Segurança de Sites em 2026: como verificar vulnerabilidades e proteger seu site
Como saber se seu site foi hackeado ou infectado, as principais formas de invasão no WordPress e como verificar vulnerabilidades e malware em um minuto. Checklist de proteção passo a passo + um scanner gratuito.
Dezenas de sites são hackeados a cada minuto. A maioria dos donos descobre por último: quando o site já está marcado como "perigoso" no Google, os e-mails caem no spam e as páginas se enchem de links de terceiros para cassinos e farmácias. Segundo várias estimativas, até 40% de todos os sites rodam em WordPress, e eles são o alvo número um de ataques automatizados. Este guia explica como os sites são hackeados, como saber se você já está infectado e como escanear e proteger seu site em minutos.
Por que sites são hackeados e por que o WordPress é o alvo nº 1
A invasão de um site é quase sempre automatizada. Bots varrem a internet 24 horas por dia atrás de falhas conhecidas: um plugin antigo com brecha, um arquivo .env esquecido com senhas, um xmlrpc.php ativado, uma senha de administrador fraca. Quando encontram uma correspondência, o site é infectado sem nenhuma pessoa envolvida.
O WordPress sofre mais por três motivos:
- Plugins e temas. Um site comum tem de 15 a 30 deles, e cada um é uma possível brecha. Basta um plugin sem atualizar.
- Escala. Uma falha em um plugin popular significa milhões de sites vulneráveis que valem um ataque em massa.
- Negligência. O site foi criado e esquecido: sem atualizações, sem backups, sem ninguém cuidando da segurança.
7 sinais de que seu site já está infectado
A infecção raramente é óbvia: o código malicioso se esconde de propósito. Fique atento se notar pelo menos um destes sinais:
- Spam de SEO na busca. O Google mostra páginas sobre cassinos, empréstimos, réplicas ou "viagra" que você nunca criou.
- Redirecionamentos. O site envia os visitantes (principalmente no celular ou vindos da busca) para um recurso externo.
- Aviso do Google. "Este site pode prejudicar seu computador" ou um alerta no navegador.
- E-mails vão para o spam. O domínio entrou em uma lista de bloqueio por enviar spam a partir do site hackeado.
- Novos administradores. Apareceram no painel de administração usuários que você não criou.
- Queda de posições e de tráfego. Uma queda repentina na busca sem motivo claro.
- Arquivos desconhecidos. Arquivos
.phpestranhos apareceram na raiz do site ou na pasta de uploads.
As formas mais comuns de invasão de sites
Conhecer as brechas típicas ajuda a eliminar 90% do risco. Estes são os principais vetores:
1. Plugins, temas e versão do CMS desatualizados
A causa mais comum. Milhares de plugins têm vulnerabilidades publicamente conhecidas (CVE) com exploits prontos. Um perigo à parte são os plugins removidos do repositório WordPress.org por uma falha não corrigida: eles não recebem mais atualizações, mas continuam instalados nos sites.
2. Cabeçalhos de segurança fracos e configurações de servidor
A ausência de HSTS, Content-Security-Policy, X-Frame-Options e de proteção de cookies abre caminho para sequestro de sessão, clickjacking e XSS.
3. Arquivos de serviço expostos
.git, .env, backups (backup.sql, wp-config.php.bak), phpinfo.php e chaves de nuvem (.aws/credentials) acessíveis publicamente são um passo a passo pronto para os invasores.
4. Senhas fracas, login de administrador padrão e XML-RPC aberto
O login admin + uma senha fraca + um xmlrpc.php ativado resultam em um site quebrado em poucas horas. O XML-RPC também é usado para amplificação de DDoS.
5. Injeções, XSS e SSRF
Falhas em formulários e parâmetros permitem que invasores injetem código, roubem dados e acessem serviços internos.
