Fazer a auditoria de um site WordPress é verificar, em meio período de trabalho, o que deixa o site lento, o que o coloca em risco e o que o deixa em desacordo com a lei, e depois organizar as correções por prioridade. Aqui estão os doze pontos que importam, a ferramenta gratuita para cada um, o limite a partir do qual é preciso agir e um checklist para reutilizar em cada auditoria.
Auditoria geral, de SEO ou de segurança: qual fazer?
Este guia trata da auditoria geral: a de um site que você está assumindo, que vai reformular ou que ninguém olha há um ano. Ele passa de leve, de propósito, por duas áreas que têm método próprio:
- O SEO em profundidade (conteúdos, tags, links internos, posições): veja nosso método de auditoria de SEO para sites WordPress.
- A segurança ponto a ponto: veja o checklist de segurança WordPress em 40 pontos.
A auditoria geral serve para decidir: corrigir, trocar de hospedagem, refazer o site ou terceirizar a manutenção? Ela dá uma visão do conjunto, que as duas auditorias especializadas detalham depois.
O que você precisa antes de começar
- Uma conta de administrador do WordPress e, se possível, acesso SFTP ou SSH (com o WP-CLI, vários testes levam dez segundos).
- Acesso ao Google Search Console do domínio e à área do cliente da hospedagem, para os logs e os backups.
- Uma janela anônima no navegador, para ver o site como um visitante (banner de cookies, cache, redirecionamentos).
Os doze pontos e seus limites
| Ponto | Ferramenta gratuita | Bom sinal | A corrigir |
|---|---|---|---|
| Velocidade de carregamento | PageSpeed Insights | LCP ≤ 2,5 s, INP ≤ 200 ms, CLS ≤ 0,1 | Alguma métrica "ruim" no celular |
| Exibição no celular | Lighthouse, modo dispositivo do navegador | Sem rolagem horizontal, botões fáceis de tocar | Texto pequeno demais, menus inutilizáveis |
| Certificado HTTPS | Navegador, SSL Labs | Válido, renovado automaticamente, tudo em HTTPS | Vencimento próximo, conteúdo misto |
| Atualizações pendentes | Painel, WP-CLI | Nada pendente há mais de uma semana | Plugin várias versões atrasado |
| Plugins sem uso | Lista de plugins | Cada plugin tem uma função | Plugins desativados ou abandonados |
| Versão do PHP | Saúde do site | PHP 8.3 ou mais recente | Versão sem suporte |
| Sitemap | Search Console | Enviado, sem erros | URLs excluídos ou com erro |
| Erros 404 | Search Console, logs | Apenas endereços sem valor | Páginas antigas com links de entrada |
| Cookies e LGPD | Janela anônima, ferramentas do navegador | Nenhum rastreador antes do consentimento | Recusar é mais difícil que aceitar |
| Backups | Hospedagem, plugin | Cópia fora do servidor, restauração testada | Nunca restaurado, cópia no mesmo servidor |
| Segurança | Saúde do site, checklist | Autenticação em dois fatores, acessos restritos | Administradores desconhecidos, login exposto |
| Acessibilidade | Lighthouse, WAVE | Textos alternativos, contraste, teclado | Formulários sem rótulos |
Desempenho e celular
Teste a página inicial e as três páginas mais visitadas no PageSpeed Insights, na aba de dispositivos móveis. Os dados de campo (a experiência real dos visitantes) valem mais que a pontuação de laboratório. As três Core Web Vitals medem o tempo de exibição do maior elemento (LCP), a capacidade de resposta aos cliques (INP) e a estabilidade do layout (CLS). Causas frequentes no WordPress: imagens sem compressão, construtor de páginas pesado, falta de cache de páginas, hospedagem sobrecarregada.
O Google desativou o "Teste de compatibilidade com dispositivos móveis" no fim de 2023: use o Lighthouse (integrado ao Chrome e ao Edge) e navegue de verdade pelo site em um celular, incluindo menus, formulários e checkout.
Manutenção: atualizações, plugins, PHP
O menu Ferramentas > Saúde do site já mostra um diagnóstico (versão do PHP, atualizações, plugins inativos, tarefas agendadas atrasadas). Com o WP-CLI, o inventário é mais rápido:
wp core version && wp core check-update
wp plugin list --update=available --fields=name,version,update_version
wp plugin list --status=inactive --fields=name,version
wp theme list --fields=name,status,version,update
wp eval 'echo PHP_VERSION;'Um plugin desativado continua explorável se tiver uma vulnerabilidade: exclua o que não usa. Identifique também os plugins que não são atualizados há mais de um ano (veja como identificar plugins abandonados). Para o PHP, o WordPress recomenda a versão 8.3 ou mais recente; as versões anteriores já não recebem todas as correções de segurança, como explica nosso calendário das versões do PHP.
Indexação: sitemap e erros 404
Desde o WordPress 5.5, um sitemap XML é gerado no endereço /wp-sitemap.xml, a menos que um plugin de SEO o substitua. Verifique se ele foi enviado no Search Console e se o relatório "Páginas" não mostra exclusões inesperadas. No mesmo relatório, os erros 404 que importam são os de páginas antigas que ainda recebem links: redirecione-as para o equivalente mais próximo. Já os 404 causados por robôs à procura de falhas são normais.
