Resposta rápida: a maioria dos sites WordPress é invadida por plugins desatualizados e senhas fracas ou vazadas, não pelo WordPress em si. Segundo o relatório 2026 da Patchstack citado por pesquisadores de segurança, cerca de 91% das vulnerabilidades divulgadas em 2025 estavam em plugins, 9% em temas e menos de 1% no núcleo do WordPress. Por isso, o que mais protege é simples: manter tudo atualizado, apagar plugins sem uso, usar senhas fortes com verificação em duas etapas, guardar backups fora do servidor e ter um plugin de segurança ou firewall confiável.
De onde vêm as vulnerabilidades
| Origem | Parcela das vulnerabilidades (2025) |
|---|---|
| Plugins | ~91% |
| Temas | ~9% |
| Núcleo do WordPress | Menos de 1% |
Números da Patchstack 2026, conforme guias de segurança. O mesmo estudo mostra que algumas falhas são exploradas em massa poucas horas depois de divulgadas: por isso atualizar rápido faz diferença.
Os 15 passos
1. Atualize WordPress, plugins e temas
Atualizações corrigem falhas conhecidas. Ative as atualizações automáticas das versões menores do núcleo e dos plugins confiáveis e confira a tela de Atualizações toda semana. Faça backup antes das grandes atualizações.
2. Apague plugins e temas que não usa
Plugin desativado ainda pode ter arquivos vulneráveis. Se não precisa, apague. Deixe um tema padrão de reserva e remova o resto.
3. Instale só plugins confiáveis
Antes de instalar, veja a data da última atualização, as instalações ativas, as avaliações e se o desenvolvedor responde no suporte. Fuja de plugins premium “nulled” (piratas): muitas vezes vêm com malware.
4. Use senhas fortes e únicas
Use um gerenciador de senhas para criar senhas longas e aleatórias para cada conta de administrador, hospedagem, FTP e banco de dados.
5. Ative a verificação em duas etapas (2FA)
A 2FA bloqueia a maioria dos ataques com senha vazada. Ative para todos os administradores e editores com um plugin de segurança ou de 2FA.
6. Limite as tentativas de login
Bloqueie ou atrase tentativas repetidas para frear robôs de força bruta. Muitos plugins e hospedagens já têm isso.
7. Use um firewall de aplicação web (WAF)
Um firewall filtra o tráfego malicioso antes que ele chegue ao site, como plugin, na hospedagem ou na nuvem. Alguns oferecem “patch virtual”, que bloqueia ataques conhecidos antes de você atualizar.
8. Guarde backups fora do servidor
Backups são sua rede de proteção. Programe backups diários automáticos guardados em outro lugar que não o servidor e teste uma restauração pelo menos uma vez.
9. Use HTTPS em tudo
Instale um certificado SSL (quase sempre grátis) e confira se todas as páginas abrem em HTTPS.
10. Escolha uma hospedagem segura
Boas hospedagens isolam as contas, usam PHP moderno (recomenda-se 8.3+), procuram malware e ajudam quando algo dá errado. Veja nosso guia da melhor hospedagem para WordPress. Mas não dependa só dela: a maioria dos ataques mira plugins e logins.
11. Dê a cada usuário a função mínima
Nem todo mundo precisa ser Administrador. Use as funções Editor, Autor ou Colaborador e remova contas antigas.
12. Desative a edição de arquivos no painel
Adicione define( 'DISALLOW_FILE_EDIT', true ); ao wp-config.php para que um invasor que entre numa conta não consiga editar o código de temas e plugins pelo painel.
13. Proteja o wp-config.php e as permissões
Permissões seguras comuns: 755 para pastas e 644 para arquivos, com regras mais rígidas para o wp-config.php. A hospedagem pode conferir isso.
14. Acompanhe notícias de vulnerabilidades
Siga bases de vulnerabilidades e os registros de alterações dos seus plugins para saber quando atualizar com urgência.
