Segurança em WordPress: hardening, plugins, atualizações e proteção de acesso

Plugins e temas são a maior fonte de risco. Instale apenas o necessário, de fontes confiáveis, e remova o que não usa, porque um plugin desativado mas presente ainda pode ser explorável. Mantenha tudo atualizado, incluindo o núcleo, e desconfie de plugins abandonados, que param de receber correções de segurança. Menos plugins significa menos superfície.

Acompanhe vulnerabilidades conhecidas dos plugins que você usa. Quando uma falha crítica é divulgada em um plugin popular, ataques automatizados começam rapidamente, então a velocidade de atualização importa. Habilitar atualizações automáticas para versões menores do núcleo reduz a janela em que uma correção de segurança fica pendente.

Boa parte do endurecimento acontece na configuração e nos arquivos. O wp-config.php guarda credenciais de banco e chaves de segurança, então proteja o acesso direto a ele e ajuste as permissões de arquivo para que apenas o dono leia. Desabilite o editor de temas e plugins pelo painel, para que uma sessão administrativa comprometida não sirva para injetar código diretamente. As chaves e salts de autenticação devem ser valores fortes e, em caso de comprometimento, precisam ser trocadas para invalidar sessões.

// impede editar temas e plugins pelo painel
define('DISALLOW_FILE_EDIT', true);
// força HTTPS no painel administrativo
define('FORCE_SSL_ADMIN', true);
// aplica atualizações menores do núcleo automaticamente
define('WP_AUTO_UPDATE_CORE', 'minor');

No servidor web, dois ajustes têm alto retorno. Impedir a execução de PHP no diretório de uploads corta um dos caminhos mais comuns de persistência, quando um atacante consegue subir um arquivo e tenta executá-lo. Bloquear o acesso direto a arquivos sensíveis e ao xmlrpc.php, quando este não é usado, reduz a superfície: o XML-RPC é abusado tanto para amplificar força bruta quanto para ataques de negação de serviço via pingback.

# nega execução de PHP no diretório de uploads
location ~* /wp-content/uploads/.*\.php$ { deny all; }
# protege o wp-config.php de acesso direto
location = /wp-config.php { deny all; }
# bloqueia o xmlrpc.php quando nao e utilizado
location = /xmlrpc.php { deny all; }

Mesmo com hardening, é preciso saber o que fazer quando algo passa. Os sinais típicos de um WordPress comprometido incluem arquivos PHP inesperados no diretório de uploads, contas de administrador desconhecidas, redirecionamentos para sites de terceiros, injeção de conteúdo de spam e alertas de bloqueio pelo navegador ou pelo provedor. Quanto antes esses sinais forem notados, menor o dano.

A resposta não é apenas remover o arquivo malicioso visível, porque backdoors costumam se replicar. O caminho mais seguro é isolar o site, trocar todas as senhas e as chaves e salts do wp-config para invalidar sessões, restaurar a partir de um backup sabidamente limpo e anterior ao comprometimento, e só então atualizar núcleo, plugins e temas antes de recolocar no ar. Revise a lista de usuários, procure tarefas agendadas suspeitas e investigue a causa raiz, em geral um plugin vulnerável, para não repetir o incidente.