Quais são as principais vulnerabilidades do WordPress e como prevenir invasões?

Provavelmente, você está usando o WordPress para criar um site pessoal, comercial ou até mesmo de uma loja – afinal, a plataforma viaja mais de 30 polegadas pela web e é de longe a mais popular.

Por isso, você já deve ter ouvido falar que, assim como qualquer software, o WordPress está propenso a vulnerabilidades de segurança.

De fato, por ser o sistema de gerenciamento de conteúdo mais popular, acaba também sendo alvo preferido de ataques automatizados – é o mesmo que acontece com o sistema operacional Windows, que é mais visado por ser mais popular (em comparação ao macOS, Linux, etc).

Nossa equipe tem notado, nos últimos meses, um aumento expressivo de ataques automatizados (bots) a instalações WordPress de todo tamanho. Isso é um sinal de alerta importante para todo proprietário de site, porque todo cuidado é pouco. A boa notícia é que ações simples podem melhorar substancialmente a segurança do seu site.

Versões antigas do WordPress são um risco certo

Sua versão do WordPress está abaixo da 5.0? Então seu site está exposto a cerca de 135 vulnerabilidades conhecidas e exploradas por hackers. Se seu WordPress está abaixo do 4.0, esse número salta para mais de 400, segundo um conhecido banco de dados de vulnerabilidades.

Lembre que apenas 1 vulnerabilidade já é algo sério e que exige atenção. Dezenas ou centenas, então… é como deixar uma placa de “boas-vindas” para hackers e bots maliciosos…

Felizmente, a solução é simples: mantenha o WordPress sempre atualizado. Como a comunidade de desenvolvedores é grande, vulnerabilidades são corrigidas rapidamente – às vezes em questão de horas após serem descobertas. Para sites bem atualizados, o impacto é mínimo.

Se o seu WordPress está muito desatualizado, faça um bom backup antes de atualizá-lo. Atualizações que saltam muitas versões podem gerar incompatibilidades com temas e plugins que impedem o bom funcionamento do seu site. Um backup permite voltar rapidamente ao estado anterior e avaliar o que deu errado.

Temas e plugins são potenciais portas de entrada para malware e ataques

O WordPress é conhecido por sua enorme quantidade e variedade de temas e plugins, que podem transformar uma simples plataforma em um poderoso site de membros, loja virtual, site corporativo, etc.

A questão é que a maioria desses temas e plugins são desenvolvidos por terceiros, ou seja, não são criados e garantidos pela mesma equipe que desenvolve o WordPress. Isso não é um problema – veja novamente o exemplo do Windows, em que a maioria dos programas não é desenvolvida pela própria Microsoft.

O problema é que nem todos os desenvolvedores de temas e plugins levam segurança a sério ou mantêm seus códigos sempre atualizados.

Mais frequente que não, as vulnerabilidades do WordPress vêm através de plugins com brechas de segurança. Você pode ver uma lista atualizada aqui. Nossa equipe acompanha isso de perto, e todo dia há novas vulnerabilidades reportadas.

Como esses temas e plugins não ganham atualizações frequentes necessariamente (exceto os mais populares e os pelos quais você pagou), a regra de ouro é mantê-los sempre atualizados e, caso estejam em uma lista de vulnerabilidades, desative-o e busque uma alternativa com as mesmas funções.

Se o plugin é premium (ou seja, você pagou por uma licença), procure o desenvolvedor e exija uma solução para o problema de segurança!

Agora… se o plugin é premium e você usa uma licença pirata (também conhecida como “nulled”), atenção: sua situação pode ser ainda mais grave. Não só esses plugins e temas vêm completamente sem garantia e atualizações, mas muitas vezes contêm vírus e brechas de segurança propositais. São inúmeros os casos em que um site vira um “zumbi” digital e passa a veicular anúncios de terceiros porque usa plugins ou temas pirateados.

A regra de ouro ainda prevalece: só instale temas e plugins a partir do instalador de dentro do WordPress ou baixados de desenvolvedores confiáveis (como a sempre excelente Elegant Themes, por exemplo). Não caia na tentação de baixar temas e plugins pirateados. Fazer isso é não apenas dar as boas-vindas a hackers, mas também servir um café e emprestas as chaves de casa. Em bom português: você vai ter problemas.

