'/%3E%3C/svg%3E){kind=small}
PHP2Shell: a falha que esteve 14 anos no PHP e foi encontrada por uma IA
O código tinha 14 anos. A falha foi encontrada por uma IA em agosto. Só soubemos na terça-feira.
Na terça-feira à noite, sites e serviços começaram a desaparecer. Não por estarem a ser atacados — por precaução. Duas vulnerabilidades críticas no PHP, identificadas como CVE-2026-109618 e CVE-2026-109619 e conhecidas em conjunto como PHP2Shell, obrigaram agências governamentais em vários países europeus a retirar sites do ar enquanto se preparavam as correções.
Ambas têm pontuação de 9,2 em 10 no CVSS v4.0 e permitem execução remota de código sem autenticação. Um atacante não precisa de conta nem de palavra-passe: um único pedido pode correr código no servidor antes de qualquer linha do seu site ser executada.
O que é o PHP e porque isto importa tanto
O PHP é uma linguagem de programação com mais de 30 anos, usada em cerca de 70% dos sites do mundo. WordPress, Drupal, Joomla, Magento e Laravel assentam todos nela. Quando a falha está no PHP, não está num plugin nem num tema: está na fundação que sustenta o site inteiro.
Segundo a PHP Foundation, os problemas estão nas partes do PHP que são acionadas em praticamente todos os pedidos — a gestão de memória e o tratamento de erros. É por isso que a exposição é tão vasta e por isso a correção não podia esperar.
Como funciona a falha
- Corrupção na gestão de memória. Quando um pedido excede o
memory_limit, o PHP aborta-o de forma abrupta. Se isso acontecer a meio da leitura de um upload, a limpeza pode tratar dados inválidos como válidos e libertar memória que nunca foi inicializada — memória que ainda pode conter dados controlados pelo atacante. - Estado obsoleto entre pedidos. Estruturas internas de um pedido podem sobreviver à memória que as suportava. O pedido seguinte, servido pelo mesmo processo, pode usar esse estado antes de a inicialização normal o repor.
São bugs de motor, não de aplicação: não aparecem em testes funcionais, não dão erro e não deixam rasto nos logs. Segundo a NSA norte-americana, o caminho aberto por estas falhas podia chegar diretamente ao sistema de ficheiros ou à base de dados do servidor.
Então porque só se soube agora, se o código tem 14 anos?
Esta é a pergunta que interessa. Os investigadores reportam versões afetadas desde o PHP 5.4 — código de 2012. Durante 14 anos, a falha esteve lá, invisível.
O que mudou foi o método. A PHP Foundation usou um modelo de linguagem de ponta da Anthropic para analisar o próprio código e inscreveu o PHP no programa Patch the Planet, da OpenAI. Foi assim que as falhas foram encontradas — em meados de agosto de 2026 — em simultâneo com a descoberta independente de um investigador. O que durante anos escapou à revisão humana foi identificado por ferramentas que leem código em escala.
A partir daí, a cronologia explica o resto:
- Agosto: falhas descobertas e comunicadas em privado.
- Correção até 22 de outubro: prazo dado aos fabricantes para prepararem pacotes corrigidos antes da divulgação pública.
- 20 de outubro: torna-se pública a falha. As falhas começam a circular em fóruns e redes sociais.
- 21 de outubro, 13:30 UTC: o PHP publica 8.5.12, 8.4.27, 8.3.36 e 8.2.35. O CERT-EU emite o aviso 2026-018 e o CNCS alerta em Portugal.
- 21 e 22 de outubro: agências europeias tiram sites do ar; a Cloudflare confirma os primeiros ataques e ativa regras de firewall.
Ou seja: não estivemos 14 anos sem saber. Estivemos 14 anos sem que ninguém tivesse encontrado. Quando finalmente alguém encontrou, a informação durou dois dias em segredo.
Atualizar o WordPress não resolve
Vale a pena insistir, porque é o erro mais comum. A correção tem de ser aplicada ao nível do servidor: atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e reiniciar o serviço. É a mesma lógica que defendemos em segurança para lá do HTTPS — há camadas que ficam abaixo do site e que o site não consegue proteger sozinho.
E há um detalhe que engana muita gente: os scanners de dependências não detetam esta falha. O Dependabot e o composer audit dizem que está tudo limpo, porque a vulnerabilidade não vive em nenhum pacote que o projeto declare. Um scan verde não significa um servidor seguro.
O nosso dia: esperar, atualizar e validar
Passámos o dia de ontem exatamente nisto. A parte visível foi curta; a parte invisível foi o dia inteiro.
- Inventário. Descobrir a versão real de cada serviço. A versão que o PHP-FPM usa para servir o site não é necessariamente a que responde no terminal — e é a primeira que conta.
- Espera. O anúncio saiu a 20; as correções, a 21 ao início da tarde. Até lá não havia pacote para instalar. Só monitorização, preparação e um plano B escrito.
