Perguntas frequentes sobre o WP Masquerade

Um plugin WordPress que muda o que o seu site revela aos robôs e às ferramentas de detecção: ele anuncia outro software (Joomla!, Drupal, PrestaShop…), remove os indícios típicos do WordPress, muda o endereço da página de login e identifica os robôs que procuram falhas. Ver todos os recursos.

Não. O tema, os textos e as páginas continuam iguais. Só os endereços dos arquivos (imagens, estilos, scripts) mudam, se você ativar os aliases do WP Masquerade Pro. Conectado como administrador, você vê o site sem camuflagem: confira o resultado numa janela anônima.

Os endereços das suas páginas não mudam. Com os aliases do Pro, os endereços das suas imagens mudam; no nível que bloqueia os endereços antigos, os links externos para as suas imagens deixam de funcionar. A remoção da descoberta oEmbed (Pro) elimina as prévias ricas dos seus posts em outros sites. Ocultar a lista de autores (Pro) também remove o sitemap de autores, o que não tem efeito nas suas páginas e posts. Cada opção afetada é sinalizada na interface.

A versão gratuita oculta o WordPress, anuncia Joomla!, Drupal, PrestaShop, TYPO3 ou MediaWiki (ou um nome à sua escolha), remove os links técnicos básicos (RSD, Windows Live Writer, links curtos), muda o endereço de login e oculta o wp-login.php e o wp-admin, bloqueia pingbacks e XML-RPC e conta os robôs capturados nas armadilhas. O Pro acrescenta todo o resto: 41 perfis e marcadores do Wappalyzer, anúncios REST e oEmbed removidos, lista de autores oculta, aliases dos endereços dos arquivos, requisições AJAX desconhecidas respondidas com 404, limitação de tentativas, verificação em duas etapas, cabeçalhos de segurança, verificação de integridade, alertas por e-mail, banimento, feed de assinaturas, atualizações e suporte prioritário. Comparativo completo.

Não, e nenhum plugin pode prometer isso com honestidade. O WP Masquerade remove os indícios mais usados pelas ferramentas automáticas e acrescenta os de outro software. Alguns vestígios podem permanecer: URLs dentro dos arquivos CSS ou JavaScript, classes CSS ou nomes de scripts próprios de certos plugins, respostas de um cache intermediário.

Não. Ele reduz o que os robôs descobrem sobre o seu site e fecha portas conhecidas, o que limita a superfície exposta a ataques automatizados. Ele não filtra injeções SQL nem XSS, não procura malware e não protege contra ataques de negação de serviço. Ele combina muito bem com essas ferramentas.

Não. Ele bloqueia os pingbacks e o XML-RPC e identifica os robôs que sondam o seu site, mas não filtra comentários nem formulários. Veja o que ele bloqueia e qual antispam combinar com ele.

Um firewall e um scanner de malware, que ele não oferece, deixando o login a cargo de um único plugin. O nosso comparativo dos melhores plugins de segurança para WordPress detalha as opções.

• emular por completo o Drupal, o phpBB ou qualquer outro software;
• remover todos os vestígios do WordPress ou garantir um resultado num detector;
• anonimizar individualmente cada plugin ou tema;
• reescrever todas as URLs presentes nos arquivos CSS ou JavaScript, ou em respostas externas;
• mudar todo o painel de lugar, alterar a URL da API REST ou todos os pontos de entrada PHP;
• alterar as menções ao WordPress visíveis no seu tema;
• oferecer firewall SQL/XSS, antivírus ou proteção contra DDoS;
• corrigir as falhas do núcleo, dos temas ou dos plugins: mantenha-os atualizados;
• certificar a compatibilidade com todas as hospedagens, caches e plugins.

Sim, sem dúvida. Atualizações, backups, permissões de acesso restritas e senhas fortes continuam indispensáveis. A camuflagem se soma a essas boas práticas; ela não as substitui.

As falhas de uma versão antiga do Joomla! não existem no seu WordPress: os robôs que as testam fracassam e podem cair nas armadilhas. Ainda assim, o guia recomenda não contar com esse efeito para desencorajar um atacante.

Na versão gratuita, não: o diagnóstico permanece local. Com o Pro, o site contata o servidor de licenças para ativar a licença, verificá-la uma vez por dia, obter o feed de assinaturas e as atualizações; a verificação de integridade pede ao wordpress.org a lista oficial dos arquivos informando apenas a versão e o idioma do WordPress. Nenhum dado dos seus visitantes é transmitido. O catálogo de plugins camuflados é atualizado nessa mesma verificação diária. O resumo de segurança destinado a uma agência só é enviado se o administrador do site o ativar. Política de privacidade.

Os três cabeçalhos ativados por padrão (X-Frame-Options, Referrer-Policy, Permissions-Policy) não oferecem risco para a maioria dos sites; um cabeçalho já definido em outro lugar nunca é sobrescrito. A CSP básica desativa as prévias de PDF incorporadas do bloco Arquivo. O HSTS é a única configuração difícil de desfazer: os navegadores passam a exigir HTTPS durante um ano. Os cabeçalhos em detalhe.

