Quando falamos de segurança em WordPress, a maioria das empresas pensa logo em duas coisas: ter o “cadeado” (HTTPS) e instalar um plugin de segurança conhecido. São passos importantes, mas em 2026 são apenas o ponto de partida.

O HTTPS protege os dados em trânsito, mas não impede que um atacante explore uma falha num plugin desatualizado ou force a entrada no painel de administração através de um pedido de API mal configurado. A verdadeira segurança constrói-se em camadas, e as mais críticas estão muitas vezes invisíveis, ao nível do servidor.

Na Make It Digital, acreditamos que a segurança deve ser nativa ao desenvolvimento. Aqui ficam 5 configurações técnicas que aplicamos e que elevam a proteção de um site WordPress para um nível profissional.

1. Headers de Segurança: O código invisível

Os Security Headers são instruções que o servidor envia ao browser do visitante sobre como ele se deve comportar. É aqui que bloqueamos a maioria dos ataques de Cross-Site Scripting (XSS) e Clickjacking. Configurações como o HSTS (que obriga o uso de HTTPS em todos os subdomínios) e a Content Security Policy (CSP) (que define exatamente de onde o site pode carregar scripts e imagens) são fundamentais.

2. Restringir e monitorizar a WP REST API

A API do WordPress é uma ferramenta poderosa para integrações, mas é também uma janela aberta. Por omissão, qualquer pessoa pode listar os utilizadores do site ou espreitar endpoints técnicos. A solução não é desligar a API, mas sim restringir o acesso a utilizadores não autenticados e monitorizar pedidos suspeitos.

3. Desativar a edição de ficheiros no dashboard

Se um atacante conseguir acesso a uma conta de administrador, a primeira coisa que fará é tentar editar o código do tema ou de um plugin diretamente no painel. Basta uma linha no ficheiro de configuração (define(DISALLOW_FILE_EDIT, true);) para remover esta funcionalidade.

4. Permissões rigorosas e o princípio do “menor privilégio”

Muitos problemas de segurança nascem de permissões demasiado “abertas”. No servidor, cada ficheiro e pasta deve ter apenas a permissão estritamente necessária para o PHP-FPM ler e escrever. O mesmo se aplica à Base de Dados.

5. Monitorização ativa e logs de alterações

Ter ferramentas que detetam alterações inesperadas em ficheiros do core ou logins em horários estranhos é o que separa um pequeno susto de um desastre total. Saber exatamente quando e o que mudou permite-nos agir antes que o impacto chegue ao negócio.

Onde a experiência pode fazer a diferença

Na Make It Digital, não tratamos a segurança como um “extra”. Tratamos a segurança como parte da arquitetura. Arrumar a casa ao nível do servidor permite-nos focar no que realmente importa: a performance e os resultados do negócio.

É a mesma lógica que defendemos em Tráfego pago e em Performance não se improvisa: medir bem não é um extra do trabalho, é parte do trabalho.