Segurança de sites: guia prático para quem administra

Um site seguro depende de mais do que um CMS atualizado ou uma conexão HTTPS. Proteja as contas que o controlam, os sistemas em execução, os dados armazenados e os backups necessários em caso de incidente.

Identifique as responsabilidades antes de alterar configurações

Liste o registrador do domínio, o e-mail administrativo, a hospedagem, o CMS, o serviço de pagamento e o provedor de backup. Registre quem pode alterar cada um e quem ajuda a recuperar o acesso. O domínio e o e-mail podem ser necessários para recuperar o site; proteja-os mesmo quando outra empresa faz a manutenção.

Um serviço gerenciado não inclui automaticamente todos os plugins ou aplicativos que você instala. Confira o contrato e mantenha um contato definido para incidentes urgentes.

Proteja as contas que permitem assumir o controle do site

• Use senhas exclusivas, um gerenciador de senhas confiável e autenticação multifator nas contas de e-mail, domínio, hospedagem, CMS e backup. Quando disponíveis, prefira opções resistentes a phishing, como chaves de segurança ou passkeys.
• Crie contas individuais, em vez de compartilhar o login de administrador. Dê a editores e prestadores apenas as permissões necessárias e retire o acesso ao fim do trabalho.
• Guarde códigos e métodos de recuperação em local seguro, separado da conta. Confira o procedimento de recuperação sem bloquear o acesso do administrador.
• Revise e-mails de recuperação, sessões ativas, aplicativos conectados e credenciais de API. Uma integração pode manter o acesso indevido mesmo após a troca da senha.

A verificação em duas etapas exige que o titular cadastre seu próprio método. Não envie senhas, códigos temporários ou códigos de recuperação a atendentes ou a quem fizer contato sem solicitação.

Referência: FIDO Alliance: passkeys e autenticação resistente a phishing.

Atualize o CMS, as extensões e o ambiente de execução separadamente

Faça um inventário do sistema operacional, CMS, temas, plugins, bibliotecas e ambientes de execução. Inclua domínios estacionados, sites de teste, formulários antigos e tarefas agendadas. A mensagem “atualizado” do WordPress não comprova que o PHP do servidor recebeu a correção.

Priorize correções aplicáveis a componentes expostos. Tenha um backup utilizável, confira a compatibilidade em um ambiente de teste restrito e combine a reinicialização ou recarga necessária com o responsável. Depois, confirme a versão que realmente atende às requisições e teste as funções importantes.

Obtenha atualizações do distribuidor oficial ou do repositório com suporte do sistema operacional. O fornecedor pode incorporar a correção a um pacote com número aparentemente antigo, por meio de backport. Confira o comunicado do pacote e a CVE correspondente. Ocultar a versão ou acrescentar uma regra ao WAF não corrige o ambiente de execução.

Consulte os avisos de vulnerabilidade do PHP e a lista de atualização →

Limite os dados expostos por formulários, arquivos e contas

Colete apenas as informações necessárias ao serviço e defina o prazo de retenção. Restrinja o acesso no servidor; esconder um botão ou usar uma URL longa não protege um arquivo. Verifique o que um visitante sem login, um cliente comum e um administrador conseguem acessar.

Mantenha exportações de banco de dados, backups, configurações e arquivos privados fora das áreas públicas de download. A equipe de desenvolvimento deve validar uploads, limitar tamanho e tipo, impedir a execução dos arquivos enviados e verificar a autorização em cada requisição. Não coloque dados reais de clientes em um site de teste aberto.

Referências técnicas: autorização na OWASP e segurança de uploads.

WAF, HTTPS e proteção contra DDoS têm funções diferentes

Teste regras de proteção com login, formulários, pagamentos, busca, uploads e integrações autorizadas. Só crie uma exceção restrita depois de identificar a requisição bloqueada. Não desative todo o WAF nem bloqueie países ou redes compartilhadas apenas porque o tráfego aumentou.

Inclua anúncios e serviços conectados na revisão

Registre quem controla ferramentas de análise, publicidade, chat, pagamentos, gerenciadores de tags e outros scripts externos. Proteja essas contas, retire integrações obsoletas e revise alterações. Um script incluído no site pode afetar visitantes sem que o código do seu aplicativo tenha mudado.

Implemente políticas de segurança do navegador com a equipe de desenvolvimento. Uma política rígida sem testes pode impedir pagamentos, login, publicidade ou controles de consentimento. Revise as origens necessárias e teste em um fluxo adequado de relatórios ou em um ambiente de homologação antes de impor bloqueios.

Referência: OWASP: gerenciamento de JavaScript de terceiros.

Restaure o serviço sem restaurar também o invasor

Faça backup dos arquivos, do banco de dados e das configurações necessárias para reconstruir o serviço. Mantenha uma cópia protegida fora da conta de produção, restrinja a exclusão de backups e confira se a rotina está concluindo. O controle da produção não deve permitir apagar automaticamente todas as cópias de recuperação.

Teste a restauração em ambiente isolado. Registre a quantidade de dados que poderia perder entre cópias e o tempo de recuperação. Após uma suspeita de invasão, identifique um ponto confiável e feche a forma de entrada antes de restaurar. Um teste bem-sucedido não comprova que o backup mais recente esteja limpo.

Referência: CISA: prevenção e resposta a ransomware.

Diante de uma suspeita de invasão, contenha o incidente e preserve evidências

1. Acione a equipe responsável. Informe à hospedagem ou à equipe de resposta o domínio, o fuso horário, os sintomas, as capturas e as mudanças recentes. Use um contato conhecido.
2. Contenha o sistema afetado. Peça à equipe que restrinja o acesso ou isole o serviço, preservando registros e cópias relevantes. Coordene o impacto sobre clientes e atividades da empresa.
3. Não destrua evidências. Evite exclusões em massa, redefinições repetidas e restaurações sobre a única evidência disponível. Preserve horários, logs de acesso, alterações de contas e mensagens do provedor com segurança.
4. Recupere por um ambiente confiável. Avalie contas, sessões, tokens de API e sistemas conectados, além dos arquivos. Troque os segredos afetados e revogue acessos indevidos conforme o plano de resposta; valide o serviço limpo antes de reabri-lo.
5. Avalie rapidamente a necessidade de comunicar o incidente. Peça ao responsável por privacidade ou à assessoria jurídica que determine quais autoridades e pessoas devem ser informadas. Países, setor e fatos definem os requisitos; não existe um prazo único de comunicação válido no mundo inteiro.

Em uma falha do provedor sem indícios de invasão, compare primeiro o serviço, a região e o erro na página de falhas ou no monitor de status. A ausência de um aviso não comprova que seu site esteja seguro.

Mantenha uma lista curta com responsável e comprovantes

Mensagem para a hospedagem ou equipe de manutenção

Confirme quais ambientes de execução e pacotes atendem este domínio, se as correções de segurança pertinentes foram aplicadas e quem cuida das atualizações pendentes. Inclua os sites de teste e as tarefas agendadas. Informe o plano de atualização ou contenção, os procedimentos de backup e reversão e os resultados dos testes de login, formulários, pagamentos e integrações.

Mais orientações: segurança do WordPress e recursos da CISA para pequenas e médias empresas.