O WordPress move mais de 43% de todos os sites da internet. Esse tamanho atrai atacantes. Bots varrem a web o tempo todo procurando instalações desatualizadas, senhas fracas e plugins com falhas conhecidas. A maioria dos ataques não mira você especificamente. Mira qualquer site que deixe uma porta aberta.
Abaixo estão os ataques que mais aparecem em sites WordPress e o que fazer contra cada um.
Força bruta no login
Bots testam milhares de combinações de usuário e senha na tela de login até acertar uma. Funciona porque muita gente ainda usa “admin” como usuário e senhas curtas.
O que fazer:
- Troque o nome de usuário padrão “admin” por outro.
- Use senhas com pelo menos 12 caracteres, geradas por um gerenciador de senhas.
- Ative autenticação em dois fatores com um plugin como o Wordfence ou o Google Authenticator.
- Limite o número de tentativas de login com um plugin como o Limit Login Attempts Reloaded. Depois de 3 a 5 erros, o plugin bloqueia o IP por um tempo.
- Mude o endereço padrão de login (wp-login.php) para outro, dificultando que bots encontrem a tela de entrada.
Plugins e temas desatualizados
A maior parte das invasões em WordPress não explora o núcleo do sistema. Explora plugins e temas parados há meses sem atualização. Cada versão nova corrige falhas que já foram descobertas e publicadas, o que significa que atacantes sabem exatamente onde bater em versões antigas.
O que fazer:
- Atualize plugins, temas e o núcleo do WordPress assim que uma nova versão sair.
- Remova plugins e temas que você não usa. Eles continuam sendo porta de entrada mesmo desativados.
- Instale só plugins de fontes confiáveis, com histórico de atualização recente e boas avaliações.
- Ative atualizações automáticas para correções de segurança menores.
Injeção de SQL
Se um formulário do site aceita entrada de texto sem tratamento adequado, um atacante pode inserir comandos SQL na caixa de busca ou em campos de contato. Esses comandos conseguem ler, alterar ou apagar dados do banco.
O que fazer:
- Use plugins e temas que sigam as boas práticas de sanitização de dados do WordPress.
- Instale um firewall de aplicação web (WAF), como o oferecido pelo Wordfence ou pelo Sucuri. Ele filtra requisições suspeitas antes de chegarem ao banco.
- Faça backup regular do banco de dados para reverter qualquer alteração indevida.
Cross-site scripting (XSS)
Nesse ataque, o invasor injeta código JavaScript malicioso em campos de comentário, formulários ou até na URL. Quando outro visitante carrega a página, o código roda no navegador dele, podendo roubar cookies de sessão ou redirecionar para outro site.
O que fazer:
- Mantenha plugins de comentário e formulário atualizados.
- Use um plugin de segurança que filtre entradas suspeitas, como tags
<script>em campos de texto. - Adicione cabeçalhos de segurança como Content Security Policy (CSP) ao seu site. Muitos hosts e plugins de segurança fazem isso automaticamente.
Upload de malware via falhas em plugins
Alguns plugins têm falhas que permitem o upload de arquivos sem verificação de tipo. Um atacante sobe um arquivo PHP disfarçado de imagem e ganha acesso ao servidor.
O que fazer:
- Restrinja os tipos de arquivo aceitos em formulários de upload.
- Rode uma varredura de malware periódica com um plugin como o Wordfence ou o MalCare.
- Desative a execução de PHP dentro da pasta de uploads. Muitos hosts já fazem isso por padrão, mas vale confirmar.
Ataques de força bruta distribuída e DDoS
Em vez de mirar o login, esse ataque envia um volume alto de requisições ao servidor até derrubar o site. Não rouba dados, mas tira o site do ar.
O que fazer:
- Use um serviço de proteção contra DDoS na camada de rede, geralmente incluído em planos de hospedagem com CDN integrado.
- Configure cache de página para reduzir a carga no servidor a cada requisição.
- Monitore os logs de acesso para identificar picos anormais de tráfego vindos de poucos IPs.
Phishing e engenharia social
Nem todo ataque é técnico. Muitos administradores de site recebem e-mails falsos pedindo para clicar em um link e “verificar a conta” do WordPress. O link leva a uma página falsa que rouba usuário e senha.
O que fazer:
- Desconfie de e-mails pedindo login urgente, mesmo que pareçam vir do WordPress.org ou do seu host.
- Confira sempre a URL antes de digitar credenciais.
- Treine quem tem acesso ao painel administrativo para reconhecer esses e-mails.
Checklist rápido
- Senha forte e autenticação em dois fatores.
- Plugins, temas e núcleo atualizados.
- Plugin de segurança ativo (firewall, varredura de malware, limite de tentativas de login).
- Backup automático e testado.
- Certificado SSL ativo em todo o site.
- Monitoramento de logs de acesso.
Nenhum desses passos exige conhecimento avançado de programação. A maioria se resolve com dois ou três plugins bem configurados e o hábito de manter tudo atualizado. O que realmente separa um site protegido de um site invadido é a frequência com que essas checagens são feitas, não a complexidade da solução.