Como proteger seu site WordPress contra hackers em 2026 (Guia de 17 passos)

A cada 6 segundos, um site WordPress é comprometido.

Isso não é uma metáfora. De acordo com a Sophos, cerca de 13.000 sites WordPress são invadidos todos os dias.

Em 2025, o tempo médio entre a divulgação pública de uma vulnerabilidade e a exploração ativa por bots foi de apenas 5 horas. Quando você lê a notificação de atualização em sua caixa de entrada, há uma chance razoável de que os bots já a estejam testando em todos os sites WordPress que conseguem encontrar.

Eu já vi o que acontece quando os proprietários de sites estão despreparados. Clientes perderam anos de conteúdo, páginas de produtos tiveram que ser reconstruídas do zero e os rankings do Google levaram meses para se recuperar após uma lista negra de malware.

Todos eles pularam a mesma etapa: não tinham um backup funcional com um plano de recuperação real.

É aí que este guia começa. Não com firewalls, não com senhas, mas com backups. Porque a realidade honesta é que você não pode tornar seu site inexpugnável. O objetivo é garantir que um ataque não acabe com seu site.

Ao final deste guia, você terá um ponto de recuperação de desastres, além de camadas de proteção que tornam seu site difícil de comprometer.

Aqui estão os principais pontos:

• Comece com backups. Todas as outras etapas pressupõem que você tenha um ponto de restauração.
• Atualize tudo. Vulnerabilidades de plugins são exploradas horas após a divulgação.
• Abandone o nome de usuário "admin". É o primeiro palpite em todos os ataques de força bruta.
• Adicione 2FA. Um segundo fator impede que senhas roubadas se tornem invasões.
• Instale um firewall. Ele filtra o tráfego malicioso antes que ele toque seu site.
• Monitore a atividade do site. O WordPress não registra nada por padrão.

Resumo Rápido: Como Proteger Seu Site Contra Hackers

A melhor maneira de proteger seu site contra hackers é configurar backups automáticos. Com um plugin de backup como Duplicator, seus dados serão salvos consistentemente na nuvem. Certifique-se de definir um ponto de recuperação de desastres para que você possa recuperar todo o seu site, mesmo que ele seja corrompido.

Você também precisará realizar tarefas de manutenção regulares para aumentar sua segurança. Atualizações, varreduras de malware e limpezas de banco de dados podem frequentemente manter hackers fora do seu site.

Sumário

Qualquer site pode ser vulnerável a um ataque cibernético. O WordPress é o Sistema de Gerenciamento de Conteúdo (CMS) mais popular, tornando-o um alvo frequente para atividades maliciosas.

Para mais explicações, leia nosso post respondendo à pergunta: O WordPress é seguro?

Aqui estão os motivos mais comuns para hackers acessarem seu site:

• Senhas fracas
• Permissões de arquivo incorretas
• Hospedagem web insegura
• Versões desatualizadas do WordPress, plugins ou temas

Se você não corrigir essas vulnerabilidades de segurança, poderá ser vítima de ataques de força bruta, injeções de SQL, engenharia social, cross-site scripting (XSS), ransomware e outras tentativas de hacking.

Sem as precauções corretas, você pode ter problemas de segurança como malware, código malicioso e violações de dados que vazam informações confidenciais. 

Usando boas práticas de segurança, você pode minimizar a possibilidade de uma violação e aprimorar a segurança geral do seu site. Você tornará seu site um alvo incrivelmente desafiador para hackers. 

Como proteger seu site contra hackers

Como proprietário de um site, você vai querer proteger seu site contra hackers. No entanto, você pode não saber como fazer isso. Para evitar que seus dados confidenciais sejam vazados, reunimos algumas dicas úteis de segurança!

Aqui está um breve resumo do que estas dicas de segurança cobrirão:

• Estratégias de backup e restauração para se recuperar de qualquer ataque
• Técnicas de hardening de segurança para bloquear vulnerabilidades comuns
• Melhores práticas de senha e autenticação
• Recomendações de segurança de hospedagem e plugins
• Métodos de proteção avançada como firewalls e criptografia SSL
• Tarefas de monitoramento e manutenção para se manter à frente das ameaças

1. Faça Backup do Seu Site WordPress

Uma das melhores maneiras de proteger seu site contra hackers é fazer backup regularmente. Isso envolve salvar uma cópia funcional dos seus arquivos e banco de dados do WordPress. 