15. Monitore o site
Use monitoramento de disponibilidade e varreduras de segurança para saber dos problemas antes dos visitantes. Confira Ferramentas → Saúde do site com frequência.
Você precisa de um plugin de segurança?
Um plugin confiável reúne firewall, proteção do login, 2FA, varredura de malware e alertas. Opções conhecidas: Wordfence, Solid Security, Sucuri e Patchstack. Escolha apenas um: vários juntos podem conflitar e deixar o site lento.
Checklist rápido
| Item | Feito? |
|---|---|
| Núcleo, plugins e temas atualizados | ☐ |
| Plugins e temas sem uso apagados | ☐ |
| 2FA em todas as contas de administrador | ☐ |
| Backups diários fora do servidor testados | ☐ |
| HTTPS em todas as páginas | ☐ |
| Firewall ou plugin de segurança ativo | ☐ |
| Edição de arquivos desativada | ☐ |
| PHP 8.3+ no servidor | ☐ |
O que fazer se o site for invadido
- Não entre em pânico nem apague tudo.
- Coloque o site em manutenção ou peça à hospedagem para isolá-lo.
- Troque todas as senhas: usuários do WordPress, hospedagem, FTP/SFTP e banco de dados.
- Restaure um backup limpo de antes da invasão, se tiver.
- Atualize tudo e remova plugins, temas e administradores desconhecidos.
- Faça uma varredura com uma ferramenta de segurança ou contrate um serviço de limpeza.
- Se o Google mostrar um aviso, peça uma revisão no Search Console depois da limpeza.
- Comunique o incidente, se for o caso: pela LGPD, um incidente de segurança com dados pessoais que possa causar risco ou dano relevante aos titulares deve ser comunicado à ANPD e às pessoas afetadas; o regulamento da ANPD fixa prazo de três dias úteis.
A camada esquecida: o servidor
A segurança também depende do software do servidor: sistema operacional, servidor web e PHP. Em outubro de 2026, duas falhas críticas do PHP chamadas PHP2Shell permitiram executar código em servidores sem correção, sem precisar entrar no WordPress. Atualizar plugins não adiantava: só uma versão corrigida do PHP. Confira a sua em Ferramentas → Saúde do site → Informação → Servidor.
Um caso real
O site de uma pequena ONG começou a redirecionar visitantes para uma página falsa de prêmios. Motivo: um plugin de formulário sem atualização havia oito meses, com falha conhecida. A ONG restaurou um backup limpo, atualizou tudo, removeu quatro plugins sem uso, ativou a 2FA e colocou um firewall. Desde então, um voluntário dedica 15 minutos por semana a conferir atualizações e backups.
Crie uma rotina semanal
Uma vez por semana, aplique atualizações, confira o backup da noite anterior e veja os alertas. Uma vez por mês, revise usuários e plugins. A cada trimestre, teste uma restauração.
Perguntas frequentes
O WordPress é seguro?
O núcleo é bem mantido e muito seguro. A maioria dos problemas vem de plugins desatualizados, senhas fracas e hospedagem ruim.
Preciso de um plugin de segurança pago?
Nem sempre. Versões gratuitas e bons hábitos protegem a maioria dos sites pequenos.
Devo esconder a página de login?
Isso reduz o barulho dos robôs, mas 2FA e senhas fortes importam muito mais.
Onde estão as recomendações oficiais?
No guia Hardening WordPress do WordPress.org (em inglês).
Conclusão
Segurança é, acima de tudo, hábito: atualize, apague o que não usa, ative a 2FA e faça backup. E se uma atualização der problema, veja como resolver o erro crítico do WordPress.
O WordPressPrime.com é um guia independente e não tem ligação com a WordPress Foundation, o WordPress.org ou a Automattic. Faça sempre um backup do seu site antes de qualquer alteração e consulte as fontes oficiais para ver as informações mais recentes.