Nem sempre: uma página servida diretamente por um cache de servidor ou por uma CDN, sem passar pelo WordPress, pode não trazê-los. O botão “Verificar a página inicial” mostra o que os seus visitantes realmente recebem; se faltar algo, adicione os cabeçalhos na configuração do cache ou do servidor.

Não. Ela compara os arquivos do núcleo do WordPress (wp-admin, wp-includes e arquivos da raiz) com as somas de verificação oficiais do wordpress.org. Plugins, temas, arquivos enviados e o wp-config.php não são verificados. A verificação de integridade em detalhe.

É normal: o primeiro login de cada administrador apenas registra o navegador dele. Depois, um alerta é enviado quando a conta é usada a partir de um navegador desconhecido. Se o relatório de teste também não chegar, provavelmente o site não consegue enviar e-mails: um plugin de SMTP costuma resolver o problema. Os alertas em detalhe.

Sim, com o Pro: a aba Rastreadores de IA classifica 37 rastreadores conhecidos (GPTBot, ClaudeBot, Google-Extended, CCBot…) por famílias e adiciona as regras ao seu robots.txt. A escolha rápida “Permitir a busca e as respostas de IA, bloquear o treinamento” mantém você citado pelos mecanismos de IA sem virar material de treinamento. O robots.txt é só um pedido: um bloqueio estrito opcional também recusa os rastreadores bloqueados que se identificam, mas não os que se passam por um navegador. Googlebot e Bingbot nunca são afetados, e o que já foi coletado continua coletado. O controle de rastreadores de IA em detalhe.

Sim. A aba Agência da área do cliente agrupa seus sites por cliente, mostra uma pontuação de segurança de 0 a 100 por site, envia perfis de configurações, gera um relatório imprimível para o cliente e configura a marca branca. Nada acontece sem o site: o administrador marca, na aba Licença Pro, o que aceita compartilhar ou receber; tudo vem desativado. O painel para agências em detalhe.

A versão gratuita funciona sem regras de servidor. Para os aliases de arquivos do Pro, as regras são geradas para Apache, LiteSpeed, o2switch (PowerBoost), OpenLiteSpeed, Nginx, IIS e Caddy; numa hospedagem gerenciada, envie o bloco ao administrador do servidor. Detalhes por servidor.

A limpeza é integrada para LiteSpeed Cache, WP Rocket e WP Super Cache. Lembre-se de excluir o novo endereço de login do cache antes de testá-lo. Para outro cache ou uma CDN, limpe com a ferramenta própria deles.

Não. Somente o WordPress simples (um site por instalação) é compatível.

Não para as mesmas funções: duas camuflagens se contradizem. Desative as transformações de caminhos ou de login do outro plugin antes de continuar. O diagnóstico as sinaliza.

Os recursos Pro param, assim como as atualizações, o feed de assinaturas e o suporte. Os recursos gratuitos continuam funcionando, sem reinstalar nada. Duas salvaguardas evitam qualquer quebra: um plano de aliases já verificado continua sendo aplicado (os endereços dos seus arquivos não mudam), e as contas que já usam a verificação em duas etapas a mantêm. Uma nova licença reativa o Pro com as suas configurações.

1, 10, 100 ou um número ilimitado, conforme o plano. Cada domínio ativado ocupa uma vaga; você pode liberar uma vaga a qualquer momento. Cada site é ativado com o seu próprio código de ativação, gerado na sua área de membros. Em todos os planos, uma licença aceita no máximo 5 novas ativações de sites a cada 24 horas; reativar um site já ativado ou mover a licença não conta. Ver os preços.

Depois da compra, instale o WP Masquerade Pro (um único plugin: a versão gratuita já vem incluída), gere na sua área de membros um código de ativação para o endereço do site e cole-o em WP Masquerade → Licença Pro. Você nunca digita a chave de licença em um site. A aba Instalar o WP Masquerade da sua área de membros guia você passo a passo.

Pela sua área do cliente, que dá acesso ao portal de faturamento da Stripe. A licença continua ativa até o fim do período pago; depois, os recursos Pro param e os recursos gratuitos continuam funcionando, com as duas salvaguardas descritas acima.

Sim. Todos os preços são exibidos sem impostos. O editor se beneficia da franquia de IVA prevista na lei francesa: “TVA non applicable, art. 293 B du CGI” (IVA não aplicável, artigo 293 B do Código Geral de Impostos da França). Nenhum IVA é acrescentado no pagamento: o valor pago é igual ao preço sem impostos exibido.

Adicione define('CMS_MASQUERADE_DISABLE', true); ao wp-config.php: todas as transformações param e o wp-login.php volta a funcionar. Todos os procedimentos de recuperação.

Faça login com um código de backup. Se não tiver, outro administrador pode desativar a verificação em duas etapas no seu perfil de usuário. Em último caso: define('CMP_DISABLE_2FA', true); no wp-config.php.

Desativar um plugin não remove as regras adicionadas ao .htaccess, e a reescrita dos endereços fica no WP Masquerade Pro. Reative o Pro, ou restaure as regras de servidor anteriores, e depois limpe os caches.