Se você fizer backup do seu site com frequência, poderá restaurar seus dados após um ciberataque. Você não terá que se preocupar em remover malware, pois seu site voltará a como era antes do hack.

Para começar, recomendo instalar um plugin de backup do WordPress. Uma ferramenta como o Duplicator permite que você crie facilmente backups de todo o seu site e os restaure sempre que precisar.

Veja como uma agência de design web restaura os sites de seus clientes em menos de 3 minutos com o Duplicator!

Tudo o que você precisará fazer é criar um novo backup. Dê um nome exclusivo a ele e certifique-se de que todos os seus arquivos e tabelas de banco de dados estejam incluídos.

Em seguida, você pode baixar o backup. Salve-o em um local seguro para ter sempre seus arquivos de backup à mão.

Se você não quiser se preocupar com backups manuais, pode configurar backups automáticos. Ao criar uma nova programação, você garantirá que seu site seja copiado a cada hora, dia, semana ou mês.

Armazenar seu backup no mesmo servidor do seu site anula o propósito. Se o servidor for comprometido, o backup vai junto.

No Duplicator Pro, conecte um provedor de armazenamento em nuvem. Ele suporta todas estas opções:

• Duplicator Cloud
• Google Drive
• Dropbox
• Amazon S3
• Wasabi
• Google Cloud
• DreamObjects
• Vultr
• DigitalOcean Spaces
• Cloudflare R2
• Backblaze B2

Eu recomendo usar Duplicator Cloud, já que ele foi realmente construído para armazenamento de backup WordPress. Em vez de simplesmente armazenar seus dados, ele permite restaurar backups sempre que você precisar. O painel off-site estará disponível mesmo que seu site não esteja.

Siga os prompts de autorização para conectar sua conta. Uma vez conectado, volte às suas configurações de backup e defina esse local na nuvem como o destino do backup.

O Duplicator pode enviar seus dados para fora do local em uma programação, para que você nunca perca dados para hackers.

2. Configure um Plano de Recuperação de Desastres

Apenas para o caso de você ser hackeado, você vai querer ter um plano de recuperação de desastres em vigor. Antes que um incidente aconteça, você pode definir um backup recente como o ponto de recuperação de desastres.

No log de backup do seu Duplicator, clique no ícone azul de recuperação de desastres.

Em seguida, configure a recuperação de desastres.

Depois de fazer isso, você pode recuperar um backup de duas maneiras diferentes. Uma opção é copiar e salvar o link de recuperação de desastres. Colar isso em uma janela do navegador iniciará imediatamente o assistente de recuperação.

Você também pode baixar o iniciador de recuperação. Salve este arquivo HTML e abra-o sempre que precisar recuperar seu site.

A recuperação de desastres pode ser uma boa opção para resolver hacks, especialmente se você estiver bloqueado do seu painel do WordPress. Simplesmente cole o link de recuperação ou use o iniciador de recuperação para recuperar o acesso imediatamente.

Se você ainda consegue fazer login no WordPress, pode restaurar seu site original com um clique. Vá para a página Backups, encontre um backup limpo e clique em Restore.

Ao restaurar um backup, você removerá automaticamente qualquer atividade maliciosa que ocorreu após a criação do backup. No entanto, continue lendo este guia para aumentar sua segurança e evitar futuras tentativas de hacking.

Seu site foi hackeado, mas você esqueceu de configurar a recuperação de desastres! Você não tem um backup, então o que fazer? Veja como restaurar seu site sem um backup.

3. Não Se Esqueça das Atualizações

Atualizar o software do seu site (incluindo temas, plugins e o core do WordPress) é uma parte importante da segurança do site. Hackers frequentemente exploram vulnerabilidades conhecidas em softwares desatualizados. 

Ao manter tudo atualizado, você elimina possíveis pontos de entrada para ataques cibernéticos. As atualizações de software geralmente vêm com patches de segurança, que adicionarão proteção extra ao seu site.

