O WordPress gere 60% dos websites que utilizam um CMS como motor principal.<\/strong> O WordPress \u00e9 uma ferramenta poderosa<\/a>, n\u00e3o h\u00e1 d\u00favida nisso.<\/p>\n\n Contudo, o facto de o WordPress estar t\u00e3o bem estabelecido no mundo digital (e o simples facto de a grande maioria dos websites do mundo correr nele) tamb\u00e9m o torna uma ferramenta que os hackers atacam frequentemente. <\/p>\n\n Embora n\u00e3o existam sistemas inform\u00e1ticos, websites ou qualquer sistema que seja infal\u00edvel (basta perguntar aos bancos e \u00e0s grandes empresas), na realidade o WordPress \u00e9 bastante seguro se seguir v\u00e1rias regras que o ajudam a manter os ataques sob controlo.<\/strong><\/p>\n\n Existem v\u00e1rias raz\u00f5es para algu\u00e9m querer obter acesso ao ambiente de trabalho ou servidor em que um website est\u00e1 a funcionar, mas h\u00e1 tr\u00eas raz\u00f5es principais para os ataques:<\/p>\n\n Por exemplo, alterando os endere\u00e7os de login ou API’s que utilizamos para rentabilizar o nosso website. <\/p>\n\n Podemos aperceber-nos que algo n\u00e3o est\u00e1 certo quando, ap\u00f3s v\u00e1rios dias sem receber rendimentos, descobrimos que o API, o utilizador ou a conta de rendimentos correntes do nosso sistema de monetiza\u00e7\u00e3o foi alterado.<\/p>\n\n Se for um e-commerce que vende online e numa quebra de seguran\u00e7a conseguirem roubar os n\u00fameros de cart\u00e3o de cr\u00e9dito dos seus clientes, por exemplo, perder\u00e1 credibilidade e a confian\u00e7a dos utilizadores no seu website. Se a fuga de dados for grande e\/ou muito sens\u00edvel, poder\u00e1 mesmo ter problemas legais. <\/p>\n\n Os dados de registo do utilizador, no caso, por exemplo, de websites que rentabilizam as suas newsletters e necessitam que o utilizador se registe para as enviar (nomes, dados pessoais, l\u00edngua, endere\u00e7o electr\u00f3nico…) s\u00e3o um peda\u00e7o muito valioso sob a forma de uma base de dados que vale a pena o esfor\u00e7o.<\/p>\n\n O Google penaliza os websites que n\u00e3o funcionam corretamente ou que violam as diretrizes de conte\u00fado e qualidade<\/a> estabelecidas pela empresa.<\/p>\n\n Fazer jogo sujo contra um concorrente obtendo acesso ao seu website de forma fraudulenta para “maltrat\u00e1-lo” adicionando links de spam, criando p\u00e1ginas de baixa qualidade ou excluindo URLs <\/strong>de forma massiva\u00a0que acabar\u00e3o inundando o website com erros 404 com a estrat\u00e9gia de fazer o Google acreditar que \u00e9 um website de baixa qualidade.<\/p>\n\n Se a confus\u00e3o n\u00e3o for resolvida a tempo, o Google penalizar\u00e1 o website, o website cair\u00e1 no SERPS, perder\u00e1 visibilidade e a empresa atacante ter\u00e1 um concorrente a menos.<\/p>\n\n Embora o WordPress fa\u00e7a o seu melhor para evitar que o nosso website seja enviado para o cemit\u00e9rio, tamb\u00e9m podemos fazer a nossa parte para dificultar quem o deseja fazer. <\/p>\n\n Se quiser evitar desgostos e sobressaltos de ter o seu WordPress pirateado, comece a trabalhar nas seguintes tarefas que menciono abaixo. <\/p>\n\n Uma palavra-passe n\u00e3o \u00e9 segura por ser mais longa ou ter mais ou menos caracteres, mas devido a uma combina\u00e7\u00e3o de ambos. <\/p>\n\n Dado a capacidade de processamento dos computadores atuais (cerca de 8.000 milh\u00f5es de c\u00e1lculos por segundo) uma palavra-passe s\u00f3 pode ser considerada segura contra ataques de for\u00e7a bruta se tiver mais de 20 caracteres e incluir min\u00fasculas, mai\u00fasculas, n\u00fameros, s\u00edmbolos especiais e se estes forem combinados de forma aleat\u00f3ria.<\/strong><\/p>\n\n Neste artigo explico como conceber palavras-passe fortes e seguras<\/a> e como gerir um grande n\u00famero de palavras-passe incontest\u00e1veis sem enlouquecer ou ter de as escrever numa folha de excel.