- Aplicação. Atualizar os pacotes, reiniciar os serviços PHP e confirmar que o processo em execução é o novo, não o antigo ainda em cache.
- Validação. Abrir cada site, testar formulários, lojas e áreas de cliente. Um servidor atualizado que devolve erros 500 não é um servidor seguro — é uma queda de serviço.
É por isso que ninguém deu por nada: quando o trabalho é bem feito, o resultado é exatamente igual ao de antes. A monitorização que temos montada, de que falámos no artigo sobre o UptimeRobot, serve para saber primeiro; este trabalho serve para não precisar de saber.
Os nossos servidores já estão atualizados
Se o seu site é gerido pela Make It Digital, não tem de fazer nada: os servidores que gerimos já estão a correr uma versão corrigida do PHP.
Não foi um clique. Foi uma noitada de trabalho árduo — inventário de cada serviço, atualização dos pacotes, reinício dos processos PHP e validação site a site — feita enquanto as notícias ainda estavam a ser escritas. No fim, tudo de pé: sem uma página em baixo e sem um cliente a notar.
Os nossos clientes podem estar descansados. Quando esta falha chegou às manchetes, o trabalho já estava feito.
O que deve fazer hoje
- Confirme a versão real de PHP que serve o seu site — não a do terminal, a do serviço web.
- Atualize para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 e reinicie o PHP-FPM.
- Se está em 8.1 ou anterior, migre. O projeto PHP não vai corrigir essas versões; existem apenas correções de código-fonte para 7.4, 8.0 e 8.1, e alguns fornecedores fazem backport.
- Não confie num scan limpo. As ferramentas de análise de dependências não detetam esta falha.
- Valide depois de atualizar. Atualizar sem testar troca um risco de segurança por um problema de disponibilidade.
Em resumo
- Duas falhas críticas no motor do PHP, com execução remota de código sem autenticação.
- O código tinha mais de uma década; o que faltava era alguém — ou algo — que o conseguisse ver.
- A correção é no servidor, não no WordPress.
- Atualizar, reiniciar, validar — e fazer isto antes de haver notícia, não depois.
- Os servidores que gerimos já estão atualizados e validados.
Se não sabe que versão de PHP corre no seu site, essa é a primeira pergunta a responder esta semana.
O orçamento de marketing de 2027 decide-se em novembro. Chegue com números, não com intuições
Em muitas empresas portuguesas, o orçamento de marketing para o ano seguinte é decidido numa reunião de novembro, com uma folha de cálculo aberta e uma pergunta simples: «quanto é que temos para gastar?». É a pergunta errada. A que devia abrir a reunião é outra: «o que é que cada euro nos devolveu este ano?».
Sem essa resposta, o orçamento transforma-se numa negociação de percentagens - mais 10% porque o ano correu bem, menos 15% porque «há que apertar». O problema é que nenhuma das duas decisões tem relação com o que realmente funcionou.
Porque é que o orçamento de 2027 se prepara agora
Outubro é o mês certo para começar. Ainda há tempo para fechar o ano com dados limpos, comparar canais com o mesmo critério e testar uma ou duas hipóteses antes de congelar verbas. Em dezembro, já só se corrigem erros de contabilidade.
Comece por reunir três coisas: o investimento por canal, os resultados atribuídos a cada canal e o valor real de cada lead ou venda. Se o terceiro número não existir, o orçamento vai ser construído sobre areia.
Medir custo por resultado, não custo por canal
É comum ver relatórios que comparam o custo por lead do Google Ads com o custo por clique do Meta, como se fossem a mesma coisa. Não são. O que interessa é quanto custa, em cada canal, trazer um cliente que paga.
- Custo por lead qualificada - não por formulário preenchido.
- Custo por oportunidade - depois de o comercial validar o contacto.
- Custo por cliente - com o ticket médio e o tempo de fecho.
- Receita por euro investido - o único número que sobrevive a uma reunião de administração.
Este exercício muda conversas. Um canal que parece caro por lead pode ser o mais barato por cliente. Outro que enche o formulário pode estar a alimentar o comercial com contactos que nunca vão comprar. Já escrevemos sobre isto em Mais leads ou melhores leads? - e a conclusão mantém-se.
Três perguntas que devem estar na mesa
1. O que é que deixaríamos de fazer se tivéssemos metade do orçamento? A resposta identifica o que é essencial e o que é hábito. Muitas vezes, há verbas que sobrevivem apenas porque ninguém se lembra de as questionar.
2. Onde é que o retorno demora mais de seis meses? SEO, conteúdo e marca são investimentos de prazo longo. Se forem avaliados com a mesma régua das campanhas de resposta direta, vão ser sempre os primeiros a cair - e são precisamente os que sustentam o crescimento seguinte.
