Como configurar um registo de auditoria do WordPress em menos de 10 minutos

Entras no WordPress e algo não está bem.

Um plugin que não instalaste está ativo. Uma publicação foi editada às 2 da manhã. A função de um utilizador foi alterada e ninguém da tua equipa o fez.

Procuras respostas e não encontras nada. Não há registos. Não há nada escrito. Não há forma de saber o que aconteceu nem quem foi o responsável.

Esse é o estado padrão de todos os sites WordPress. O WordPress não regista as ações dos utilizadores. Nunca o fez.

Não existe um registo integrado que indique quem publicou o quê, quem alterou uma configuração, quem iniciou sessão a partir de onde ou quem apagou algo. Se algo correr mal no seu site, terá de começar do zero, a menos que tenha configurado um registo antes de o problema ocorrer.

É isso que este tutorial aborda. Vou guiá-lo passo a passo na configuração de um registo completo de auditorias do WordPress.

No final, saberá exatamente o que se passa no seu site, quem está a fazer isso e o que fazer quando algo parecer errado.

Eis as principais conclusões:

• O WordPress não possui um registo de auditoria integrado. Por predefinição, nada é registado, o que significa que, sem um plugin já em funcionamento antes de ocorrer algum problema, esse histórico não existe.
• O registo apenas captura eventos a partir do momento da ativação. Se estiver a configurar isto após um incidente, o registo não irá recuperar o que aconteceu antes da sua instalação.
• O Registo de Atividades do Duplicator atribui a cada evento um nível de gravidade (Crítico, Alto, Médio, Baixo ou Informativo), para que possa dar prioridade ao que realmente importa, em vez de ter de percorrer centenas de registos de rotina.
• O registo de atividades de emparelhamento do Duplicator com o Duplicator Pro oferece-lhe duas camadas de proteção: um registo para compreender o que aconteceu e uma cópia de segurança a partir da qual pode restaurar, caso seja necessário tomar medidas.

Índice

O WordPress não mantém um registo de auditoria por predefinição

A maioria dos proprietários de sites presume que o WordPress está a registar as alterações em segundo plano. Mas não é assim.

Não existe um registo nativo das ações dos utilizadores no núcleo do WordPress. Não há qualquer registo de quem editou uma publicação, quem instalou um plugin, quem alterou o e-mail de administração do seu site ou quem iniciou sessão a partir de um endereço IP que não reconhece.

Quando algo corre mal, essa informação perde-se, a menos que um plugin já a estivesse a registar.

Uma pista de auditoria preenche essa lacuna. Trata-se de um registo com data e hora de todas as ações realizadas no seu site, associado a uma conta de utilizador e a um endereço IP específicos.

Pense nisso como uma câmara de segurança para o seu painel de administração do WordPress. Não evita problemas, mas diz-lhe exatamente o que aconteceu e quem foi o responsável.

Uma pista de auditoria completa abrange as seguintes categorias de atividade:

• Inícios e fins de sessão dos utilizadores, incluindo tentativas de início de sessão falhadas e sessões encerradas a partir de locais desconhecidos
• Alterações no conteúdo, incluindo edições de publicações, alterações de estado e eliminações
• Atividade relacionada com plugins e temas, incluindo instalações, ativações, desativações e atualizações
• Alterações nas configurações do WordPress, incluindo modificações no URL do seu site, no e-mail de administração, na estrutura dos permalinks e nas configurações de registo de utilizadores
• Alterações nas contas de utilizador, incluindo registos de novos utilizadores, modificações de funções e redefinições de palavras-passe
• Atividades na biblioteca multimédia, incluindo uploads, edições e eliminações

Uma coisa que deve saber antes de começar: um registo apenas capta eventos a partir do momento em que fica ativo. Se algo aconteceu no seu site antes de instalar um plugin de registo, esse histórico não pode ser recuperado a partir do registo. Configurar isto agora, antes que algo corra mal, é precisamente o objetivo.

Como configurar um registo de auditoria no WordPress

Configurar um registo de auditoria no WordPress demora menos de dez minutos. Eis o processo completo:

• Passo 1: Instalar o Activity Log by Duplicator: Coloque o plugin a funcionar no seu site; o processo demora menos de dois minutos e não requer conhecimentos de programação.
• Passo 2: Verifique as definições padrão dos eventos: Confirme se as categorias de atividades corretas estão ativadas para o seu tipo de site, embora as definições padrão abranjam a maioria dos sites.
• Passo 3: Configurar notificações por e-mail: Configure alertas para eventos de gravidade Crítica e Alta, para que seja informado imediatamente sobre os problemas, em vez de os descobrir dias mais tarde, durante uma análise manual dos registos.
• Passo 4: Leia a sua primeira entrada no registo: Saiba o que cada entrada contém, o que significa a codificação por cores de gravidade e como filtrar o registo para que possa localizar rapidamente um evento específico num site ativo.
• Passo 5: Responder a um evento suspeito: Um registo de auditoria não serve de nada se não for possível recuperar os dados após uma atividade suspeita. Restaure uma cópia de segurança limpa com um único clique utilizando o Duplicator Pro (que funciona em conjunto com o Activity Log)

