A segurança de um site WordPress é um pilar fundamental para proteger dados sensíveis, evitar ataques e garantir a integridade da informação. Neste artigo, vamos apresentar boas práticas que você pode aplicar imediatamente ao seu site para reforçar sua proteção, especialmente contra ameaças comuns como injeção de scripts (XSS), sequestro de sessões e exploração de vulnerabilidades em diretórios.
1. Segurança no arquivo robots.txt
O robots.txt orienta os mecanismos de busca sobre o que pode ou não ser indexado. Um arquivo mal configurado pode expor páginas sensíveis.
Exemplo seguro:
Importância: Evita indexação de áreas críticas e ajuda a manter a estrutura interna fora do alcance de bots maliciosos.
2. Cabeçalhos HTTP de segurança via .htaccess
Adicione ao seu .htaccess as seguintes diretivas para melhorar a segurança de navegação:
Importância:
-
X-Frame-Options: evita que seu site seja carregado em iframes (clickjacking). -
X-Content-Type-Options: impede que o navegador adivinhe o tipo de conteúdo. -
Strict-Transport-Security: obriga o uso de HTTPS, fortalecendo a criptografia.
3. Configuração de cookies seguros no wp-config.php
Adicione este trecho ao início do wp-config.php:
Importância: Garante que os cookies de sessão sejam transmitidos apenas via HTTPS, inacessíveis por scripts e com controle de contexto de origem.
4. Desabilitar acesso ao phpMyAdmin
Caso você não utilize o phpMyAdmin, pode bloquear o acesso via .htaccess com:
Ou, simplesmente remova o pacote se estiver instalado via apt:
5. Testes de vulnerabilidade com Nikto
Utilize a ferramenta Nikto no Kali Linux para descobrir falhas comuns no servidor:
Importância: Ajuda a identificar configurações inseguras, diretórios expostos, falhas em headers e muito mais.
Recomendações finais:
-
Mantenha plugins e temas sempre atualizados.
-
Faça backups regulares.
-
Ative autenticação em duas etapas para usuários administrativos.
Se quiser reforçar ainda mais a segurança, considere também utilizar Web Application Firewalls (WAF) como o Cloudflare.