar, na mensagem de erro, se o usuário existe.
      • Ative a opção que impede a descoberta dos nomes de usuário do site.

      • Com o bloqueio imediato de usuários inválidos ligado, se você errar o seu próprio usuário também fica bloqueado. Anote o usuário certo e prefira entrar com o e-mail.

    • Passo 5
      +
      • A verificação em duas etapas pede, além da senha, um código que muda a cada 30 segundos no seu celular. Mesmo que alguém descubra a senha, sem o celular não consegue entrar.
      • Vá em Wordfence > Segurança de login.
      • Instale no celular um app autenticador, como o Google Authenticator ou o Microsoft Authenticator.
      • Escaneie o QR Code com o app, digite o código que aparecer e clique em Ativar.
      • Baixe os códigos de recuperação e guarde em um lugar seguro. Eles liberam o acesso se você perder o celular.
      • Configurações extras
        +
        • Na aba Configurações, deixe a verificação em duas etapas obrigatória para administradores.
        • Se quiser, ative o reCAPTCHA v3. Ele barra robôs no login sem pedir nada de quem é humano. Para isso, você cria as chaves gratuitas no site do Google reCAPTCHA e cola no Wordfence.
        • Marque a opção Desativar a autenticação XML-RPC. O XML-RPC é uma porta antiga do WordPress que aceita login por fora da tela normal, e os robôs usam essa porta para testar centenas de senhas de uma vez. Com a opção marcada, ela deixa de aceitar login.
        • Clique em Salvar para aplicar as configurações.

        • Quem usa o aplicativo do WordPress no celular, o Jetpack ou alguma ferramenta que publica posts de fora do painel pode perder a conexão com essa opção marcada. Em site institucional e landing page isso quase nunca acontece. Se algo parar de conectar, desmarque a opção e salve.

      • No site de cliente, ative a verificação em duas etapas na sua conta de administrador e ajude o cliente a ativar na dele. É a configuração que mais evita invasão de painel.

    • Passo 6
      +
      • Todo site WordPress tem o mesmo endereço de login: seudominio.com.br/wp-admin ou /wp-login.php. Os robôs já sabem disso e vão direto nele. Com o plugin WPS Hide Login, você troca esse endereço por um que só você conhece.
      • Em Plugins > Adicionar novo, procure por WPS Hide Login, clique em Instalar agora e depois em Ativar.
      • Vá em Configurações > Geral e role até o final da página.
      • No campo URL de login, escreva o novo endereço. Escolha algo fácil para você lembrar e difícil de adivinhar, como acesso-equipe ou painel-loja. Evite login, admin e entrar.
      • No campo URL de redirecionamento, deixe 404. Quem tentar abrir o /wp-admin sem estar logado cai numa página de erro.
      • Clique em Salvar alterações e guarde o novo endereço nos favoritos do navegador e no seu gerenciador de senhas.
      • Em site de cliente, envie o novo endereço para o cliente e anote no documento de entrega do projeto.

      • O WPS Hide Login funciona junto com o Wordfence sem conflito, porque ele só troca o endereço do login. Se esquecer o endereço novo, desative o plugin pelo Gerenciador de arquivos da Hostinger, como mostra o Passo 11, e o login volta para o /wp-admin.

    • Passo 7
      +
      • Duas opções simples do Wordfence fecham portas que os invasores costumam procurar. Vá em Wordfence > Todas as opções, na seção Opções gerais do Wordfence.
      • Ocultar versão do WordPress
        +
        • Marque essa opção. Por padrão, o WordPress mostra no código do site qual versão ele usa.
        • Com a versão escondida, um robô que procura sites com versões antigas e cheias de falhas não consegue identificar a versão do seu site.
      • Desativar a execução de códigos para o diretório de envios
        +
        • Marque essa opção. O diretório de envios é a pasta uploads, onde ficam as imagens, PDFs e arquivos que você sobe para o site.
        • Um invasor pode tentar enviar para essa pasta um arquivo com código escondido. Com a opção marcada, esse código não roda, mesmo que o arquivo chegue lá.
      • Clique em Salvar alterações no topo da página.