Você pode gerenciar as atualizações de software na página Updates do seu painel do WordPress. Você verá quaisquer novas versões do núcleo do WordPress, plugins e temas.

Está preocupado que uma atualização possa travar seu site? Vá em frente e faça, porque você pode facilmente fazer downgrade da sua versão do WordPress após uma atualização ruim.

4. Exclua Software Inativo ou Não Utilizado

Além de manter seu software atualizado, é importante excluir quaisquer plugins e temas que você não esteja usando ativamente. 

Vulnerabilidades em plugins desatualizados podem ser exploradas para comprometer a segurança do seu site. Isso pode potencialmente levar a violações de dados, acesso não autorizado e até distribuição de malware.

Ao remover plugins não utilizados, você minimiza riscos de segurança potenciais e cria uma defesa melhor contra ameaças de cibersegurança.

Vá para Plugins, depois filtre por Inativos. Para qualquer coisa que você não esteja usando ativamente, clique em Excluir, não apenas em Desativar.

Desativar deixa os arquivos no seu servidor. Excluir os remove.

Faça o mesmo para temas. Vá em Aparência e depois em Temas. Clique em um tema inativo e, em seguida, em Remover no canto inferior direito.

O WordPress exige um tema ativo e recomenda manter um tema padrão como fallback. Todo o resto pode ser removido.

Esta etapa leva 5 minutos e reduz sua superfície de ataque imediatamente.

5. Use senhas fortes

Sua primeira linha de defesa contra hackers é uma senha forte. Você pode ser tentado a escolher uma senha simples e curta porque ela é memorável, mas isso pode deixar seu site vulnerável.

O WordPress facilita o uso de uma senha de administrador forte. Ao alterar sua senha, o WordPress gerará automaticamente uma com uma combinação exclusiva de letras, números e caracteres especiais.

Eu gosto de usar um gerenciador de senhas para armazenar senhas com segurança. Para garantir que mais ninguém conheça suas credenciais de administrador, você também deve dar aos membros da sua equipe suas próprias funções e permissões de usuário. 

Lembre-se de que você também precisará de senhas fortes para seu painel de controle de hospedagem, conta FTP e endereço de e-mail. Dessa forma, os hackers não poderão acessar e explorar nenhuma de suas contas. 

6. Altere o Nome de Usuário do Administrador

Se o seu site existe há algum tempo, você ainda pode estar acessando com "admin" como seu nome de usuário. Isso pode facilitar para os hackers explorarem seu site, já que "admin" será uma de suas primeiras suposições.

Você também pode ter um nome de usuário "admin" se usou o recurso de instalação com um clique do seu provedor de hospedagem. Nesse caso, você vai querer alterar seu nome de usuário do WordPress para proteger seu site. 

O WordPress não permite renomear um usuário existente, então você criará uma nova conta de administrador. Vá em Usuários e depois em Adicionar Novo Usuário.

Digite um novo nome de usuário e defina a função como Administrador. Use uma senha forte e exclusiva: pelo menos 20 caracteres com uma mistura de maiúsculas, minúsculas, números e símbolos.

Salve a nova conta, saia e faça login novamente como seu novo usuário administrador. Volte para Usuários, encontre a antiga conta "admin" e exclua-a.

O WordPress perguntará o que fazer com o conteúdo atribuído a esse usuário. Selecione seu novo nome de usuário e confirme.

7. Selecione um Provedor de Hospedagem WordPress Seguro

Seu provedor de hospedagem web pode fazer ou quebrar seu site. Com a escolha errada, você pode não ter precauções de segurança suficientes para proteger seu site contra hackers.

Aqui estão alguns recursos essenciais de segurança que devem ser fornecidos pelo seu plano de hospedagem WordPress:

• Monitoramento contínuo da rede para atividades suspeitas
• Ferramentas para prevenir ataques DDOS
• Software de servidor web, versão PHP e hardware atualizados
• Plano de recuperação de desastres

Se você acabou de iniciar um pequeno blog, pode ter escolhido um plano de hospedagem compartilhada por causa de sua acessibilidade. No entanto, você compartilhará recursos com muitos outros sites. Isso significa que, se outro site em seu servidor for invadido, seus dados podem estar em risco.