<\/p>\n\n Exato: Passar tempo a gerar boas palavras-passe e depois col\u00e1-las numa folha de excel? N\u00e3o me parece uma muito boa ideia.<\/p>\n\n As atualiza\u00e7\u00f5es n\u00e3o s\u00e3o meros caprichos concebidos para acrescentar mais funcionalidade a um theme<\/em> ou plugin. Tamb\u00e9m corrigem buracos de seguran\u00e7a que podem comprometer a\u00a0estabilidade de um website.<\/p>\n\n Ter o nosso WordPress, theme e plugins desactualizados significa ganhar n\u00fameros para ter um website inst\u00e1vel e mais propenso a ataques. <\/p>\n\n O endere\u00e7o de login padr\u00e3o para todo o WordPress a n\u00edvel mundial \u00e9 nomedowebsite.com\/wp-admin<\/span> o \/wp-login<\/span>. \r\nAssim, se sabe que um website \u00e9 um WordPress, pode verificar se os administradores alteraram esse endere\u00e7o de acesso adicionando \/wp-admin o \/wp-login a la URL inicial*. <\/p>\r\n\n *Pode verificar se um website funciona com WordPress em menos de um minuto, analisando o seu c\u00f3digo fonte ou passando o URL por uma ferramenta tipo WhatCMS<\/a>).<\/em><\/p>\n\n A prop\u00f3sito: como podem ver, o endere\u00e7o de acesso ao meu s\u00edtio web n\u00e3o \u00e9 spagenciaseo.com\/wp-admin, mas outro.<\/em>
\n
\n\ud83d\ude09<\/em><\/p>\n\n Ao alterar o endere\u00e7o de acesso por defeito do nosso WordPress, evitamos de forma directa os chamados ataques de for\u00e7a bruta (testes de palavras-passe aleat\u00f3rias), como veremos na sec\u00e7\u00e3o seguinte.<\/p>\n\n Para alterar o endere\u00e7o de login do WordPress de forma r\u00e1pida e simples, utilizo um plugin muito leve e eficaz: WPS Hide Login<\/a>.<\/p>\n<\/div>\n\n\n\n <\/p>\n<\/div>\n<\/div>\n\n Para alterar o endere\u00e7o de in\u00edcio de sess\u00e3o predefinido, utilizando WPS Hide Login basta introduzir o URL que pretende utilizar como endere\u00e7o de in\u00edcio de sess\u00e3o e dizer ao plugin o que pretende que aconte\u00e7a quando algu\u00e9m quiser aceder ao endere\u00e7o de in\u00edcio de sess\u00e3o predefinido.<\/p>\n\n Se se esquecer do endere\u00e7o de login definido, ter\u00e1 de desativar o plugin atrav\u00e9s dos ficheiros do servidor e o endere\u00e7o de login predefinido do WordPress ser\u00e1 definido novamente.<\/strong><\/p>\n\n Os ataques de for\u00e7a bruta s\u00e3o realizados mediante o m\u00e9todo de tentativa e erro: experi\u00eancias aleat\u00f3rias de palavras-passe at\u00e9 que uma delas esteja correta.<\/strong> Se a senha for fraca, estamos a ganhar pontos para que os atacantes tenham acesso ao nosso website.<\/p>\n\n Se n\u00e3o tivermos alterado o endere\u00e7o padr\u00e3o de acesso do nosso WordPress, como foi explicado na sec\u00e7\u00e3o anterior, os atacantes apenas t\u00eam de apontar os seus robots para a p\u00e1gina de acesso do WordPress e program\u00e1-los para testar as palavras-passe<\/strong> de forma aleat\u00f3ria e ininterrupta.<\/p>\n\n Mas existem formas de evitar que algu\u00e9m experimente palavras-passe sem pausas: os sistemas de anti brute force<\/em><\/p>\n\n Existem plugins leves e eficazes que bloqueiam um endere\u00e7o ip quando este excede o n\u00famero de tentativas de acesso que tenhamos especificado. <\/p>\n\n Eu, tanto utilizo Loginizer<\/a>\u00a0como o WPS Limit Login<\/a> (mesmos desenvolvedores que a WPS Hide Login).<\/p>\n\n Instale um destes sistemas, programe-o correctamente e est\u00e1 feito.<\/p>\n\n Como se pode ver na imagem anterior, em m\u00e9dia h\u00e1 uma ou duas tentativas de login usando uma palavra-passe aleat\u00f3ria a aproximadamente cada 10 minutos (e j\u00e1 vi websites com registos muito piores do que este). Os bots atacam os URLs de login padr\u00e3o do WordPress (e tamb\u00e9m sabem qual \u00e9 o utilizador administrativo, f\u00e1cil de passar pelo id do autor), o que significa que se o alterarmos, evitaremos estes ataques.<\/p>\n\n Na minha experi\u00eancia, todos os WordPress com quem trabalhei (TODOS) s\u00e3o atacados por sistemas de for\u00e7a bruta. Por outras palavras: sempre que coloquei um sistema de registo de ataques por for\u00e7a bruta, acabei sempre por obter dados instant\u00e2neos.<\/strong>