3. Quanto é que reservamos para testar? Um orçamento sem margem para experimentação é um orçamento que aposta tudo no que já se sabe. Em 2027, com a pesquisa a mudar de forma e os canais a ficarem mais caros, essa aposta é arriscada. Vale a pena ler o que escrevemos sobre marcas nas respostas da IA.
O erro clássico: cortar no que não se mede
Quando o ano corre mal, corta-se o que é difícil de medir. Branding, conteúdo, relações públicas, comunidade. É um corte fácil de justificar e difícil de contestar. O resultado aparece dois anos depois: menos procura de marca, custo por clique mais alto e uma dependência total de tráfego pago.
A alternativa não é defender tudo. É medir melhor. Se uma ação de marca não tem métricas próprias, crie-as: pesquisa de notoriedade, volume de pesquisa direta, menções, tráfego direto, custo de aquisição ao longo do tempo.
Um exercício simples para novembro
Antes da reunião de orçamento, faça uma tabela com quatro colunas: canal, investimento anual, resultado atribuído e confiança no dado (alta, média, baixa). Depois ordene por resultado e discuta apenas as linhas onde a confiança é baixa. São essas que estão a distorcer a decisão.
O orçamento de 2027 não precisa de ser mais sofisticado. Precisa de ser mais honesto. Se quer chegar a novembro com números que sustentam uma decisão - e não apenas com uma folha de cálculo, fale connosco.
O site caiu às 3h da manhã. Como monitorizamos os servidores com o UptimeRobot
O site caiu às 3h da manhã. Quem é que o descobriu primeiro?
Há uma verdade incómoda na gestão de sites: um servidor em baixo não faz barulho. Não há erro no ecrã do utilizador que nos avise, não há email a chegar à nossa caixa de correio. Simplesmente deixa de haver site - e a primeira pessoa a saber é quase sempre o cliente, ou pior, um cliente que desistiu e foi comprar a outro lado.
É por isso é que na Make It Digital, não confiamos na sorte nem no "depois vemos". Temos monitorização ativa 24 horas por dia. Este artigo explica como usamos o UptimeRobot e, mais importante, como pensamos sobre monitorização - porque a ferramenta é a parte fácil.
Um HTTP 200 não significa que o site está bem
O erro mais comum é assumir que, se o servidor responde "200 OK", está tudo a funcionar. Na prática, é possível devolver 200 e, ao mesmo tempo, mostrar uma página com base de dados em baixo, um carrinho de compras vazio ou um formulário que não grava nada. O código de estado diz que o servidor respondeu — não que o negócio está a funcionar.
Por isso, monitorizamos em várias camadas:
- HTTP/S: confirma que a página responde dentro de um tempo aceitável — a resposta mais básica.
- Keyword: verifica se uma palavra-chave esperada aparece no HTML. Se o texto desaparecer, é sinal de erro mesmo com um 200.
- Porta: vigia portas específicas (SMTP, base de dados, FTP), onde uma falha costuma ser invisível para o visitante.
- Ping: confirma que a máquina está viva, mesmo quando a aplicação está a demorar.
- Cron / Heartbeat: recebe um sinal periódico de tarefas agendadas. Se a tarefa deixa de bater, sabemos — antes que os dados se acumulem errados.
Alertas: nada serve se ninguém os lê
Um alerta que cai numa caixa de correio que ninguém vê é teatro. Configuramos os avisos para canais que as pessoas realmente leem, e definimos uma lógica de escalonamento:
- Alerta por email e Slack para a equipa — imediato.
- SMS para situações críticas, fora de horas, quando o site está mesmo em baixo.
- Confirmação por falsos positivos: um timeout isolado dispara aviso, mas só se repetir é que acorda alguém. Ninguém quer ser chamado às 3h por um blip de rede.
Esta é a mesma lógica de rigor que aplicamos à configuração dos servidores — como já explicámos em segurança para lá do HTTPS: o que não se mede, não se controla.
A status page pública
Usamos também uma página de estado pública. Quando algo falha, o cliente pode ver num relance se o problema é geral ou só da sua conta — sem ter de abrir um ticket nem escrever-nos a perguntar "o site está em baixo para todos?". Poupa tempo a todos e transmite transparência. Num negócio que vive de confiança, isso vale mais do que parece.
Quando o alerta dispara
Um alerta não é um fim — é o início de um processo:
- Confirmar se é real ou falso positivo (verificar de outra rede, outro dispositivo).
- Isolar a causa: carga do servidor, base de dados, certificado expirado ou erro de código.
- Comunicar ao cliente, mesmo que ainda não haja solução — o silêncio é o pior estado.
- Registar o incidente e o que se aprendeu. Um problema repetido deve-se tornar uma melhoria, não um hábito.
Em resumo
- Monitorização não é ver se o site responde — é saber se o negócio continua a funcionar.
- Vários tipos de monitor (HTTP, keyword, porta, cron) cobrem o que um só não vê.
- Alertas só contam se chegarem a alguém que os leia, e no canal certo à hora certa.