Conformidade: cookies, páginas legais e acessibilidade
- Cookies: abra o site em uma janela anônima, depois as ferramentas de desenvolvedor, aba de armazenamento. Nenhum cookie de publicidade ou de análise não essencial deveria ser gravado antes da escolha do visitante, e o guia da ANPD sobre cookies recomenda que recusar seja tão simples quanto aceitar, com base na LGPD.
- Páginas obrigatórias: política de privacidade atualizada (formulários, plugins que coletam dados, prazos de retenção), termos de uso e, para uma loja virtual, a identificação da empresa (razão social, CNPJ, endereço) e as condições de venda.
- Acessibilidade: a Lei Brasileira de Inclusão (Lei 13.146/2015, art. 63) torna obrigatória a acessibilidade dos sites mantidos por empresas com sede ou representação comercial no Brasil. Verifique os textos alternativos, o contraste, a navegação pelo teclado e os rótulos dos formulários.
Backups, segurança e logs
Um backup que nunca foi restaurado é uma hipótese. Pergunte onde ficam as cópias, por quanto tempo são guardadas, e restaure uma delas em um ambiente de homologação (método no nosso guia de backups 3-2-1). Na parte de segurança, a auditoria geral se limita aos sinais fortes: contas de administrador desconhecidas ou numerosas demais, página de login exposta sem limite de tentativas, ausência de autenticação em dois fatores, arquivos sensíveis acessíveis (debug.log, arquivos .zip ou .sql na raiz).
Por fim, leia uma semana de logs de erros do servidor: erros PHP repetidos indicam um plugin incompatível, e picos de requisições para wp-login.php ou xmlrpc.php indicam ataques automatizados.
O checklist para reutilizar em cada auditoria
Depois, classifique cada problema em três níveis: crítico (segurança, dados, site fora do ar: esta semana), importante (desempenho no celular, conformidade, atualizações: este mês), menor (ajustes finos: a planejar). Uma auditoria que termina com cinquenta recomendações sem prioridade nunca será aplicada.
Manter o site sob controle entre duas auditorias
Uma auditoria anual não vê a falha publicada no dia seguinte. O WP Masquerade Pro mantém parte da auditoria em funcionamento contínuo: todos os dias, cada site envia para a sua área de membro o estado das atualizações (WordPress, plugins, temas, versão do PHP) e as vulnerabilidades conhecidas, a verificação de integridade sinaliza qualquer arquivo do núcleo modificado, e os cabeçalhos de segurança são configurados sem mexer no servidor. Não é uma ferramenta de desempenho, nem um scanner de malware, nem um backup: para esses pontos, continue usando as ferramentas citadas acima.
As atualizações de todos os seus sites em uma única tela
A versão gratuita já reduz os rastros do WordPress e protege o login. O Pro acrescenta o acompanhamento das atualizações e das falhas de todos os seus sites na área de membro: 59 € por ano (sem impostos) para um site, 149 € para 10 sites e 399 € para 100 sites.
Perguntas frequentes
Quanto tempo leva a auditoria de um site WordPress?
Para um site institucional, conte com meio período usando as ferramentas gratuitas citadas aqui. Uma loja virtual ou um site com área de membros exige mais: checkout, contas, dados pessoais e desempenho sob carga.
Com que frequência auditar o site?
Uma auditoria completa por ano, e outra antes de qualquer reformulação ou troca de hospedagem. Entre uma e outra, um monitoramento contínuo das atualizações, das falhas e da disponibilidade evita surpresas desagradáveis.
É preciso ter nota 100 no PageSpeed?
Não. O que conta são os dados de campo das Core Web Vitals no celular: LCP, INP e CLS dentro dos limites do Google. Uma pontuação de laboratório mediana com bons dados reais não é um problema.
Qual a diferença para uma auditoria de SEO?
A auditoria geral verifica se o site é rápido, atualizado, está em conformidade e é seguro. A auditoria de SEO analisa em detalhe os conteúdos, as tags, os links internos e as posições. As duas se complementam: um site lento ou hackeado perde tráfego, seja qual for o seu conteúdo.
Para lembrar
- Doze pontos cobrem o essencial: velocidade, celular, HTTPS, atualizações, plugins, PHP, sitemap, 404, cookies, backups, segurança, acessibilidade.
- Limites das Core Web Vitals: LCP ≤ 2,5 s, INP ≤ 200 ms, CLS ≤ 0,1, no celular.
- Exclua os plugins sem uso: mesmo desativados, continuam exploráveis.
- Um backup só está validado depois de ter sido restaurado.
- Termine com três níveis de prioridade, não com uma pontuação.
Fontes
- web.dev: Web Vitals e limites recomendados (link externo, abre em uma nova aba)
- WordPress.org: a tela Saúde do site (link externo, abre em uma nova aba)
- ANPD: guia orientativo sobre cookies e proteção de dados pessoais (link externo, abre em uma nova aba)
- WordPress.org: requisitos (link externo, abre em uma nova aba)