\n
\nPortanto, com efeito: o seu WordPress tamb\u00e9m est\u00e1 provavelmente a sofrer de um sistema automatizado que est\u00e1 a testar as palavras-passe neste preciso momento.<\/p>\n\n Se quiser ir a algo mais profissional e ter um WordPress \u00e0 prova de bombas, pode combinar tudo o que foi dito acima com um sistema de autentica\u00e7\u00e3o de dois fatores ou Two Factor Authentication (2FA).<\/strong><\/p>\n\n Um sistema 2FA \u00e9 o mesmo que o banco faz para confirmar uma transfer\u00eancia: pede-lhe o n\u00famero do cart\u00e3o de coordenadas e pede-lhe tamb\u00e9m o c\u00f3digo que acabou de lhe ser enviado por SMS. <\/p>\n\n Para colocar tudo no seu lugar e resumindo, os ingredientes para um website inseguro s\u00e3o os seguintes:<\/p>\n\n Usar uma palavra-passe fraca, ou pior, usar a mesma palavra-passe fraca para tudo.<\/strong><\/p>\n<\/div>\n\n\n\n N\u00e3o ter o nosso WordPress, themes e plugins devidamente atualizados para a vers\u00e3o mais recente<\/strong><\/p>\n<\/div>\n<\/div>\n\n N\u00e3o alterar o endere\u00e7o de in\u00edcio de sess\u00e3o por defeito do WordPress<\/strong><\/p>\n<\/div>\n\n\n\n N\u00e3o possuir um sistema de rejei\u00e7\u00e3o de ataques por for\u00e7a bruta<\/strong><\/p>\n<\/div>\n<\/div>\n\n Se o nosso website foi pirateado e nos apercebemos disso, temos de desfazer todas as altera\u00e7\u00f5es que os atacantes fizeram aos sistemas. Contudo, isto pode ser um trabalho \u00e1rduo e muitas vezes imposs\u00edvel. Por isso que \u00e9 extremamente importante trabalhar com fornecedores de alojamento competentes<\/strong> que possam dar uma m\u00e3o quando a situa\u00e7\u00e3o se torna dif\u00edcil.<\/p>\n\n Trabalho principalmente com Loading.es, pela simples raz\u00e3o de que oferece um sistema de servi\u00e7o ao cliente eficiente e muito r\u00e1pido, um ambiente de gest\u00e3o de servidores de f\u00e1cil utiliza\u00e7\u00e3o e uma pol\u00edtica de c\u00f3pias de seguran\u00e7a de alta qualidade.<\/p>\n\n
\n\nRaz\u00f5es pelas quais algu\u00e9m quereria atacar o nosso website<\/h2>\n\n
![\"logo](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/hacker.png\")
<\/figure><\/div>\n\nPara obter dinheiro<\/h3>\n\n
Para obter dados<\/h3>\n\n
Para eliminar a concorr\u00eancia<\/h3>\n\n
\n\nProteger o seu WordPress de ataques<\/h2>\n\n
Escolher uma boa palavra-passe<\/h3>\n\n
![\"Como](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/contrasenas-buenas-wordpress.jpg\")
<\/figure><\/div>\n\n
\n\nManter o website actualizado<\/h3>\n\n
\n\nAltere o seu endere\u00e7o de in\u00edcio de sess\u00e3o WordPress<\/h3>\n\n
![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/wps-hide-login-logo.png\"){kind=logo}
<\/figure><\/div>\n\n\n\n![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/wps-hide-login-snapshot.jpg\")
\n\nEvite os ataques de for\u00e7a bruta<\/h3>\n\n
Plugins para evitar os ataques de for\u00e7a bruta<\/h4>\n\n
![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/loginizer-logo.png\"){kind=logo}
![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/wps-limit-login-logo.jpg\"){kind=logo}
![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/loginizer-brute-force-attempts.jpg\")
\n\nImplementar um sistema de autentica\u00e7\u00e3o em duas etapas<\/h3>\n\n
Um resumo do que N\u00c3O deve fazer<\/h3>\n\n
\n\nResolver um desastre<\/h2>\n\n
![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/banner_loading-es150x200_2.png\")
<\/a><\/figure><\/div>\n<\/div>\n<\/div>\n\n![\"\"](\"https:\/\/spagenciaseo.com\/wp-content\/uploads\/2020\/04\/copias-seguridad-disponibles.jpg\")