Base de Conhecimento

O endereço de entrada do WordPress é o mesmo em todos os sites do mundo: /wp-admin e /wp-login.php. Isso quer dizer que qualquer varredor automático sabe onde bater sem ter de procurar, e bate, de dia e de noite, em todos os sites que encontra.

Na maior parte das vezes não passa disso. Mas basta uma senha fraca para deixar de ser ruído e passar a problema. Há três coisas a fazer na entrada, por ordem de efeito, e depois há o resto do site, que é por onde eles entram de verdade.

Antes dos três passos: o que já está ligado do nosso lado

Vale a pena saber o que já tem, para não instalar três plugins a fazer o que o servidor já faz:

1. Antes de tudo: a senha e o segundo passo

Nenhum dos truques abaixo substitui isto. Se a senha de administrador for adivinhável, esconder a porta apenas atrasa quem está a tentar.

2. Mudar o endereço de entrada

Isto não é segurança a sério: é arrumação. Mudar o /wp-login.php para um endereço que só você conhece faz com que os varredores automáticos deixem de lhe bater, e o site deixa de gastar recursos a responder-lhes. Em sites com muito ruído chega a ver-se na velocidade.

Faz-se com um plugin feito para isso, e a mudança é imediata. O passo a passo, e o que parte, está em mudar o endereço de entrada no painel. Para as tentativas que passam pelo formulário, pôr um captcha na entrada.

3. Uma senha antes da senha

Este é o mais eficaz dos três, e pertence ao cPanel e não ao WordPress: proteger a pasta wp-admin com uma senha ao nível do servidor. Quem chega tem de passar uma caixa do navegador antes de o WordPress sequer arrancar, o que significa que as tentativas nunca chegam a consumir PHP.

Restringir por endereço: só com IP fixo

Dá para permitir apenas alguns endereços e recusar todos os outros. É a protecção mais forte que existe, e a que mais gente tranca fora do próprio site, porque quase ninguém tem endereço fixo: as ligações de casa mudam, os dados móveis mudam sempre, e a partir daí nem você entra.

Só vale a pena se trabalha sempre do mesmo escritório, com endereço fixo contratado. Se se trancar fora, a regra tira-se pelo Gestor de Ficheiros, e para perceber o mecanismo veja porque é que o seu IP é bloqueado.

Actualizações: a defesa que conta mais do que todas as outras

Vale a pena dizer sem rodeios: a esmagadora maioria dos sites invadidos que vemos não foi invadida pela porta da entrada. Foi por um plugin desactualizado. Uma falha publicada é explorada por varredores automáticos em poucos dias.

Ficheiros e permissões

Esta parte quase nunca se vê e é das que mais fecha portas. Faz-se uma vez.

O xmlrpc.php, que ninguém usa e toda a gente tem

É uma porta antiga do WordPress, anterior à API actual, e é a preferida de quem tenta senhas em massa: permite experimentar muitas de uma só vez, num pedido, sem passar pelo formulário de entrada. Um captcha na entrada não lhe faz nada.

Se não usa a aplicação móvel do WordPress, nem Jetpack, nem publicação remota, pode fechá-la. Faz-se com um plugin de segurança, ou com uma regra no .htaccess da raiz do site. Se usa alguma dessas coisas, deixe-a aberta e limite as tentativas em vez de a fechar.

E se já aconteceu

Não comece por apagar ficheiros. Comece por perceber se o site foi mesmo comprometido e siga depois para como limpar um site comprometido. E diga-nos: conseguimos ler o registo do servidor e dizer por onde entraram, o que evita que voltem pela mesma porta.

Se neste momento nem consegue entrar no painel, a causa costuma ser outra: não consigo entrar no painel do WordPress.