Para aumentar sua segurança, recomendamos mudar para um novo provedor de hospedagem web. Opções como Bluehost, SiteGround e Hostinger têm recursos de segurança de alta qualidade para prevenir invasões e outros ataques cibernéticos.

Você também pode considerar um provedor de hospedagem gerenciada como WP Engine. Isso geralmente fornece uma plataforma mais segura com firewalls, certificados SSL, backups automáticos e atualizações automáticas. 

Pronto para mudar para um provedor de hospedagem mais seguro? Leia nosso tutorial sobre como mover um site WordPress para um novo host!

8. Instale um Plugin de Segurança

Junto com um bom provedor de hospedagem web, você precisará instalar um plugin de segurança WordPress. Essas ferramentas de segurança de sites podem detectar e impedir atividades maliciosas, fornecer proteção de firewall e até mesmo realizar varreduras de malware.

Um dos melhores plugins de segurança disponíveis hoje é o Sucuri Security. Existe uma versão gratuita que oferece varredura de malware, monitoramento de lista de bloqueio, fortalecimento de segurança e ações para depois que seu site for invadido.

Após instalar o Sucuri, tudo o que você precisará fazer é abrir as configurações e encontrar a opção Hardening. Aqui, você pode percorrer a lista de recursos de segurança e clicar em Apply Hardening ao lado de cada um.

Isso protegerá seu site contra técnicas comuns de hacking. No entanto, lembre-se de que você precisará atualizar para a versão premium para acessar o Web Application Firewall (WAF).  

9. Tenha um Firewall de Aplicação Web

Um Firewall de Aplicação Web (WAF) é uma poderosa ferramenta de segurança projetada para proteger sites contra uma ampla gama de ameaças e ataques cibernéticos. Um firewall filtra o tráfego de entrada e saída, bloqueando requisições maliciosas, tentativas de acesso não autorizado e atividades suspeitas. 

Como mencionamos anteriormente, o Sucuri é um plugin de segurança abrangente que vem com um firewall. Esse recurso de segurança é tão útil que ajudou o WPBeginner a bloquear 450.000 ataques em apenas 3 meses.

Aumente a segurança do seu WordPress com o firewall da Sucuri hoje mesmo!

10. Use Criptografia SSL

SSL (Secure Sockets Layer) é um tipo de criptografia que protege a transferência de dados entre seu site e um navegador web. Ele garante que os dados trocados entre esses dois pontos permaneçam confidenciais e protegidos de partes não autorizadas, como hackers. 

Para um site WordPress, a criptografia SSL não é apenas um luxo; é uma necessidade.

Essa precaução de segurança torna quase impossível para hackers interceptarem informações sensíveis como senhas, detalhes de cartão de crédito e dados pessoais. É importante para sites que lidam com registros de usuários, credenciais de login ou transações de e-commerce.

Depois de ativar a criptografia SSL, seu site usará HTTPS em vez de HTTP. Você também verá um cadeado ao lado do seu endereço web, informando aos visitantes que seu site é seguro.

Os preços dos certificados SSL costumavam variar de 80 a centenas de dólares por ano. No entanto, uma organização sem fins lucrativos chamada Let’s Encrypt começou a oferecer opções gratuitas. Isso levou as empresas de hospedagem web a incluírem certificados SSL em seus planos.

Se você precisar começar a usar SSL, verifique se sua hospedagem oferece um gratuitamente. Caso contrário, você pode comprar um em Domain.com.

11. Verifique se há malware

Depois de instalar um plugin de segurança, ele verificará regularmente seu site em busca de malware e enviará uma notificação se encontrar algo. No entanto, você pode notar uma queda no tráfego orgânico ou no ranking de SEO e querer verificar o malware por conta própria.

Seu plugin de segurança geralmente permitirá que você inicie uma nova varredura de malware. Alternativamente, você pode usar um scanner de malware online. 

Usando uma ferramenta como o scanner de malware da Sucuri, você pode inserir a URL do seu site. Em seguida, ele informará se detectou malware ou se você foi listado em uma lista negra por mecanismos de busca.