- Bem configurado, o sistema é invisível — e é exatamente isso que queremos.
Se não sabe quem é avisado quando o seu site cai — ou se não há ninguém — vale a pena falarmos. A monitorização é um dos alicerces da saúde técnica de um site: quando falha, tudo o resto falha com ela.
O seu cliente já pergunta ao ChatGPT. A sua marca aparece na resposta?
Há cinco anos, a pergunta era «apareço na primeira página do Google?». Hoje, um número crescente de clientes nem chega a abrir o Google. Perguntam diretamente ao ChatGPT, ao Gemini ou ao motor de resposta que tiverem à mão: «qual é a melhor empresa de X em Portugal?». E recebem uma resposta com três ou quatro nomes. Se a sua marca não está entre eles, não perdeu uma posição - desapareceu.
A pesquisa mudou de forma, não de intenção
A intenção continua a ser a mesma: encontrar alguém que resolva um problema. O que mudou foi o intermediário. Em vez de dez links azuis, o cliente recebe uma síntese. Isso tem uma consequência prática e dura: só existe visibilidade para quem é citado, não para quem é apenas indexado.
No mercado português, isto ainda é uma vantagem para quem se mexe cedo. A maioria das PME continua a otimizar como em 2019. Quem perceber agora porque é que os modelos recomendam certas marcas fica com uma janela que não vai durar muito.
Porque é que a IA recomenda umas marcas e não outras
Os modelos não inventam do nada. Constroem a resposta a partir de sinais que conseguem ler e cruzar. Em traços gerais, valorizam:
- Conteúdo claro e factual - páginas que explicam o que faz, para quem e onde, com linguagem direta. Texto vago não dá material para citar.
- Consistência da marca - o mesmo nome, o mesmo posicionamento, as mesmas descrições em site, redes, diretórios e Google Business Profile. Ambiguidade dilui a confiança.
- Autoridade verificável - menções noutros sites, entrevistas, casos de estudo, dados próprios. Ser citado por outro é mais forte do que dizer bem de si mesmo.
- Dados estruturados - schema de organização, serviço, FAQ e reviews. É a forma de dizer às máquinas exatamente o que ali está.
- Sinais de proximidade e língua - conteúdo em português de Portugal, referências locais e provas de operação real no mercado.
O que isto muda no dia a dia de uma campanha
Não substitui o que já fazemos - complementa. O trabalho a sério mantém-se: perceber a intenção, medir resultados e não confundir volume com qualidade. Como escrevi em mais leads ou melhores leads, uma campanha boa é a que traz negócio, não a que traz cliques. A diferença é que agora há uma camada nova: as suas páginas e os seus dados têm de ser legíveis por máquinas, não só apelativas para pessoas.
Na prática, isto significa três coisas concretas para as próximas semanas:
- Reescrever as páginas principais para responderem em frases completas a perguntas reais dos clientes - quem serve, o que resolve, quanto custa em termos gerais, onde opera.
- Criar ou melhorar um FAQ em cada serviço e marcar tudo com schema. É onde os motores de resposta mais vão buscar material.
- Tratar a sua reputação fora do site como activo: diretórios locais completos, avaliações, presença no Google Business Profile e menções em imprensa ou blogs do setor.
Não é magia - é trabalho e consistência
Tal como no tráfego pago, isto «não é um milagre» - é um trabalho contínuo. Ver tráfego pago: uma ferramenta poderosa, mas não um milagre. A visibilidade na IA compra-se com clareza, consistência e provas, e demora. Quem começar agora - com conteúdo honesto, bem estruturado e em português - tem uma vantagem difícil de recuperar depois.
A pergunta a fazer esta semana não é «como é que apareço no ChatGPT?». É antes: «se um cliente me perguntar à máquina, o que é que ela vai dizer sobre nós?». Comece por responder a isso em casa.
O formulário funciona. O email nunca chega: SPF, DKIM e DMARC em 2026
O formulário funciona. O email nunca chega.
Há um problema silencioso que afeta mais negócios portugueses do que se imagina: o formulário de contacto funciona, o cliente clica em "Enviar", o WordPress agradece — e o email nunca chega. Fica no spam, ou desaparece sem deixar rasto.
Em 2026, isto deixou de ser um detalhe. O Gmail e a Microsoft endureceram as regras para quem envia email em nome de um domínio, e quem não as cumpre é filtrado. Não há erro no site. Há apenas silêncio.
Porque é que os seus emails acabam no spam
Os grandes fornecedores de email já não avaliam apenas o conteúdo. Avaliam a autenticação do domínio. Se o seu domínio não provar que autorizou aquele envio, a mensagem é tratada como suspeita — mesmo que seja um orçamento legítimo para um cliente real.
- SPF (Sender Policy Framework): a lista de servidores autorizados a enviar email pela sua conta.
