Melhore a segurança do seu sítio web WordPress – Suporte | one.com
O WordPress é CMS mais utilizado em todo o mundo e, atualmente, 25% de todos os sítios web são WordPress. Infelizmente, devido à sua popularidade, torna-se muito apetecível para os hackers. É por este motivo que recomendamos alguns procedimentos de segurança extra para o seu sítio web WordPress, para minimizar o risco de ataques.
Remova os plug-ins e temas que não utiliza
Proteja a pasta wp-admin com uma palavra-passe
Crie um nome de utilizador personalidado para a área administrativa
Desative a execução PHP na sua diretoria de carregamentos
Parte das atualizações WordPress são correções de segurança, para situações que possam ser exploradas pelos hackers, por isso é muito importante que realize as atualizações com a maior brevidade possível. Pode atualizar o WordPress a partir da sua área administrativa. Caso não tenha acesso a esta área, poderá realizar as atualizações manualmente.
Atualização manual do WordPress
Para além da sua instalação WordPress, é também importante que verifique se existem atualizações disponíveis para os plugins e temas que tem instalados. Remova quaisquer plugins e temas que não utilize, já que poderá reinstalá-los mais tarde.
Dica: Se não quer as complicações da atualização manual, poderá instalar um plugin, de nome Easy Updates Manager. Este irá gerir todas as atualizações WordPress por si.
Todos os plug-ins e temas que instalou podem representar um risco em termos de segurança, por isso quanto menos tiver melhor.
Recomendamos remover todos os temas que não utiliza, exceto os temas predefinidos no WordPress (2017, 2018, etc.). O mesmo se aplica a plug-ins que já não utiliza.
Certifique-se de que remove quaisquer instalações do WordPress anteriores que possam existir no seu espaço web, de teste ou cópias de segurança. Estas também são vulneráveis a ataques.
Dica: Instale apenas plug-ins e temas de fontes de confiança. Se encontrar uma versão gratuita de um tema que geralmente precisa de pagar, há uma grande probabilidade de este vir com malware "grátis".
Outra forma de bloquear hackers é proteger a sua pasta wp-admin com uma palavra-passe. Assim, irá adicionar uma camada de segurança extra à sua área administrativa do WordPress.
Poderá seguir o nosso tutorial para proteger o seu sítio web com um ficheiro .htaccess. Certifique-se de que protege apenas a pasta wp-admin e não todo o sítio web, caso contrário o seu sítio deixará de estar acessível. Coloque os ficheiros na pasta wp-admin.
Como protejo o meu sítio web com uma palavra-passe?
Nota: Se já existe um ficheiro .htaccess na pasta wp-admin, adicione o código gerado a este ficheiro existente. Não o substitua.
Na maioria das vezes, os hackers tentam obter o acesso à sua área administrativa WordPress com Ataques por Força Bruta; os robôs utilizam milhões de combinações diferentes, entre palavra-passe e nome de utilizador, para tentar o acesso. Para que seja mais difícil obter os seus dados de acesso, recomendamos a criação de um nome de utilizador único.
Poderá alterar o nome de utilizador da área administrativa em phpMyAdmin, na tabela wp_users. Saiba mais com o nosso tutorial sobre como aceder à sua base de dados.
Como acesso a base de dados com phpMyAdmin?
Assim que tenha acesso:
Localize a tabela wp_users (também poderá ter o nome 0_users).
Encontre o nome de utilizador administrativo e clique em Edit.
Em user-login, introduza um novo nome de utilizador no campo Value.
Clique em Go para guardar.
Se realizou uma instalação manual do WordPress, recomendamos que desative a execução do PHP na sua pasta de carregamentos. Se utilizou o instalador 1-clique, pode saltar esta parte. Para as instalações do WordPress 1-clique, a execução está desativada por defeito.
É comum existir uma backdoor PHP na diretoria de carregamentos. A partir daí, o malware é espalhado para outros locais no seu sítio. Não é possível evitar que a backdoor seja carregada, mas ao desativar a execução PHP, pode impedir que se espalhe para outros locais.
Pode desativar a execução do PHP ao adicionar estas linhas de código no seu ficheiro .htaccess localizado na pasta de carregamentos (wp-conteúdo/carregamentos).
Confira no nosso guia como criar um ficheiro .htaccess e desativar a execução do ficheiro para todos os passos necessários.
Desativar o ficheiro de execução na pasta de carregamentos do WordPress
Nota: Se já tiver um ficheiro .htaccess no seu espaço web, não precisa de criar um ficheiro novo. Em vez disso, pode adicionar o código ao ficheiro existente.