Recursos de segurança para WordPress

Monitore, receba alertas, aja: o monitoramento no dia a dia

Um site pode ser comprometido semanas antes de alguém perceber. O WP Masquerade Pro fica de vigia por você e só incomoda quando há algo a fazer. Veja, na prática, o que acontece depois que o Pro é ativado.

Quando	O que o Pro verifica	O que você recebe
O tempo todo	Logins dos administradores, tentativas de senha, visitas às armadilhas para robôs, ações sensíveis (plugins, contas, configurações)	Um e-mail quando há login em um novo dispositivo; bloqueio temporário dos endereços que acumulam falhas; banimento dos robôs insistentes; tudo fica no registro de atividades
A cada hora	Suas imagens exibidas por outros sites, se a proteção contra hotlink estiver no modo Detectar ou Proteger	Um e-mail quando um novo site exibe suas imagens acima do limite escolhido; os detalhes (imagens, requisições, banda) na aba Hotlinking
Todos os dias	Versões dos seus plugins, temas e do WordPress comparadas às vulnerabilidades publicadas; arquivos do núcleo comparados às assinaturas oficiais do wordpress.org	Um e-mail assim que uma vulnerabilidade conhecida afeta você, com a gravidade e a versão que a corrige; um e-mail se um arquivo do núcleo for modificado, removido ou desconhecido
Todos os dias, para todos os seus sites	Atualizações pendentes (WordPress, plugins, temas, distinguindo as atualizações de segurança), versão do PHP e o fim do seu suporte, número de vulnerabilidades conhecidas	O status de cada site na sua área do cliente: “Em dia”, “Atualização de segurança pendente”, “Vulnerável”, ou um alerta se um site parou de enviar relatórios
Toda segunda-feira	Resumo da semana	O relatório de segurança de cada site e, se você ativar, um resumo dos sites a atualizar, enviado só quando algum deles precisa da sua atenção

O que é enviado à área do cliente, e nada mais: as versões do WordPress e do PHP, a lista de plugins e temas que aguardam atualização e o número de vulnerabilidades conhecidas. Nenhum conteúdo, nenhum usuário, nenhuma senha.

Para quem?

Para editores de sites

Blog, portal de notícias, site institucional: boa parte do seu tráfego vem dos mecanismos de busca, e seus leitores confiam em você. Uma invasão que injeta páginas de spam ou código malicioso pode fazer aparecer o aviso “Este site pode ter sido invadido” nos seus resultados do Google, ou um alerta de tela cheia no navegador, e a nova análise leva tempo (veja o impacto de uma invasão no SEO e como sair da lista do Safe Browsing).

• login em outro endereço, verificação em duas etapas e tentativas limitadas para cada redator;
• alerta assim que um plugin instalado é afetado por uma vulnerabilidade publicada;
• licença de 1 site por 59 € por ano sem impostos.

Para agências

Quando você mantém os sites dos seus clientes, uma vulnerabilidade em um plugin popular pode atingir dez sites de uma vez, e é a você que o cliente recorre. O Pro oferece uma visão geral sem precisar entrar em cada site.

• Uma única área do cliente para todas as suas licenças e todos os seus sites, com o status das atualizações de cada um, filtros (“Precisam de atenção”, “Em dia”) e ordenação por urgência;
• um resumo toda segunda-feira, opcional, com a lista dos sites a atualizar;
• alertas por site, enviados para o endereço que você escolher;
• um registro de atividades para saber quem, da sua equipe ou do cliente, instalou um plugin ou mudou uma configuração;
• a mesma configuração em todos os sites graças à importação e exportação das configurações, e um painel em 7 idiomas para os seus clientes;
• um painel para agências: uma pontuação de segurança por site, grupos de clientes, relatórios para clientes com o seu nome, perfis de configurações enviados aos sites que os aceitam e marca branca;
• licenças de 10 sites (149 € por ano), 100 sites (399 € por ano) ou ilimitada (990 € uma única vez), sem impostos, com uma vaga liberada com um clique quando um cliente sai.