- DKIM (DomainKeys Identified Mail): uma assinatura criptográfica que garante que a mensagem não foi alterada pelo caminho.
- DMARC: a política pública que diz ao mundo o que fazer quando SPF e DKIM falham.
As três falhas mais comuns
- Emails enviados pelo site (formulários, encomendas, notificações) sem DKIM configurado no servidor de envio.
- Registos SPF demasiado longos, que ultrapassam o limite de 10 pesquisas DNS — e falham em silêncio.
- DMARC em modo p=none: recebe relatórios, mas não protege nada. É um boletim meteorológico, não um telhado.
Note-se que isto vive fora do site, no DNS: uma configuração de servidor sólida é a base — como defendemos em segurança para lá do HTTPS — mas o email decide-se noutro sítio.
Como verificar em cinco minutos
- Consulte os registos TXT do domínio e confirme que existem SPF, DKIM e DMARC.
- Envie um email de teste para uma conta Gmail e outra Outlook e veja onde aterra cada um.
- Teste com o Mail Tester: a ferramenta gera um endereço de teste único, você envia um email real do formulário para lá e recebe uma pontuação de 0 a 10 com o diagnóstico — SPF, DKIM, DMARC, conteúdo e listas de bloqueio.
- Ative o DMARC por fases: comece em p=none, monitorize os relatórios, depois passe a quarantine e finalmente a reject.
Se quiser começar pelo mais rápido: o Mail Tester mostra em minutos se o problema é de autenticação ou de reputação. Abaixo de 9/10, há trabalho a corrigir antes de investir mais em captação de contactos.
O que isto significa para o negócio
Um email que não chega é uma venda perdida — e, pior, é invisível. Não há erro no site, não há reclamação do cliente, há apenas negócio que nunca aconteceu. Se o seu site depende de gerar contactos, a autenticação de email deve ter o mesmo rigor que a performance e a segurança. Como já escrevemos, desenvolver em WordPress tem riscos que só se controlam com manutenção e configuração conscientes.
Em resumo
- SPF, DKIM e DMARC são os três pilares da entregabilidade em 2026.
- Mal configurados, fazem o site parecer quebrado sem nunca dar erro.
- Bem configurados, são invisíveis — que é exatamente o que se quer.
Se suspeita que os emails do seu site não estão a chegar, vale a pena testar antes de perder o próximo contacto.
Black Friday 2026: Porque é que o seu desempenho vai falhar (e como evitá-lo)
A Black Friday já não é apenas o "dia das promoções". Em 2026, tornou-se o teste de stress definitivo para a maturidade digital das empresas portuguesas. Todos os anos vemos o mesmo cenário: investimentos massivos em tráfego pago que resultam em sites lentos, carrinhos abandonados e leads de baixa qualidade.
O erro mais comum? Tratar o marketing e a tecnologia como estratégias separadas. Se a sua campanha de anúncios é excelente mas o seu servidor não aguenta o pico de acessos, você não está a investir — está a queimar dinheiro.
O Triângulo da Sobrevivência: Tráfego, Conversão e Infraestrutura
Para que a Black Friday traga resultados reais para o negócio, é preciso alinhar três pilares fundamentais:
- Qualidade sobre Quantidade: Em vez de procurar o menor Custo por Lead (CPL), foque-se na intenção de compra. Como discutimos recentemente em Mais leads ou melhores leads?, um lead barato que não converte sai mais caro do que um lead qualificado.
- Performance Técnica: Um atraso de 2 segundos no carregamento pode reduzir as conversões em 20%. A performance não se improvisa na véspera; ela deve ser planeada com antecedência, otimizando bases de dados e caches de servidor.
- Acompanhamento em Tempo Real: Se os seus dashboards de conversão têm atraso, você está a conduzir um carro de corrida com os olhos vendados. O tracking precisa de estar impecável para ajustar orçamentos durante as horas críticas.
Estratégias Práticas para 2026
- Antecipação de Leads: Comece a captar a intenção semanas antes. Use listas de espera e ofertas antecipadas para "aquecer" os algoritmos e garantir que, no dia, o seu público já conhece a sua proposta de valor.
- Otimização de Checkout: Simplifique ao máximo. Cada campo extra no formulário é uma oportunidade para o cliente desistir.
- Segurança e Estabilidade: Garanta que o seu WordPress está protegido contra ataques de força bruta, que tendem a aumentar nestas épocas de alto tráfego.
Onde a experiência faz a diferença
Na Make It Digital, não olhamos para a Black Friday como um evento isolado, mas como uma prova de conceito de uma arquitetura digital bem construída. Arrumar a casa tecnicamente permite que o marketing brilhe. Se quer que a sua Black Friday 2026 seja a mais rentável de sempre, o planeamento começa no servidor e termina na experiência do utilizador.