Passo 1: Instalar o Activity Log da Duplicator

O Activity Log by Duplicator é um plugin do WordPress que regista todas as ações relevantes no seu site em tempo real. Regista mais de 60 tipos de eventos distribuídos por nove categorias:

• Utilizadores
• Conteúdo
• Mídia
• Plugins
• Temas
• Configurações do núcleo do WordPress
• Aparência
• Taxonomias
• Definições do site

Cada evento é classificado com um nível de gravidade (Crítico, Alto, Médio, Baixo ou Informativo), para que possa dar prioridade ao que é importante, em vez de ter de percorrer uma lista com centenas de entradas.

O plugin também oculta automaticamente os dados confidenciais. Se uma palavra-passe ou chave API estiver incluída num evento registado, esse valor é ocultado no registo. Obtém-se assim o registo de auditoria sem expor as credenciais.

Para o instalar, adquira o Activity Log, cujo preço começa nos 29 $ por ano. Também pode obtê-lo gratuitamente no plano Duplicator Elite, que inclui o WP Media Cleanup e o Duplicator Pro.

Descarregue o plugin e carregue-o no WordPress.

Ative a sua chave de licença em Registo de Atividades » Definições. Após a ativação, irá ver uma marca de verificação verde. Essa é a confirmação de que o plugin está a funcionar.

A registo começa agora!

Passo 2: Verificar as definições predefinidas do evento

O Registo de Atividades do Duplicator monitoriza mais de 60 tipos de eventos. Alguns sites podem não precisar de todas as categorias ativadas, por isso reserve alguns minutos para verificar o que está ativado antes de começar a basear-se no registo.

Na barra lateral, aceda a Registo de Atividades » Definições e, em seguida, clique no separador Eventos.

Irá ver uma lista das nove categorias de monitorização: Utilizador, Conteúdo, Multimédia, Plugin, Tema, WordPress, Aparência, Taxonomia e Definições. Cada categoria pode ser ativada ou desativada.

Se quiser ver o que está incluído em cada categoria, desça a página até à secção «Tipos de eventos registados». Clique na categoria sobre a qual tem dúvidas.

Num site típico, as configurações predefinidas abrangem as atividades mais importantes. Os inícios de sessão, as alterações de conteúdo, as instalações de plugins e as alterações de configurações são todos registados de forma automática.

Se gere um site com vários autores, um site de membros ou qualquer site em que várias pessoas tenham acesso de administrador ou editor, abra a categoria «Utilizador» e certifique-se de que está totalmente ativada.

O Registo de Atividades irá registar alterações de funções, redefinições de senha e registos de novos utilizadores. Estes eventos devem ser monitorizados para detetar eventuais problemas nas contas.

Num site com muito tráfego, um registo totalmente ativado cresce rapidamente. Pode considerar desativar categorias que contenham principalmente eventos de baixa gravidade, como «Aparência» ou «Taxonomia».

Quando abrir o registo, começará a ver entradas a aparecerem poucos minutos após o início da atividade normal do site.

Passo 3: Configurar notificações por e-mail

O registo só é útil se o consultar. Verificá-lo manualmente todos os dias não é viável, e é por isso que as notificações por e-mail são importantes.

Receberá alertas assim que ocorrer um evento de gravidade elevada, para que fique a saber imediatamente de um início de sessão suspeito ou da instalação inesperada de um plugin.

Na barra lateral, aceda a Registo de Atividades » Definições e clique no separador Notificações. Ative as notificações por e-mail e introduza o endereço para onde pretende que os alertas sejam enviados.

Irá ver uma lista de tipos de eventos, cada um com um botão para ativar ou desativar o envio de e-mails. Recomendo ativar as notificações para eventos de gravidade «Crítica» e «Alta». Estes abrangem as ações com implicações reais para a segurança: picos de tentativas de início de sessão falhadas, alterações na função de administrador, instalações de plugins e modificações nas configurações do núcleo.

Por enquanto, mantenha os eventos de gravidade «Info», «Média» e «Baixa» apenas como registos. Essas categorias abrangem atividades de conteúdo rotineiras, como atualizações de publicações, adições de etiquetas e uploads de ficheiros multimédia.

Ativar todos os alertas por e-mail gera uma sobrecarga de notificações que o leva a ignorar a sua caixa de entrada, o que vai contra o objetivo. No entanto, isso depende inteiramente de si e das suas preferências.

