O endereço de entrada do WordPress é o mesmo em todos os sites do mundo: /wp-admin e /wp-login.php. Isso quer dizer que qualquer varredor automático sabe onde bater no seu site sem ter de procurar — e bate, dia e noite, em todos os sites que encontra.
Na maior parte dos casos não passa disso. Mas basta uma senha fraca para deixar de ser ruído e passar a ser um problema. Há três coisas a fazer, por ordem de efeito.
1. Antes de tudo: a senha e a segunda etapa
Nenhum truque abaixo substitui isto. Se a senha de administrador for adivinhável, esconder a porta só atrasa quem está a tentar.
| 1 |
Apague o utilizador «admin» se ainda existir. Metade das tentativas que um site recebe usa exactamente esse nome. Crie um administrador novo com outro nome, e remova o antigo passando os conteúdos para o novo.
|
|
| 2 |
Senha longa e só deste site. Uma frase de cinco palavras vale mais do que oito caracteres com símbolos, e não se repete no e-mail nem em mais lado nenhum.
|
|
| 4 |
Uma conta por pessoa, e com o papel certo. Quem só escreve artigos não precisa de ser administrador. E quando alguém sai, apaga-se a conta.
|
|
2. Mudar o endereço de entrada
Não é segurança a sério — é limpeza. Ao mudar /wp-login.php para um endereço que só você sabe, os varredores automáticos deixam de acertar, e o site deixa de gastar recursos a responder-lhes. Em sites com muito ruído, nota-se até na velocidade.
Faz-se com um plugin dedicado a isso, e a mudança é imediata.
|
Guarde o endereço novo antes de gravar. Assim que gravar, o antigo deixa de funcionar. Se fechar a janela sem ter apontado o novo, fica fora do seu próprio site — e a saída é desactivar o plugin pelo Gestor de Ficheiros, mudando o nome da pasta dele. Escreva o endereço novo antes de clicar em guardar.
|
3. Pôr uma senha antes da senha
Esta é a mais eficaz das três, e é do cPanel e não do WordPress: proteger a pasta wp-admin com senha ao nível do servidor. Quem chegar lá tem de passar uma caixa do navegador antes de o WordPress sequer arrancar — ou seja, as tentativas nem chegam a consumir PHP.
| 1 |
No cPanel, abra Directory Privacy (Privacidade de Directórios).
|
|
| 2 |
Navegue até à pasta public_html/wp-admin e escolha protegê-la.
|
|
| 3 |
Crie um utilizador e uma senha — diferentes dos do WordPress — e guarde.
|
|
|
Duas coisas partem com isto, e têm arranjo. O ficheiro admin-ajax.php vive dentro do wp-admin e é usado por plugins no lado público do site — formulários, carrinhos, filtros. Protegido, esses deixam de funcionar. A solução é abrir excepção para esse ficheiro no .htaccess que o cPanel criou. Se depois disto o site começar a dar erros estranhos, erros comuns do WordPress ajuda a confirmar que foi isto.
|
Limitar por endereço: só se tiver IP fixo
Dá para deixar entrar apenas alguns endereços e recusar todos os outros. É a protecção mais forte que existe — e a que mais gente fecha fora do próprio site, porque quase ninguém tem endereço fixo: a ligação de casa muda, os dados móveis mudam sempre, e a partir daí não entra nem você.
Só vale a pena se trabalha sempre do mesmo escritório com endereço fixo contratado. Se se fechar fora, tira-se a regra pelo Gestor de Ficheiros — e sobre o mecanismo, ver porque é que o seu IP é bloqueado.
E o resto do site
Proteger a porta não serve de nada com um plugin desactualizado a servir de entrada pelas traseiras. As actualizações continuam a ser a primeira defesa — ver o que fazemos pela segurança e o que fica do seu lado. Se não consegue entrar no painel neste momento, a causa costuma ser outra: não consigo entrar no painel do WordPress.
|
Quer que vejamos consigo as tentativas de entrada no seu site?
Falar connosco
|
Angola
Brasil
Kenya
Moçambique
Nigeria
Portugal
South Africa
United Kingdom
United States
International