 

Sua plataforma de hospedagem não se preocupa com segurança

Isso é frequente em hospedagens comuns, que muitas vezes sequer oferecem um certificado SSL (que coloca o https no endereço). O certificado de SSL não é garantia absoluta de segurança, mas apenas o começo. Se você não tem acesso a isso, então provavelmente sua hospedagem não toma outras medidas de segurança fundamentais. Aqui, na HGX, todo site tem acesso a medidas como:

• Certificado de segurança SSL em todos os sites (sem custo extra)
• Defesa contra brute force de login (tentativas em massa para descobrir a senha)
• Scan de malware específico para WordPress
• Firewall de alto desempenho
• Geobloqueio
• Bloqueio de bots e user agents conhecidamente maliciosos
• Defesa contra ataques DDoS (ataque em massa que visa sobrecarregar o servidor até tornar o site indisponível)
• Atualizações automáticas e rápidas do WordPress, temas e plugins
• Backups diários com armazenamento em nuvem externa e retenção de 1 ano completo

Nossa equipe procura complementar esse conjunto (que consideramos básico) com medidas específicas para cada caso. Não existe uma solução pronta que atenda a todos os casos, então personalizamos a segurança para cada cliente, ao mesmo tempo em que isso tudo fica completamente transparente para o administrador do site, sem aumentar a complexidade de uso. Todo o gerenciamento fica a cargo dos especialistas.

Se sua hospedagem não oferece os recursos de segurança acima, peça que eles sejam implementados ou migre seu site para um de nossos planos de hospedagem WordPress (a migração é gratuita e feita por um especialista, sempre).

Vulnerabilidades no WordPress: você deve levar a sério!

Ter o site invadido, transformado em um zumbi digital propagador de vírus ou perder dados não é algo divertido. Ao mesmo tempo, ao contrário do que muitos imaginam, não é uma realidade abstrata ou exclusiva de grandes sites: com os ataques automatizados se proliferando, qualquer instalação do WordPress pode se tornar vítima.

Criação de Sites WordPress: 3 dicas sobre vulnerabilidades do WordPress

Provavelmente, você usará o WordPress para criar um site, comercial ou até mesmo de uma loja; Afinal, a plataforma movimenta mais de 30% na Internet e é de longe a mais popular.

Por isso, você já deve ter ouvido falar que, assim como qualquer software, o WordPress está propenso a vulnerabilidades de segurança.

De fato, por ser o sistema de gerenciamento de conteúdo mais popular, acaba também sendo alvo preferido de ataques automatizados – é o mesmo que acontece com o sistema operacional Windows, que é mais visado por ser mais popular (em comparação ao macOS, Linux, etc).

Nossa equipe tem notado, nos últimos meses, um aumento expressivo de ataques automatizados (bots) a instalações WordPress de todo tamanho. Isso é um sinal de alerta importante para todo proprietário de site, porque todo cuidado é pouco. A boa notícia é que ações simples podem melhorar substancialmente a segurança do seu site.

(mais…)

Como remover vírus do WordPress? Guia Passo a Passo para iniciantes!

Vamos começar este artigo examinando os principais pontos de projetos que sofreram invasões popUnder, malware e até ataques DDoS.

Portanto, antes de começar a visualizar o seu site WordPress, verifique o seguinte para ver se o seu site lista alguns dos seguintes:

• Mais de 1 instalação do WordPress na mesma hospedagem
• WordPress desatualizados
• Plugins piratas
• Temas Piratas
• Arquivos antigos de outras instalações

A partir deste momento, já levantamos como base os motivos de um WordPress adquirir vírus. Sendo assim, elaborei alguns pontos de ações para que você possa iniciar a limpeza do seu site WordPress e fazer com que os malwares desapareçam de uma vez por todas.

1 – Meu WordPress não entra nem no wp-admin, o que fazer?

Este é o maior vilão de todos! Pois, se você não consegue logar no administrador para instalar um plugin e fazer a verificação, como vai iniciar o processo de limpeza? Então, vamos lá… Siga a sequência abaixo e dê o primeiro passo.

1- Entre no FTP e Exclua o diretório wp-admin e wp-includes. Tome cuidado para não deletar o wp-content, pois é onde está todo o conteúdo do seu site, como: temas, plugins, imagens e etc.

2- Exclua agora os principais arquivos do WordPress do diretório principal. Tenha cuidado para não deletar o wp-config.php e nem o php.ini

3 – Feito isso, entre no site do WordPress.org e faça o download da última versão do WordPress . Além disso, descompacte os arquivos

4 – Jogue todos os arquivos do WordPress baixados, para o diretório principal.

Observação: Agora você pode entrar no seu administrador normalmente.  Às vezes, pode ocasionar de o WordPress solicitar a atualização do banco de dados. Sendo assim, é só clicar no botão azul que aparecer e prosseguir com a atualização.