      • Se depois de marcar a segunda opção algum plugin parar de funcionar, desmarque, salve e teste de novo. É raro, mas alguns plugins antigos precisam rodar arquivos dentro dessa pasta.

    • Passo 8
      +
      • O scan procura vírus, arquivos alterados, plugins com falhas conhecidas e senhas fracas dentro do site.
      • Vá em Wordfence > Scan e clique em Iniciar nova verificação.
      • Aguarde terminar. O tempo varia conforme o tamanho do site.
      • Os resultados vêm separados por gravidade: crítico, alto, médio e baixo. Resolva sempre os críticos primeiro.
      • Em cada item, o Wordfence mostra o que fazer: atualizar, reparar o arquivo, excluir ou ignorar quando você sabe que é seguro.

      • Na primeira verificação é comum aparecer aviso de plugin desatualizado ou de arquivo que não faz parte do WordPress. Leia cada item com calma antes de excluir qualquer arquivo e, na dúvida, faça um backup antes.

    • Passo 9
      +
      • Configure os alertas para receber por e-mail só o que é importante, sem lotar a sua caixa de entrada. Vá em Wordfence > Todas as opções, na seção de alertas por e-mail.
      • Confira se o e-mail de destino dos alertas está correto.
      • Mantenha ligados os alertas de problemas críticos no scan, de plugin com atualização disponível e de quando alguém entra como administrador.
      • Desligue o alerta de cada IP bloqueado. Em site com visitas, isso vira dezenas de e-mails por dia.
      • Mantenha ligado o resumo de atividades por e-mail, para acompanhar os bloqueios e ataques do período de uma vez só.
    • Passo 10
      +
      • Quando um mesmo endereço de IP insiste em atacar o site, fazer cadastros falsos ou mandar spam pelo formulário, você pode bloquear esse IP manualmente.
      • Descobrir o IP suspeito
        +
        • Vá em Wordfence > Ferramentas > Tráfego ao vivo. Ali aparecem os acessos ao site em tempo real, com o IP de cada visitante e o que ele tentou fazer.
        • Procure acessos repetidos na página de login ou em endereços estranhos, como arquivos que não existem no seu site.
        • No próprio Tráfego ao vivo, você pode clicar em Bloquear IP ao lado do acesso suspeito.
      • Bloquear manualmente
        +
        • Vá em Wordfence > Firewall e abra a aba Bloqueio.
        • No tipo de bloqueio, escolha Endereço IP.
        • Cole o IP, escreva o motivo, por exemplo "tentativas de login repetidas", e clique em Bloquear.
        • O IP aparece na lista de bloqueios logo abaixo. Para liberar, marque o IP na lista e clique em Desbloquear.

      • Antes de bloquear, pesquise "qual é o meu IP" no Google e confira se o IP suspeito não é o seu nem o do seu cliente. O bloqueio por país também existe no Wordfence, mas só na versão paga.

    • Passo 11
      +
      • Se o Wordfence bloquear o seu acesso ao painel, ou se um plugin deixar o site fora do ar, você pode desativar o plugin pelo painel da Hostinger, sem precisar entrar no WordPress.
      • Entre na sua conta da Hostinger e clique em Websites.
      • No site que você quer ajustar, clique em Gerenciar.
      • No menu lateral, abra Arquivos > Gerenciador de arquivos.
      • Entre na pasta public_html, depois em wp-content e depois em plugins.
      • Clique com o botão direito na pasta wordfence, escolha Renomear e mude o nome para wordfence-desativado.
      • Como o WordPress não encontra mais a pasta, ele desativa o plugin sozinho. Agora você consegue entrar no painel normalmente.
      • Reativar o plugin
        +
        • Volte ao Gerenciador de arquivos e renomeie a pasta de novo para wordfence.
        • No WordPress, vá em Plugins e clique em Ativar no Wordfence. As configurações que você fez continuam salvas.

      • Se o bloqueio foi só no seu IP, a própria tela de bloqueio do Wordfence oferece um link para receber um e-mail de desbloqueio. Tente por ele primeiro. O caminho pela Hostinger vale para qualquer plugin: se esquecer o endereço do WPS Hide Login, renomeie a pasta wps-hide-login e o login volta para o /wp-admin.