Isso permite que você verifique a segurança do seu WordPress gratuitamente a qualquer momento. Se a Sucuri detectar algum malware, você pode começar a limpar seu site ou restaurar um backup sem erros. 

12. Limite as Tentativas de Login

Outra coisa que você pode fazer para proteger seu site contra hackers é limitar as tentativas de login. Essa medida de segurança evitará ataques de força bruta, uma forma de hacking onde um bot tenta adivinhar senhas até que seu site seja invadido.

Por padrão, o WordPress permite tentativas de login ilimitadas. No entanto, você pode facilmente definir um limite com o plugin Limit Login Attempts Reloaded. Essa ferramenta gratuita bloqueará quaisquer endereços IP que tentem fazer login no seu site muitas vezes.

Para mais detalhes sobre este processo, confira este guia útil sobre como limitar as tentativas de login no WordPress. 

13. Adicione Autenticação de Dois Fatores

A autenticação de dois fatores (2FA) adiciona uma camada extra de segurança aos logins do WordPress. Os usuários devem fornecer uma segunda informação, como um código enviado para o telefone, além da senha.

A maneira mais fácil de configurar a 2FA é instalar um plugin como o WP 2FA. Você pode usá-lo para habilitar a autenticação de dois fatores para todos os usuários que tentam acessar seu site WordPress.

Para ver instruções passo a passo, confira este tutorial sobre como adicionar autenticação de dois fatores ao seu site WordPress!

14. Oculte Sua Página de Login

A maioria dos sites WordPress usa um URL de login que termina com wp-admin ou wp-login. Como o WordPress é o CMS mais popular, os hackers saberão como visualizar sua página de login e começar a tentar invadir seu site.

Para adicionar uma camada extra de segurança, você pode ocultar sua página de login do WordPress. Isso envolve o uso de um URL de login personalizado em vez das opções padrão.

Com o plugin WPS Hide Login, você poderá atualizar facilmente seu URL de login. Ele torna sua página wp-login.php inacessível e redireciona para o seu URL de login personalizado em vez disso.

Precisa de ajuda para ocultar sua página de login? Veja como adicionar um URL de login personalizado no WordPress.

15. Desative a edição de arquivos

No painel do WordPress, você verá editores de código integrados para editar os arquivos do seu tema e plugin. Se um hacker acessar sua área administrativa, ele poderá usar esses editores para prejudicar seu site.

Para evitar que isso aconteça, considere desativar este recurso. Tudo o que você precisará fazer é adicionar este código ao seu arquivo wp-config.php:

// Disallow file edit
define( 'DISALLOW_FILE_EDIT', true );

Se você instalou o Sucuri, também pode desativar a edição de arquivos nas configurações de segurança. Isso impedirá que usuários não autorizados editem os arquivos do seu site!

16. Desative a execução de arquivos PHP

Uma maneira pela qual os hackers podem explorar seu site é adicionando um arquivo a um diretório e executando seu PHP. Como o WordPress torna alguns diretórios graváveis, esse recurso pode ser abusado por usuários maliciosos.

Felizmente, você pode desabilitar a execução de arquivos PHP para quaisquer diretórios que não precise dela. Isso impede que arquivos PHP sejam executados nesses diretórios específicos.

Para fazer isso, abra um editor de texto e adicione este código:

<Files *.php>
deny from all
</Files>

Salve este arquivo como .htaccess e envie-o para sua pasta uploads. 

Para um guia completo passo a passo sobre este processo, você pode gostar deste post sobre como desabilitar a execução de PHP em certos diretórios do WordPress. 

Lembre-se de que o Sucuri pode ajudá-lo a desabilitar os editores de arquivos do WordPress com um clique. Esta pode ser uma boa alternativa para iniciantes. 

17. Monitore Todas as Ações em Seu Site com um Registro de Auditoria

O WordPress não registra a atividade do usuário. Nunca registrou.

Por padrão, se alguém fizer login em seu site, instalar um plugin, alterar uma configuração ou criar uma nova conta de administrador, não haverá registro disso em lugar nenhum. Você só descobre que algo aconteceu quando percebe o dano.