Para lá do HTTPS: 5 configurações de servidor que protegem (mesmo) o seu WordPress
Quando falamos de segurança em WordPress, a maioria das empresas pensa logo em duas coisas: ter o "cadeado" (HTTPS) e instalar um plugin de segurança conhecido. São passos importantes, mas em 2026 são apenas o ponto de partida.
O HTTPS protege os dados em trânsito, mas não impede que um atacante explore uma falha num plugin desatualizado ou force a entrada no painel de administração através de um pedido de API mal configurado. A verdadeira segurança constrói-se em camadas, e as mais críticas estão muitas vezes invisíveis, ao nível do servidor.
Na Make It Digital, acreditamos que a segurança deve ser nativa ao desenvolvimento. Aqui ficam 5 configurações técnicas que aplicamos e que elevam a proteção de um site WordPress para um nível profissional.
1. Headers de Segurança: O código invisível
Os Security Headers são instruções que o servidor envia ao browser do visitante sobre como ele se deve comportar. É aqui que bloqueamos a maioria dos ataques de Cross-Site Scripting (XSS) e Clickjacking. Configurações como o HSTS (que obriga o uso de HTTPS em todos os subdomínios) e a Content Security Policy (CSP) (que define exatamente de onde o site pode carregar scripts e imagens) são fundamentais.
2. Restringir e monitorizar a WP REST API
A API do WordPress é uma ferramenta poderosa para integrações, mas é também uma janela aberta. Por omissão, qualquer pessoa pode listar os utilizadores do site ou espreitar endpoints técnicos. A solução não é desligar a API, mas sim restringir o acesso a utilizadores não autenticados e monitorizar pedidos suspeitos.
3. Desativar a edição de ficheiros no dashboard
Se um atacante conseguir acesso a uma conta de administrador, a primeira coisa que fará é tentar editar o código do tema ou de um plugin diretamente no painel. Basta uma linha no ficheiro de configuração (define(DISALLOW_FILE_EDIT, true);) para remover esta funcionalidade.
4. Permissões rigorosas e o princípio do "menor privilégio"
Muitos problemas de segurança nascem de permissões demasiado "abertas". No servidor, cada ficheiro e pasta deve ter apenas a permissão estritamente necessária para o PHP-FPM ler e escrever. O mesmo se aplica à Base de Dados.
5. Monitorização ativa e logs de alterações
Ter ferramentas que detetam alterações inesperadas em ficheiros do core ou logins em horários estranhos é o que separa um pequeno susto de um desastre total. Saber exatamente quando e o que mudou permite-nos agir antes que o impacto chegue ao negócio.
Onde a experiência pode fazer a diferença
Na Make It Digital, não tratamos a segurança como um "extra". Tratamos a segurança como parte da arquitetura. Arrumar a casa ao nível do servidor permite-nos focar no que realmente importa: a performance e os resultados do negócio.
É a mesma lógica que defendemos em Tráfego pago e em Performance não se improvisa: medir bem não é um extra do trabalho, é parte do trabalho.
Mais leads ou melhores leads? O erro de medir campanhas só pelo custo por lead
Quando abrimos o relatório de campanhas, há um número que salta sempre à frente: o custo por lead. É imediato, é fácil de comparar e dá uma sensação reconfortante de controlo.
Mas, sozinho, o custo por lead não diz nada sobre o negócio.
Já vimos contas com o CPL a descer mês após mês e o volume de vendas a ficar exactamente igual. E já vimos o contrário: CPL a subir, mas com o negócio a crescer de forma consistente. A diferença não estava nas campanhas. Estava naquilo que se estava a medir.
O custo por lead é uma métrica, não um objetivo
Ninguém gere um negócio a partir do custo por lead. O que interessa é quantas oportunidades reais entram, quantas se convertem e quanto sobra no fim.
Quando o CPL passa de indicador a objetivo, começam os atalhos: formulários mais curtos, call to actions cada vez mais genéricos, públicos mais largos, temas de topo de funil atraentes mas longe da compra. O número melhora. O negócio, não.
Leads baratos podem sair caros
Um lead a 5 euros que nunca compra é mais caro do que um lead a 40 euros que fecha.
Parece óbvio dito assim, mas a maior parte dos relatórios que vemos continua a celebrar a média barata. Enquanto isso, a equipa comercial perde horas a filtrar contactos fora de perfil e a oportunidade certa chega atrasada — ou não chega.
O custo real de um lead não é o que se paga pelo contacto. É o que se paga pelo contacto, mais o tempo de quem o trata, mais o custo de oportunidade de não ter tratado outro.
O que o custo por lead esconde
Tracking e atribuição. Se a conversão não estiver bem implementada, o relatório mostra leads que a campanha não gerou e esconde leads que gerou. O CPL fica errado — para cima ou para baixo — e a decisão de investimento assenta em areia.
“Lead” pode querer dizer tudo. Um download de e-book, um pedido de orçamento e um pedido de demonstração não têm o mesmo valor. Somados na mesma média, produzem um número que não serve para decidir nada.
