O WordPress é inseguro?
O núcleo do WordPress é mantido com atenção e recebe correções com frequência. O risco quase sempre está em volta dele: plugins e temas de terceiros, versões antigas que ninguém atualiza, acessos de administrador compartilhados e hospedagem mal configurada. Como o WordPress está em uma parcela enorme dos sites, falhas em plugins populares são exploradas em massa e rapidamente.
Os riscos mais comuns
- Plugins e temas desatualizados ou abandonados pelo desenvolvedor.
- Plugins e temas "nulled" (pirateados), que muitas vezes já vêm com código malicioso.
- Senhas fracas ou reutilizadas no painel, sem verificação em duas etapas.
- Muitos usuários administradores, inclusive de ex-funcionários e agências antigas.
- Backups, arquivos de log ou cópias de configuração deixados em pastas públicas.
- Formulários e integrações (WooCommerce, CRM, pagamentos) que expõem dados de clientes.
Checklist para a sua equipe ou agência
- 01Atualizar núcleo, plugins e temas, e remover o que não é usado.
- 02Comprar plugins e temas só de fontes oficiais.
- 03Ativar verificação em duas etapas para todos os administradores.
- 04Revisar a lista de usuários e reduzir quem é administrador.
- 05Garantir backups automáticos guardados fora do servidor do site.
- 06Conferir se não há arquivos de backup, logs ou exportações acessíveis publicamente.
- 07Manter HTTPS válido e cabeçalhos de segurança configurados.
- 08Ter alguém responsável por acompanhar alertas de segurança dos plugins instalados.
Os itens visíveis de fora (HTTPS, cabeçalhos, tecnologias anunciadas) você confere em segundos na verificação pública gratuita da Sovereign Tech.
Quando vale um pentest no WordPress
Quando o site deixa de ser vitrine e passa a guardar dados ou dinheiro: loja WooCommerce, área do cliente, portal de cursos, formulários com dados sensíveis, integrações com sistemas internos. Nesses casos o pentest testa o que o checklist não cobre, como um cliente acessar pedidos de outro ou uma integração que expõe dados.
Leia também