Para empresas e e-commerce

Para uma loja WooCommerce ou um site que coleta dados de clientes, uma invasão significa vendas interrompidas, clientes preocupados e obrigações legais. Na União Europeia, em caso de violação de dados que represente risco para as pessoas, o RGPD exige notificar a autoridade de controle em até 72 horas e informar as pessoas afetadas se o risco for elevado. No Brasil, a LGPD também exige comunicar à ANPD e aos titulares os incidentes que possam causar risco ou dano relevante.

• contas com privilégios protegidas: verificação em duas etapas obrigatória por função, tentativas limitadas, wp-admin oculto para os visitantes;
• rastreabilidade: o registro de atividades ajuda a documentar um incidente (quem, o quê, quando), com exportação em CSV;
• detecção precoce: vulnerabilidades conhecidas, arquivos do núcleo modificados e logins em novos dispositivos sinalizados por e-mail;
• dados limitados: endereços IP truncados nos registros, segredos da verificação em duas etapas criptografados.

Quanto custaria uma invasão para o seu negócio? Reunimos os preços públicos dos serviços de limpeza, os prazos de nova análise do Google e as obrigações do RGPD: quanto custa um site invadido.

Proteger seu site WordPress: por onde começar

Um plugin de segurança sozinho não basta. Esta é a ordem que recomendamos para proteger um site WordPress, e o que o WP Masquerade traz em cada etapa.

1. Atualizar tudo: WordPress, plugins e temas, e remover o que não é mais usado. Com o Pro, os alertas de vulnerabilidades apontam todos os dias as versões afetadas por uma falha publicada.
2. Proteger o login: senhas únicas, endereço de login alterado (gratuito), verificação em duas etapas e proteção contra força bruta (Pro).
3. Reduzir a superfície de ataque: ocultar o WordPress, bloquear o XML-RPC e os pingbacks com o reforço de segurança, esconder a lista de autores (Pro).
4. Filtrar e monitorar: um firewall (da hospedagem, da Cloudflare ou de um plugin) e uma varredura de arquivos, que o WP Masquerade não oferece; as armadilhas para robôs, a verificação de integridade e o registro de atividades com o Pro.
5. Fazer backups fora do servidor e testar a restauração.

Para a lista completa, siga o nosso checklist de segurança para WordPress em 40 pontos. Para escolher os plugins que complementam o WP Masquerade, leia o nosso comparativo dos melhores plugins de segurança para WordPress; contra o spam, veja o que o WP Masquerade bloqueia e o que exige um antispam.

Gratuito ou Pro, em resumo

Gratuito: WordPress oculto e tag generator autêntica para 5 perfis populares (ou um nome à sua escolha), links técnicos básicos removidos, comentários HTML e tags generator dos plugins removidos, endereço de login personalizado com wp-login.php e wp-admin ocultos, pingbacks e XML-RPC bloqueados, contagem das armadilhas, arquivos do plugin invisíveis aos scanners, painel em 7 idiomas.

Pro: todo o resto. 41 perfis e marcadores do Wappalyzer, anúncios REST e oEmbed removidos, lista de autores oculta, aliases para os endereços dos arquivos, requisições AJAX desconhecidas respondidas com 404, limitação de tentativas de login, verificação em duas etapas, cabeçalhos de segurança, verificação de integridade, alertas por e-mail, banimento, registro de eventos e páginas de administração falsas, feed de assinaturas, atualizações e suporte prioritário. Novidades da versão 1.1: alertas de plugins vulneráveis, registro de atividades dos administradores, suporte à Cloudflare e importação e exportação das configurações. Novidade da versão 1.2: a proteção contra hotlink de imagens. Novidade: o acompanhamento das atualizações de todos os seus sites na sua área do cliente. Também novos: o controle de rastreadores de IA, o painel para agências e as atualizações do catálogo de plugins camuflados entre duas versões. O comparativo item por item.

O que não muda

• A aparência do site: tema, textos e páginas continuam idênticos para os seus visitantes.
• Seus arquivos: as pastas físicas não são movidas e o núcleo do WordPress não é modificado.
• Seu painel de administração: quando você está logado, vê o site sem camuflagem; o Painel funciona como antes.
• A configuração do seu servidor: o plugin sugere as regras a copiar e nunca altera sozinho a configuração do Nginx. A única exceção, a proteção contra hotlink (Pro, desativada por padrão), grava o próprio bloco no .htaccess no Apache e no LiteSpeed, verifica esse bloco e o remove assim que você a desativa.