Qualidade fora do ecrã. Leads duplicados, contactos fora da geografia ou do perfil, formulários preenchidos por curiosidade. Nada disto aparece no CPL, mas tudo isto aparece na taxa de fecho.
A capacidade comercial. Uma campanha que gera 200 leads por semana para uma equipa que consegue tratar 40 não é uma campanha de sucesso. É uma fila de espera.
O que medir em vez disso
O CPL continua a ter o seu lugar — como métrica de eficiência de captação. Mas precisa de estar acompanhado:
- Custo por lead qualificado (CPQL): quanto custa cada contacto que a equipa comercial aceita como oportunidade real.
- Taxa de qualificação: que percentagem dos leads passa o primeiro filtro. É aqui que se vê a qualidade de um público.
- Taxa de conversão por etapa: lead → oportunidade → proposta → venda. Sem isto, não se sabe onde se perde o dinheiro.
- Custo de aquisição de cliente (CAC) comparado com o valor médio do cliente ao longo do tempo. Se o CAC se aproxima do valor do cliente, há um problema estrutural — mesmo com CPL exemplar.
- Receita por lead ou por euro investido: a única versão da conta que o negócio entende.
- Tempo de primeira resposta: o intervalo entre o lead entrar e alguém falar com ele. Em muitos negócios, esta variável mexe mais no resultado do que qualquer ajuste de público.
Um exemplo simples
Imagine duas campanhas, ambas com 2.000 euros de investimento.
A primeira gera 100 leads a 20 euros. Destes, 5% são qualificados — 5 oportunidades — e fecha 1 venda de 600 euros. Receita: 600 euros. Retorno: negativo.
A segunda gera 40 leads a 50 euros. Destes, 40% são qualificados — 16 oportunidades — e fecha 4 vendas de 600 euros. Receita: 2.400 euros.
A campanha “mais cara” por lead gerou quatro vezes mais receita. Se a decisão fosse tomada pelo CPL, teríamos desligado exactamente a campanha certa.
É uma conta simples e ilustrativa, mas é este o raciocínio que falta em muitos relatórios.
Onde a experiência pode fazer a diferença
Na Make It Digital não gerimos campanhas para baixar um número. Gerimos para trazer clientes.
Isso obriga a arrumar a casa antes de mexer em verbas: verificar tracking e atribuição, alinhar as definições de conversão com o que a equipa comercial considera uma oportunidade, medir o percurso completo do lead e não apenas a sua entrada. Depois, sim, optimizar criativos, públicos e investimento — com critério e com leitura de negócio.
Trabalhamos em colaboração estreita com quem vende, porque a campanha termina no momento em que o lead entra. O que acontece a seguir é tão parte do resultado como o anúncio. Quanto maior for o trabalho de equipa cliente/agência, melhores vão ser os resultados.
É a mesma lógica que defendemos em Tráfego pago: uma ferramenta poderosa, mas não um milagre e em Performance não se improvisa: medir bem não é um extra do trabalho, é parte do trabalho.
No fim, a pergunta certa nunca é “quanto custou este lead?”. É “este lead vale o que custou?”.
O valor do trabalho
No universo da Make it Digital, há uma sensação estranha que aparece quase sempre no mesmo momento.
Quando o projeto está pensado, quando sabemos exatamente como o vamos fazer… e chega a hora de definir o preço e o apresentar ao cliente.
Por muitos projetos que tenhamos feito, a dúvida subsiste que se reflete normalmente em dois temas:
- o valor é suficiente para o trabalho que iremos realizar?
- estamos a dar um preço justo e equilibrado?
Na construção do orçamento o nosso foco é sempre se é justo para nós — para o tempo, para a energia, para a responsabilidade que estamos a assumir.
Mas no fim também justo para o cliente — pois na maioria das vezes conhecemos o cliente e queremos que seja possível ao cliente "aceitar o projeto". Mas é também preciso cuidado para que não soe a exagero, a abuso, a algo difícil de explicar.
Vivemos constantemente nesse equilíbrio frágil.
Curiosamente, ao longo dos anos, percebemos que o problema por vezes nem é o de cobrar “demais”.
Já estivemos do outro lado da desconfiança por um motivo bem diferente: parecermos demasiado baratos.
Quando um valor é baixo demais, em vez de tranquilizar, levanta dúvidas.
O que é que está aqui a faltar?
Será que vai mesmo ficar bem?
Será que isto vai dar problemas mais tarde?
E é aí que se percebe algo importante: preço também comunica valor.
Comunica segurança. Comunica experiência. Comunica compromisso.
O nosso trabalho não começa quando se escreve código, se desenha um ecrã ou se publica um site.
Começa muito antes, na forma como pensamos, decidimos, prevemos riscos, evitamos erros que o cliente nunca chega a ver.
Talvez por isso esta dúvida nunca desapareça.