Uma breve nota sobre o significado dos níveis de gravidade:

• A secção «Crítico» aborda ações com grande impacto em todo o site.
• O High abrange alterações relevantes para a segurança que exigem atenção imediata: utilizadores eliminados, tentativas de início de sessão falhadas ou alterações nas funções dos utilizadores
• O Medium abrange a atividade editorial normal: eliminação de páginas ou desativação de plugins
• O nível «Baixo» abrange alterações menores ou cosméticas: definir imagens em destaque, atualizar publicações ou aprovar comentários.
• As informações abrangem atividades padrão, como os seus inícios e fins de sessão.

Para verificar se as notificações estão a funcionar, saia da sua conta e tente introduzir credenciais de início de sessão falsas. Uma tentativa de início de sessão falhada é considerada de gravidade elevada. Se o e-mail de notificação chegar dentro de um ou dois minutos, significa que a configuração está correta.

Passo 4: Leia a sua primeira entrada no registo

Saber interpretar uma entrada de registo transforma a pista de auditoria de um simples conjunto de dados em algo útil.

Cada linha do registo representa um único evento. Lendo da esquerda para a direita, verá o indicador do nível de gravidade, a data e hora, a descrição do evento, o utilizador que o desencadeou, o endereço IP de onde a ação teve origem e a fonte.

Os níveis de gravidade estão codificados por cores para facilitar a consulta rápida.

• 🔴 Elevado
• 🡢 Médio
• 🟔 Baixo

Num site em bom estado, a maioria das entradas será amarela e azul. As entradas vermelhas merecem ser lidas sempre que as vir.

Para filtrar o registo, utilize os controlos na parte superior. Pode filtrar por categoria, nível de gravidade ou intervalo de datas.

Num site ativo com vários utilizadores, a filtragem é a forma de encontrar rapidamente o que procura. Comece por selecionar a gravidade e, em seguida, restrinja o intervalo de datas ao período que lhe interessa.

O que é considerado normal: inícios de sessão a partir do seu endereço IP habitual, atualizações de conteúdo de contas de autores conhecidos e atualizações de plugins durante o seu período de manutenção regular. Após uma semana a analisar o registo, ficará com uma ideia clara do padrão normal do seu site. Qualquer coisa que se desvie desse padrão merece uma análise mais aprofundada.

Passo 5: Responder a um incidente suspeito

Encontrar algo malicioso no registo só é útil se souber o que fazer a seguir. O registo de auditoria indica-lhe o que aconteceu. O Duplicator Pro permite-lhe reverter essa ação.

Antes de tomar qualquer medida, registe todos os detalhes do evento: data e hora, conta de utilizador, endereço IP e exatamente o que foi alterado. Exporta a entrada do registo como um ficheiro CSV ou JSON utilizando o botão de exportação na parte superior do ecrã do Registo de Atividades.

Se estiver a utilizar o Duplicator, procure a sua cópia de segurança limpa mais recente. É importante saber exatamente o que tem antes de começar a fazer alterações. Uma cópia de segurança limpa, feita antes do evento suspeito, servirá de recurso em qualquer uma das situações descritas abaixo.

Aqui estão os quatro cenários mais comuns para detetar atividades suspeitas no WordPress e o que fazer em cada um deles.

Um início de sessão a partir de um endereço IP desconhecido

Verifique se a conta de utilizador pertence a um membro real da equipa e peça-lhe para confirmar o início de sessão. Se não for possível confirmar, aceda a Utilizadores » Todos os utilizadores, abra o perfil desse utilizador e desça até ao final da página.

Clique em «Sair de todas as sessões» para encerrar todas as sessões ativas dessa conta. Em seguida, force uma redefinição da palavra-passe. Se houver alguma possibilidade de as credenciais terem sido partilhadas ou reutilizadas em todo o site, altere também a palavra-passe de administrador.

Verifique o registo para ver se há outros eventos associados a esse mesmo endereço IP nesse mesmo intervalo de tempo. Um login raramente é a única ação realizada por uma conta comprometida.

Foi instalado um plugin que não foste tu a instalar

Desative e elimine o plugin imediatamente, a menos que alguém da sua equipa possa confirmar que o instalou intencionalmente. Em seguida, verifique o registo para ver se há outros eventos associados ao mesmo utilizador ou endereço IP nesse mesmo intervalo de tempo.

A instalação de um plugin raramente ocorre por si só. Procure alterações nas configurações, modificações nas funções dos utilizadores ou edições de ficheiros que tenham ocorrido antes e depois da instalação.

Se o registo indicar que o plugin esteve ativo durante mais do que algumas horas antes de o ter detetado, considere que o site pode ter sido alterado.

