O WordPress foi criado em 2003 para ser uma ferramenta de blog pessoal. Na época, era concorrente do Blogger (Google). Era um espaço para postar opiniões, dicas, o cotidiano e artigos sobre os mais variados temas, como hobbies, trabalho ou até mesmo atividades pessoais. De lá para cá, a ferramenta passou por muitas atualizações e expansões. Uma das mais significativas foi a criação de páginas institucionais. A partir de então, tornou-se possível criar um site completo, mas ainda com muitas limitações.
Para suprir as limitações do WordPress e criar sites como os conhecemos, surgiram os temas e plugins. De uma forma bem genérica, o tema é o layout (cores, fontes, espaçamentos) e os plugins são as funcionalidades (formulário de contato, redirecionamentos, banners, botão flutuante do WhatsApp, ferramentas de configuração de SEO etc.). Os temas e plugins são criados por outras pessoas e empresas, fora do WordPress, e ficam disponíveis na “loja de apps” do WordPress, geralmente de graça. É aqui que está um dos maiores problemas de segurança!
A primeira porta de entrada é o servidor de hospedagem. É essencial ter um bom servidor de hospedagem não só para projetos em WordPress, mas para qualquer site ou sistema web. Na dúvida, pergunte a um programador de confiança. Este é um dos menores custos de todo o projeto, então não vale a pena economizar poucos reais e fechar com uma empresa ruim. A GX oferece serviço de hospedagem de altíssimo desempenho e segurança e faz a migração de hospedagem do seu site; entre em contato conosco.
O sistema do WordPress base, ou seja, sem nenhum tema e sem nenhum plugin, oferece boas proteções. Citando algumas, com uma explicação rápida:
Quando um sistema é acessado com login e senha, ele pega as informações digitadas nas caixinhas e as procura no banco de dados. Invasores colocam trechos de código nessas caixinhas e, assim, conseguem o controle do banco de dados (técnica conhecida como SQL Injection). A proteção elimina esses trechos de código, garantindo que nada seja executado no banco de dados. Ponto para o WordPress!
As senhas e outros dados sensíveis são criptografados com cálculos matemáticos e binários cujo resultado é impossível de reverter. É como multiplicar um número por 0 e tentar obter o original dividindo por 0... é impossível. Mais um ponto para o WordPress!
O WordPress também possui outras proteções importantes, mas agora vamos falar das falhas:
O captcha são aqueles desafios para verificar se a pessoa é humana. Isso é importante porque um dos meios mais comuns de invasão no WordPress é o chamado “ataque de força bruta”, em que bots tentam milhares/milhões de logins e senhas até acertar. Se você utiliza o login “admin” e a senha “123456”, você está em primeiro lugar na lista do ataque de força bruta. É importante ter um captcha ou outro recurso para barrar tentativas repetidas muito próximas. Não basta ter um captcha qualquer. Aqueles desafios de digitar as letrinhas ou de selecionar imagens de motos, ônibus, montanhas, hidrantes etc. já não são efetivos nos dias atuais. Qualquer IA no plano grátis consegue resolvê-los, dando assim condições para o bot de força bruta agir. A Gexis desenvolveu um captcha moderno, baseado nos sistemas do TikTok e do Discord, que é fácil para humanos, porém difícil para IA. Basicamente, são imagens diferentes que precisam ficar na mesma direção. Peça uma demonstração.
Este método é extremamente simples e eficaz. Trata-se de colocar um campo oculto (por exemplo, um campo chamado e-mail) para que um bot o preencha. Ao preencher esse campo, o sistema já sabe que se trata de uma tentativa de invasão, pois o campo é invisível para humanos. Básico, simples e efetivo em muitos casos!
Mesmo que, com todas essas travas, o invasor consiga rodar um bot, o sistema deve identificar as tentativas repetidas por meio de ações que seriam impossíveis para um ser humano em um único dispositivo. Os bots costumam disparar centenas ou milhares de tentativas em segundos e, então, conseguimos identificar a tentativa de invasão. Aqui podemos fazer algo para enganar o bot: dar a ele uma tela falsa de "sucesso", o que provavelmente vai cessar o ataque, pois ele acredita que já atingiu o objetivo, mas na realidade é uma tela falsa, sem risco para o sistema.
Os sites e sistemas da GEXIS oferecem todas essas proteções extras e mais! Peça uma demonstração.
São complementos ao WordPress base que oferecem os recursos necessários para a criação de um site. São criados por outros programadores e/ou empresas de diferentes partes do mundo, com objetivos, qualificações e metas próprias. Eles podem ser pagos, gratuitos com limitações de uso ou totalmente gratuitos. Alguém ainda acredita em almoço grátis?
Os temas e plugins têm autorização plena em um site em WordPress. Isso significa que eles podem fazer qualquer tipo de alteração em qualquer parte do site, a qualquer momento, mesmo sem o login e a senha do painel administrativo e mesmo sem o consentimento do programador ou do dono do site. A partir do momento em que você instala um tema ou plugin, o criador tem acesso total.
Ao instalar um tema ou plugin, o círculo de confiança não fica mais apenas entre empresa contratante x programador x hospedagem x WordPress. Aqui são acrescentados novos players: outros programadores x outras empresas x outros servidores de hospedagem x etc. Não é mais 1 programador mexendo no site; são dezenas / centenas / milhares de pessoas ao redor do mundo. O risco aumenta exponencialmente – não é à toa que ano após ano o WordPress é a plataforma mais invadida do mundo em números absolutos e em porcentagem.
Citando os principais riscos:
• Nenhum programador conhece 100% do código que está sendo instalado via tema ou plugin. Alguns trechos, inclusive, ficam nos servidores dos criadores, cujo acesso não é aberto. Então, o programador não pode (não deveria) dar nenhuma garantia de segurança.
• Os criadores podem capturar informações dos clientes, desde dados de navegação até formulários preenchidos com dados pessoais.
• Plugin atualizado NÃO é plugin seguro. Quem decide as atualizações são os criadores dos plugins, de forma independente. Muitas vezes eles desconhecem as vulnerabilidades, mesmo com a versão mais recente instalada. Muitas invasões acontecem via plugins.
• Os plugins podem utilizar o site para promover a si mesmos ou a sites de terceiros. Isso é altamente perigoso caso o Google e outras ferramentas identifiquem que o site promovido é malicioso, pois o seu site também será penalizado por estar vinculado a um site ilegal.
• Geralmente, os temas e plugins envelhecem mal. No ato da entrega, tudo estará funcionando corretamente. À medida que os desenvolvedores lançam atualizações, as integrações com outros temas e plugins vão naturalmente perdendo qualidade e precisão. O site começará a apresentar problemas diversos, sendo necessárias manutenções periódicas.
Se o site já foi comprometido, veja como remover vírus do WordPress e conheça o nosso serviço de remoção de vírus em site.
Depende dos objetivos:
Para um site simples, rápido e barato, com o objetivo de testar a viabilidade de uma empresa ou de lançar algo com urgência, o WordPress pode ser uma excelente opção! Nesse cenário, qualquer economia de tempo e dinheiro é muito relevante e se encaixa no objetivo. Se optar por ele, prefira um programador WordPress que crie um tema próprio e use o mínimo de plugins.
Mas um site em WordPress não se encaixa bem em empresas já consolidadas, de pequeno ou grande porte, sites governamentais, sites com muitas visitas, sites que investem em SEO técnico ou que têm algum sistema integrado. Nesses casos, é melhor partir para uma solução mais robusta, segura e dedicada, como um site institucional em HTML ou um sistema desenvolvido por um programador PHP. A GEXIS tem uma solução; entre em contato conosco.