Porque não estamos apenas a vender um serviço. Estamos a assumir uma responsabilidade real sobre algo que é importante para alguém.
Há dias em que o receio é parecer caro.
Há outros em que o receio é parecer barato demais.
E no meio disso tudo, o foco é ser sempre honestos — connosco e com quem confia em nós.
No fundo, o valor do trabalho não é um número fechado.
É um acordo silencioso de confiança.
E sempre que um cliente aceita um orçamento não porque é o mais baixo, mas porque faz sentido, sentimos que esse equilíbrio, mesmo frágil, vale a pena ser procurado.
Mas nem sempre é assim :)
Tráfego pago: uma ferramenta poderosa, mas não um milagre
Nos últimos anos o tráfego pago tornou-se numa das ferramentas mais utilizadas no marketing digital. Google Ads, Meta Ads, LinkedIn Ads e outras plataformas permitem alcançar públicos altamente segmentados, medir resultados em tempo real e escalar investimentos com rapidez.
Mas importa dizê-lo sem rodeios: investir em publicidade paga não é um milagre.
E, por si só, não basta para salvar um negócio que não vende.
Mas é aqui que podemos ajudar!
Publicidade não resolve problemas estruturais
Existe ainda a ideia - muitas vezes alimentada por promessas fáceis - de que “basta investir em anúncios” para gerar vendas ou ter mais leads. A realidade é bem diferente.
Se um produto ou serviço não é competitivo, não responde a uma necessidade real ou não entrega valor, a publicidade não o vai disfarçar. Pelo contrário, ao aumentar a exposição, pode até acelerar a perceção negativa do mercado.
O tráfego pago amplifica o que já existe. Se a base é frágil, os resultados também o serão. Se temos um bom produto ou serviço, bom posicionamento, entregamos valor, então podemos ter ainda mais retorno com investimento em tráfego pago. Na Make It Digital ajudamos a encontrar a melhor estratégia de investimento tendo por base o negócio e as características de cada produto/serviço. Qual a melhor plataforma, quais os melhores argumentos e abordagem ao mercado.
O negócio deve ser visto como um todo
O investimento em tráfego pago deve ser encarado como estratégia para ativar alguns touch-points da jornada do cliente, não como a solução isolada para todos os problemas.
Antes (e durante) qualquer investimento em campanhas pagas, é essencial analisar o ecossistema completo do negócio:
- O produto ou serviço é realmente diferenciador?
- Existe uma proposta de valor clara e relevante?
- O preço está alinhado com o mercado e com a perceção de valor?
- Os potenciais clientes, ao poderem escolher, porque é que vão comprar o meu produto ou serviço?
- A experiência do utilizador (site, landing pages, etc...) é simples e eficaz?
- O processo comercial está preparado para converter tráfego/leads em vendas?
Sem estas bases, o investimento em anúncios tende a gerar cliques — mas não resultados sustentáveis.
Produto, concorrência e contexto importam (muito)
Uma estratégia de tráfego pago eficaz exige contexto e visão estratégica. Cada negócio é único e deve ser analisado tendo em conta variáveis como:
- Vantagem competitiva: o que torna esta oferta melhor ou diferente?
- Concorrência: quem já está a comunicar? Com que mensagens, estratégias e investimentos?
- Sazonalidade: há picos naturais de procura ou momentos de menor interesse?
- Maturidade do mercado: estamos a educar, a competir ou a escalar?
Ignorar estes factores é um dos erros mais comuns (e mais caros) em campanhas de publicidade paga.
Tráfego pago funciona melhor quando faz parte de uma estratégia completa.
Quando bem integrado, o tráfego pago é uma alavanca extremamente eficaz: acelera resultados, valida propostas, testa mensagens e escala o que já funciona.
Mas não substitui uma estratégia sólida, nem compensa falhas no produto, no posicionamento ou no modelo de negócio.
Em resumo:
- Publicidade paga não cria valor — amplifica-o.
- Se o produto é forte e a estratégia está bem definida, os anúncios potenciam resultados.
- Se o produto não é bom, não é a publicidade que o vai salvar.
Onde a experiência pode fazer a diferença
Na Make It Digital encaramos a gestão de campanhas publicitárias como um trabalho de estratégia contínua, e não apenas de ativação. Planeamos, executamos e otimizamos campanhas com objetivos claros e uma leitura integrada do negócio. Monitorizamos resultados em tempo real, ajustamos criativos, públicos e investimentos de forma rigorosa e transparente, garantindo que cada euro investido contribui para gerar impacto real, crescimento sustentado e retorno mensurável. E claro, imperativo para nós, sempre em total colaboração e transparência com o cliente. Porque quanto maior for o trabalho de equipa cliente/agência, melhores vão ser os resultados!
É esta visão integrada que transforma investimento em tráfego pago em crescimento real - e sustentável.
Esta pode ser uma realidade unânime entre a grande maioria de nós, mas acreditem, nem sempre colocada em prática.