2 – Fazer um scan nos arquivos

Um plugin que eu gosto muito é o Wordfence.

Ele chega a ser melhor que alguns plugins pagos de verificação de malware. A razão disso, é que ele faz a verificação de linhas que foram afetadas pelo malware, assim você terá uma noção geral de qual arquivo está e em que linha se encontra o código.

Com este scan você verá quais são os arquivos infectados e poderá remover as linhas afetadas.

3 – Plugins e temas piratas

Os plugins e temas piratas são os maiores vilões de invasões de WordPress.  Isso acontece pelo fato de que os temas baixados possuem backdoor, o que é muito utilizado para conseguir injetar arquivos e fazer com que tenham acesso ao seu diretório. Conseguindo assim, implementar anúncios PopUnder e lucrar com o seu tráfego.

Dessa forma, ele ganhará dinheiro com cada usuário que entrar em seu site e é redirecionado para os anúncios dele.

Um belo exemplo de um arquivo infectado é o famoso “functions.php” do seu tema. Muito utilizado para fazer o comando de criação de arquivos, aqueles que são gerados dentro desses diretórios:

• seu-site/wp-includes/post.php
• seu-site/wp-includes/wp-tmp.php
• seu-site/wp-includes/wp-vcd.php

Foi exatamente por isso, que no começo do tutorial foi pedido para excluir a pasta wp-includes inteira. Isso serve para que você delete todos os arquivos, sem deixar variações para trás e subir tudo novamente com os arquivos originais.

4 – Além do WordPress

Fato é que, quando um vírus infecta um site WordPress com todos os plugins e temas licenciados é meio estranho né!?

Pois bem, isso é muito natural quando se trata de segurança. Afinal, o WordPress é um CMS como tantos disponíveis na internet, e como consequência disso ele precisa de controle, limitações e até mesmo entendimento do script.

Exatamente por essa razão, vou ressaltar alguns pontos muito importantes que farão toda a diferença no entendimento de blindar o seu site WordPress, o que provavelmente é o que você deseja. Certo?!

Esconder o administrador

Utilize um plugin para esconder o wp-admin. Gosto muito do WPS Hide Login pois ele faz com que você personalize a url do administrador, algo como: /gerenciamento, /login etc..

Permissões das pastas

Questione o seu provedor de hospedagem sobre as permissões de pastas do seu WordPress. Faça você mesmo as alterações ou verifique com um profissional especializado, a fim de corrigi-los. Segue abaixo as permissões corretas para o WordPress:

• diretório raiz (700)
• .htaccess (644)
• wp-config.php (644)
• wp-admin (755)
• wp-content (755)
• plugins (755)
• themes (444) ou (555)
• upgrade (755)
• uploads (755)
• wp-includes (755)

Domínio Adicional do Cpanel

Conheci muitos clientes e usuários que utilizavam mais de 05 sites em WordPress utilizando o mesmo diretório public_html. O que acontece é que, se um vírus se instalar em um deles, poderá se espalhar pelo diretório inteiro (que logo vem acompanhado de uma dor de cabeça. Além dos gastos para reverter a situação).

O Google recusa meus anúncios

Quando você faz a primeira limpeza do WordPress é preciso aguardar algum tempo até que o Google faça uma nova verificação. Já ocorreu de o Google alegar que o site continuava com o vírus sendo que havíamos feito a limpeza, acredito que tenha sido algo relacionado à cache da própria plataforma que fez essa verificação.

Com isso, você terá uma visão geral de como evitar, remover e entender o comportamento do vírus. Caso não consiga resolver a situação, entre em contato com a nossa equipe. Estamos à disposição para resolver o seu problema.

Via: NetViber

Melhorias no Site WordPress para qualquer pessoa fazer, confira!

O período de isolamento durante a pandemia afeta diferentes empregos de maneiras diferentes. Embora muitas pessoas não possam trabalhar, à medida que a demanda aumenta, outras ficam sobrecarregadas.

De qualquer forma, muitos profissionais que começam a trabalhar em casa também têm tempo para resolver pequenos problemas em sua vida pessoal e profissional, desde a limpeza da casa até o início de cursos profissionalizantes online.

Após este período conturbado, surgiu a oportunidade de fazer pequenas melhorias fáceis no seu site em WordPress – sim, aquelas pequenas coisas que você sabe que precisa fazer mas nunca encontra tempo para resolver.

Vamos ver algumas sugestões fáceis de implementar e que vão gerar resultados rápidos para o seu site:

(mais…)