Como escanear seu site em busca de vulnerabilidades e malware
Existem dois tipos de scan, e você precisa dos dois para ter o quadro completo:
| Tipo | O que enxerga | O que NÃO enxerga |
|---|---|---|
| Externo (de fora) | Vulnerabilidades que um invasor vê: cabeçalhos, TLS, arquivos expostos, CVEs de plugins, injeções, spam de SEO | Backdoors ocultos e malware em arquivos e no banco de dados |
| Interno (a partir do servidor) | Web shells, backdoors, código malicioso em arquivos e no banco de dados, integridade do núcleo do CMS | — |
Você pode executar as duas verificações gratuitamente em um minuto com o PromoPilot Shield, um scanner de segurança para sites. Ele executa mais de 40 verificações pela metodologia OWASP, com segurança e sem explorar nada, e dá um veredito claro: "Limpo", "Vulnerabilidades encontradas" ou "Infectado".
Checklist passo a passo para proteger seu site
Mesmo medidas básicas bloqueiam a maioria dos ataques automatizados. Siga a lista:
- HTTPS + HSTS. Todo o tráfego em HTTPS, com o cabeçalho Strict-Transport-Security ativado.
- Atualizações. CMS, plugins e temas sempre atualizados. Exclua os que você não usa.
- Senhas fortes + 2FA. Um login de admin que não seja uma palavra de dicionário (não use
admin), autenticação em dois fatores e limite de tentativas de login. - Cabeçalhos de segurança. CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
- Feche arquivos de serviço. Bloqueie o acesso a
.git,.env, backups,phpinfoe listagem de diretórios. - Permissões de arquivos. Arquivos 0644, diretórios 0755,
wp-config.php0640. Nunca 777. - E-mail. Configure SPF, DKIM e DMARC para que ninguém envie spam em seu nome.
- Backups. Backups automáticos em armazenamento separado + um teste de restauração.
- WAF / proteção. Cloudflare ou similar na frente do site.
- Monitoramento. Novas verificações regulares e alertas sobre novas ameaças.
PromoPilot Shield: verifique e proteja em um minuto
PromoPilot Shield cobre toda a cadeia: de "descobrir o que está errado" a "corrigir". Funciona com WordPress, Joomla, OpenCart e sites personalizados.
- Mais de 40 verificações OWASP: cabeçalhos, TLS, arquivos expostos, vulnerabilidades de CMS (1600+ CVE), SSRF/injeções, spam de SEO, vazamento de chaves, listas de bloqueio.
- Agente no servidor: entra no servidor e caça web shells, backdoors e código malicioso em arquivos e no banco de dados, e verifica a integridade do núcleo do CMS. Somente leitura, não altera nada.
- Veredito claro + relatório de IA: uma nota de A a F, explicação em linguagem simples e um plano de correção passo a passo.
- Correção automática: um snippet pronto de
.htaccessou nginx resolve problemas de configuração na hora. - Monitoramento: novas verificações regulares e alertas por e-mail e Telegram quando surge uma nova ameaça.
🛡️ Verifique seu site gratuitamente
Perguntas frequentes
Como saber se meu site está infectado?
Principais sinais: páginas de spam do seu site na busca, redirecionamentos para recursos externos, um aviso do Google, e-mails indo para o spam, novos administradores e arquivos .php desconhecidos. A resposta precisa vem de uma verificação de dentro para fora: o agente no servidor encontra o código malicioso oculto.
A verificação é segura para o meu site?
Sim. A verificação usa um método seguro e não destrutivo, sem explorar vulnerabilidades. O agente no servidor é somente leitura e não altera nada.
Qual é a diferença entre uma verificação externa e uma verificação no servidor?
A verificação externa enxerga as vulnerabilidades disponíveis para um invasor de fora. A verificação no servidor (o agente) encontra uma infecção que já entrou: backdoors e malware em arquivos e no banco de dados que não são visíveis de fora.
O que fazer se meu site já foi hackeado?
Altere todas as senhas, tire o site do ar ou ative o modo de manutenção, encontre e remova arquivos maliciosos e injeções no banco de dados, atualize o CMS e os plugins, restaure um backup limpo e feche a brecha original.
Quanto custa uma verificação de segurança?
Uma verificação rápida é gratuita. Um relatório completo com CVSS e um plano de correção começa em $19; uma auditoria abrangente com o agente de servidor custa $49.
