Segurança de um site WordPress é redução de risco, não uma promessa de site invulnerável. O guia de hardening do WordPress, atualizado em 7 de janeiro de 2026, começa pela divisão entre o que a hospedagem cuida e o que fica na aplicação que você instalou. Plugin de segurança não substitui essa divisão.

Este texto é uma revisão para quem administra o site no painel. Ele não é um procedimento de invasão nem um passo a passo para limpar um site já comprometido. Se o site apresenta sinal de invasão, use o FAQ oficial “My site was hacked”, atualizado em 26 de julho de 2026, e envolva quem tem acesso à hospedagem.

O que fica com a hospedagem e o que fica com o site

O guia oficial separa duas responsabilidades. O provedor costuma cuidar do servidor, das versões estáveis do software de base e de um meio confiável de backup e recuperação. O dono do site responde pela aplicação: WordPress, plugins, temas, usuários e o que foi instalado por cima dessa base.

Em hospedagem compartilhada, o mesmo guia alerta que um site vizinho comprometido pode afetar o seu, mesmo quando você segue as práticas da aplicação. Pergunte ao provedor quais precauções ele toma. A escolha de plano entra nesse ponto: o guia de como escolher a hospedagem trata backup, suporte e acesso como itens de contrato, não como frase de página de vendas.

O computador de quem entra no painel também faz parte do risco. O hardening diz que senha forte no WordPress não compensa um equipamento com malware capaz de capturar o que é digitado.

O que revisar no painel

Estas são as conferências que o próprio guia trata como base:

  1. Versão do WordPress. Versões antigas não recebem correção de segurança. Desde a 3.7 existem atualizações automáticas; o painel também avisa quando há versão nova. Baixe o WordPress só em wordpress.org. O guia diz para não instalar a partir de outro site.
  2. Plugins e temas. Mantenha os que estão em uso atualizados. Apague os que não são usados, em vez de só desativar. Prefira o diretório do WordPress.org ou empresas conhecidas. Pacote “gratuito” de origem incerta é um vetor comum.
  3. Senha e segunda etapa. A senha do administrador precisa ser difícil de adivinhar. O medidor do próprio WordPress aparece na troca de senha. O guia recomenda autenticação em duas etapas como medida adicional. Isso vale para o painel, para o FTP ou SFTP e para a conta da hospedagem, não só para um usuário.
  4. Conta de administrador óbvia. O hardening trata “esconder o site” como estratégia primária fraca. O ponto que ele cita nesse tema é não usar nomes fáceis como admin ou webmaster na conta administrativa. Trocar o endereço de login não aparece nessa lista e não substitui senha, atualização e cópia.

Não empilhe três plugins de firewall porque um artigo listou marcas. O guia descreve camadas diferentes: plugin que filtra dentro do WordPress, firewall no servidor e serviço que fica na frente do tráfego, como proxy reverso. São alternativas de arquitetura, não uma cesta obrigatória. WPScan, citado em muitos textos como se fosse um plugin instalado em “Adicionar novo”, é um projeto de varredura de vulnerabilidades. Não o trate como um botão do painel.

Cópia antes de ferramenta

Backup é preparação, não um plugin a mais. O hardening pede cópias regulares dos arquivos e do banco, guardadas fora do próprio site. O exemplo do guia é direto: se o problema começa no dia 1º e só é percebido no dia 12, só as cópias anteriores à invasão ajudam a reconstruir.

Confirme quatro coisas com quem opera a hospedagem ou o plugin de cópia:

  • o que entra na cópia (arquivos e banco);
  • onde ela fica;
  • por quanto tempo é guardada;
  • se alguém já testou uma restauração.

Uma cópia que ninguém sabe restaurar não conta como plano.

Se o site já parece comprometido

O FAQ oficial pede calma, registro do que você está vendo e há quanto tempo, conversa com a hospedagem e revisão dos acessos. Lista sinais como site na lista de bloqueio do Google ou do Bing, aviso de malware, usuários novos que ninguém criou e conteúdo que não foi publicado por você. A limpeza depende do sintoma. Este artigo não reproduz esse procedimento: seguir uma lista genérica de arquivos para apagar pode derrubar o site ou deixar o acesso do atacante intacto.

Enquanto a situação não estiver clara, evite publicar “correção” por cima de um painel que você não controla mais. Trocar a senha uma vez, antes de entender o acesso, não encerra o caso. O FAQ diz para trocar de novo depois que o site estiver limpo, em todos os pontos de entrada.

O que fazer com essa revisão

Se a lista acima cabe na rotina de alguém da empresa, o próximo passo é calendário: atualização, cópia e quem pode criar usuário administrador. Se ninguém acompanha isso e o site já está no ar, o encaixe é manutenção de sites, com escopo combinado. Manutenção não é o mesmo que criar um site novo nem o mesmo que trocar a hospedagem.

Há outro texto no site sobre cinco passos com o plugin Solid Security. Ele trata de uma ferramenta específica. Este guia fica na divisão de responsabilidades e no que a documentação do WordPress coloca antes da escolha de plugin.