Isso torna os incidentes de segurança muito mais difíceis de investigar. Além disso, em qualquer site com mais de um usuário, você não tem nenhum mecanismo de responsabilização.

Activity Log by Duplicator corrige isso. Ele rastreia mais de 60 tipos de eventos em todo o seu site WordPress. Cada entrada inclui um timestamp e o endereço IP associado à ação.

O Activity Log está disponível como um plugin autônomo a partir de US$ 29/ano. Ele também está incluído gratuitamente no plano Duplicator Elite, juntamente com o Duplicator Pro e o WP Media Cleanup.

Uma vez ativo, vá para Activity Log na barra lateral do WordPress para ver o feed de eventos. Os eventos são marcados por gravidade: Crítico, Alto, Médio, Baixo e Info.

Você não precisa ler todas as entradas. A marcação de gravidade e os filtros permitem identificar o que realmente importa.

Ative as notificações por e-mail para eventos de gravidade Crítica e Alta nas configurações do plugin. Dessa forma, se alguém criar uma nova conta de administrador, instalar um plugin que você não autorizou ou acionar uma série de tentativas de login com falha, você descobrirá imediatamente em vez de dias depois.

A combinação do Activity Log com o Duplicator Pro completa sua pilha de segurança. O log informa o que aconteceu e quando. O backup permite restaurar seu site para antes de acontecer.

Outras Maneiras de Proteger Seu Site Contra Hackers

Neste post, listamos muitas dicas para manter seu site seguro contra ataques cibernéticos. Se você já passou por esta lista, aqui estão algumas etapas extras que você pode tomar:

• Não abra e-mails ou links suspeitos
• Limite os dados que os visitantes podem enviar para o seu site
• Contrate uma agência de segurança para auditar seu site
• Eduque os usuários do seu site sobre segurança cibernética para que eles possam relatar atividades suspeitas
• Limite as permissões de arquivos
• Force o tempo limite das sessões de usuário após um determinado período

Perguntas Frequentes Sobre Como Proteger Seu Site Contra Hackers

Se você não definiu um ponto de recuperação antes de ser invadido, não se preocupe! Encontre os arquivos de backup mais recentes que você baixou para o seu computador ou salvou na nuvem. Em seguida, use um cliente FTP ou gerenciador de arquivos para reenviar esses arquivos para o seu site.

Seu Site Não Será Inviolável. Torne-o Não Vale o Esforço.

Hackers executam scripts automatizados que escaneiam milhões de sites em busca daqueles que não foram atualizados, usam nomes de usuário padrão, não têm firewall ou armazenam credenciais em texto simples.

Quando seu site tem backups recentes, software atualizado, 2FA, um firewall e um log de auditoria, o script segue em frente. Existem alvos mais fáceis.

O que você construiu é uma defesa em camadas: um ponto de restauração limpo ao qual você pode acessar mesmo que seu painel esteja bloqueado, controles de acesso reforçados que bloqueiam os vetores de ataque mais comuns e monitoramento ativo que informa em minutos se algo mudar.

Essa combinação não o torna imune. Ela torna uma violação de segurança sobrevivível e a investigação possível.

Trate isso como manutenção, não como um projeto único. Defina um lembrete mensal no calendário para verificar atualizações de plugins, revisar seu log de atividades em busca de algo incomum e confirmar se seus backups agendados estão sendo concluídos com sucesso.

Você está pronto para proteger seu site contra futuras tentativas de invasão? Baixe o Duplicator Pro para salvar backups regulares e reverter facilmente seu site sempre que precisar!

Enquanto você está aqui, talvez goste destes tutoriais extras do WordPress:

• O WordPress é Seguro? Revelando a Verdade
• Como Recuperar um Site WordPress Invadido
• Como Prevenir a Indisponibilidade do Site
• Checklist de Segurança do WordPress: Guia Passo a Passo para Proteger Seu Site
• 11 Melhores Serviços de Armazenamento em Nuvem para Backups do WordPress (Escolha de Especialista)
• Dominando a Depuração do WordPress: Do Básico a Técnicas Avançadas