Reverter manualmente todas as alterações que um plugin malicioso possa ter feito não é viável. É muito mais fácil fazer uma restauração completa a partir de uma cópia de segurança que se sabe estar limpa.

Abra o Duplicator Pro, aceda à secção «Backups» e identifique o backup mais recente anterior à instalação. Restaure esse backup com um clique.

Surgiu uma alteração nas definições que ninguém reivindica

A entrada no registo irá indicar a configuração específica que foi alterada e, em muitos casos, o valor para o qual foi alterada. Compare a configuração atual com o valor que deveria ter.

Se for uma alteração isolada, pode revertê-la manualmente. Aceda ao ecrã de definições correspondente e restabeleça o valor correto.

Se o registo indicar que várias configurações foram alteradas num curto espaço de tempo, não tente reconstruí-las uma a uma. Abra o Duplicator Pro, procure uma cópia de segurança anterior ao período em questão e restaure-a.

Uma alteração isolada numa configuração é uma tarefa que se resolve em cinco minutos. Um conjunto de alterações coordenadas é um trabalho de recuperação, e o Duplicator Pro trata disso com apenas alguns cliques.

Após a restauração, confirme a data da cópia de segurança no painel do Duplicator Pro e verifique o Registo de Atividades para se certificar de que a versão restaurada é anterior a todas as entradas suspeitas.

A função de um utilizador foi elevada sem qualquer explicação

As alterações de funções são eventos de gravidade elevada. Se não foi você a efetuar a alteração, considere a conta como potencialmente comprometida.

Reverta a função imediatamente, acedendo a Utilizadores » Todos os utilizadores, clicando na conta em questão e alterando a função no menu suspenso «Função ».

Em seguida, analise o registo de atividades completo dessa conta de utilizador a partir do momento em que a função foi elevada. Procure quaisquer ações que as permissões elevadas tenham possibilitado: instalações de plugins, alterações de configurações, criação de novos utilizadores ou modificações de ficheiros.

Se essas ações constarem no registo, utilize o Duplicator Pro para restaurar uma cópia de segurança anterior à alteração de funções. É mais rápido e mais fiável do que tentar identificar todas as alterações que uma conta com privilégios elevados possa ter efetuado.

Perguntas mais frequentes (FAQs)

O seu site agora tem memória

Antes de instalar o Activity Log by Duplicator, o seu site WordPress não tinha qualquer registo. Cada início de sessão, alteração de configuração e instalação de plugin ocorria e desaparecia sem deixar rasto. Se algo corresse mal, só lhe restava adivinhar.

Isso já não é verdade. Dispõe de um registo contínuo de todas as ações relevantes no seu site, identificadas por utilizador, data e hora, endereço IP e nível de gravidade.

Sabes como ler uma publicação, como filtrar o que é relevante e o que fazer quando algo parece errado. Isso representa uma mudança significativa no nível de controlo que tens sobre o teu próprio site.

Daqui em diante, crie o hábito de rever os registos. Verifique o registo de atividades uma vez por semana, concentre-se primeiro nas entradas com nível «Elevado» e «Crítico» e investigue qualquer coisa que se desvie do padrão normal do seu site.

Na maioria das vezes, não será nada de especial. Ocasionalmente, será exatamente aquilo que precisavas de detectar atempadamente.

Cada ação não registada no seu site é um ponto cego. Instala-se um plugin, altera-se uma configuração, compromete-se uma conta e, sem um registo de auditoria, só descobre semanas mais tarde — se é que chega a descobrir. O registo não evita problemas, mas significa que nunca fica na dúvida sobre o que aconteceu ou quem o fez.

Mais de 1,5 milhões de profissionais do WordPress utilizam o Duplicator para proteger os seus sites. O «Activity Log» do Duplicator oferece-lhe um registo completo e pesquisável de tudo o que acontece no seu site, com classificação por gravidade, alertas por e-mail e ocultação de dados confidenciais integradas.

Combine o Activity Log com o Duplicator Pro e terá um registo que lhe permite compreender o que aconteceu e uma cópia de segurança a partir da qual poderá restaurar, caso seja necessário tomar medidas.

Se este tutorial te ajudou, vale a pena ler também estes guias.

• A maioria dos plugins de registo de atividades do WordPress indica o que correu mal — um deles ajuda-o a resolver o problema
• Lista de verificação de segurança do WordPress: Guia passo-a-passo para proteger o seu site
• Lista de verificação para a manutenção do WordPress: 20 tarefas essenciais (2026)
• Como criar um site de teste do WordPress (para testes seguros)
• Não fique mais sem acesso ao WordPress: o guia de prevenção que eu gostaria de ter tido
• O WordPress não rastreia atividades por padrão: eis o que faço a respeito disso
• Como acompanhar TODAS as alterações no seu site WordPress (antes que ele deixe de funcionar)