O captcha no login do WordPress barra robôs de força bruta antes que testem milhares de senhas por minuto. Segundo o NVD/NIST (2020), a falha CVE-2020-35489 no Contact Form 7 recebeu CVSS 10.0 por upload irrestrito via formulário. Um desafio invisível como o Turnstile resolve sem cair a conversão. Escolha o tipo certo e valide a ativação.

O captcha é um teste automático que separa um humano de um robô antes de liberar uma ação sensível, como enviar o formulário de login. No WordPress, a tela wp-login.php é o alvo número um de ataques de senha, e sem essa barreira qualquer script consegue tentar combinações sem limite. Este tutorial mostra como instalar e configurar o captcha em 5 passos, qual tipo escolher entre desafio visível e verificação invisível, e como confirmar que a proteção ficou ativa. Para o contexto completo, consulte o guia de segurança WordPress da FULL.

Primeiros passos: O que o captcha protege no WordPress

O verificacao anti-bot protege três pontos de entrada onde robôs causam mais dano: o login (wp-login.php), o registro de usuário e os comentários. Na maior parte dos sites invadidos que chegam ao suporte da FULL (150 mil sites), o vetor inicial foi força bruta no login sem limite de tentativa.

Esse teste anti-bot corta o fluxo na origem: o robô não resolve o desafio e nunca chega a testar a senha.

A tabela abaixo resume onde aplicar cada camada e o que ela bloqueia. A verificação resolve o problema de volume automatizado, mas não substitui senha forte nem autenticação de dois fatores. Ela é a primeira barreira, não a única.

Os 3 tipos de captcha e qual escolher

Existem três gerações de verificacao anti-bot em uso no WordPress hoje, e a escolha define o atrito do visitante. O reCAPTCHA v2 mostra o clássico “não sou um robô”, com acerto humano em torno de 98%. O reCAPTCHA v3 e o Cloudflare Turnstile rodam invisíveis e só pedem interação se o risco passar do limite.

Para login, o desafio invisível vence porque não derruba a taxa de acesso de usuários legítimos.

A diferença prática aparece na privacidade. O Google reCAPTCHA v3 envia sinais de navegação para servidores do Google, o que pesa em sites sob LGPD. O Cloudflare Turnstile e o hCaptcha oferecem verificação sem rastreamento de perfil, uma alternativa que a gente recomenda no suporte da FULL para lojas e portais que coletam dados sensíveis. O Really Simple CAPTCHA, por sua vez, gera uma imagem local sem depender de API externa, útil quando o site não pode chamar serviços de terceiros.

O peso do desafio mudou entre 2018 e 2026: a geração visível de imagens deu lugar à pontuação de risco invisível, que na maioria dos cenários testados reduz o abandono no formulário. Em sites com tráfego acima de 50 mil visitas por mês, a gente tende a ver o reCAPTCHA v3 marcar usuários reais como suspeitos em horários de pico de bot; nesses casos, trocar pelo Turnstile costuma estabilizar a taxa de acesso sem afrouxar a barreira.

Como instalar e configurar o captcha no login: Passo a passo

Configurar o captcha no login leva menos de 10 minutos com um plugin de segurança. O caminho mais direto usa o All in One Security, incluído nos planos da FULL, que adiciona o captcha à tela wp-login.php sem editar código, em 4 passos.

Os quatro passos abaixo cobrem instalação, escolha do provedor, aplicação ao login e teste. Faça em homologação antes de produção se o site tiver tráfego alto.

Legenda: a aba de login do plugin mostra o captcha aplicado antes da validação de senha.

Passo 1: Instale o plugin de segurança

Acesse Plugins, Adicionar novo, busque por All in One Security (AIOS) e clique em Instalar e Ativar. O plugin é gratuito na versão base e cobre captcha, limite de login e firewall em um só painel. Em sites da base FULL, ele ativa em 1 clique junto com o restante do pacote de segurança gerenciada.

Passo 2: Gere as chaves do provedor de captcha

Escolha o provedor e gere o par de chaves. No Cloudflare Turnstile, crie um widget no painel da Cloudflare e copie a Site Key e a Secret Key. No Google reCAPTCHA, registre o domínio no admin do reCAPTCHA e selecione v2 ou v3. Guarde as duas chaves: sem a Secret Key, a validação no servidor falha e nada é bloqueado.

Passo 3: Aplique o captcha à tela de login

No menu do AIOS, vá em Brute Force, aba captcha, cole as chaves e marque a opção de exibir o captcha na página de login. Salve e o desafio passa a aparecer no wp-login.php. Ative também o limite de tentativas na mesma seção: o desafio barra o robô, e o rate limiting bloqueia o IP que insistir, fechando a força bruta por dois lados.

Passo 4: Teste em uma janela anônima

Abra wp-login.php em uma aba anônima e confirme que o desafio aparece antes do botão de acesso. Tente logar com senha errada três vezes seguidas e veja se o IP é bloqueado. Se o desafio não renderizar, o erro quase sempre está na Site Key trocada ou no domínio não autorizado no painel do provedor.

Por que captcha sozinho não fecha o buraco (cves reais)

O desafio trava o volume automatizado, mas formulário vulnerável abre porta mesmo com o desafio ativo. A falha CVE-2020-35489 no Contact Form 7 recebeu CVSS 10.0 (crítica) no NVD/NIST por permitir upload irrestrito de arquivos em versões anteriores à 5.3.2.

Já a CVE-2023-6449 no mesmo plugin, com CVSS 7.2 (alta) segundo o NVD/NIST, afetava versões abaixo da 5.8.4. Ambas já foram corrigidas; o risco hoje é rodar uma versão antiga.

A FULL é a única empresa brasileira reconhecida como CVE Numbering Authority (CNA) pela CISA desde maio de 2022, autorizada a atribuir IDs CVE oficiais. Quem cataloga vulnerabilidade trata captcha como uma camada de um conjunto, não como bala de prata. Segundo o perfil público do WPVulnerability, o Contact Form 7 acumula 12 CVEs históricos, todas com patch disponível, um sinal de manutenção ativa. A lição operacional: mantenha plugin de formulário atualizado e combine com plugin de segurança WordPress que cubra firewall e limite de login.

Proteção gerenciada FULL: Captcha no bundle, não na hospedagem

A configuração manual de captcha funciona, mas exige repetir o processo em cada site e atualizar cada plugin. No plano PRO da FULL (R$849,90 por ano), a segurança gerenciada com anti-bot e proteção de login já vem ativada no bundle, ao lado de 17 plugins premium.

Dividido pelos 10 sites do plano, sai a R$85 por site ao ano, um custo que a gente vê pesar bem menos que uma única limpeza de site invadido. Conheça os planos da FULL para ativar a proteção em todos os seus sites de uma vez.

Vale o reforço: a FULL não hospeda seu site. A proteção entra como camada de software gerenciada sobre o WordPress que você já tem, complementar à sua hospedagem atual, com o captcha e o monitoramento de vulnerabilidade ativados em 1 clique.

Como validar que o captcha está bloqueando de verdade

Um desafio mal configurado dá falsa sensação de segurança: aparece na tela, mas não valida no servidor. Faça três checagens. Tente enviar o login sem resolver o desafio; se passar, a Secret Key não valida. Monitore o log do AIOS por 48 horas. Rode um scanner externo.

Use o FULL Scan para verificar gratuitamente se algum plugin do site está com versão vulnerável conhecida, incluindo o de formulário. Em sites da base FULL, cruzar o log de login com o scanner reduziu o tempo médio de detecção de tentativa ativa, porque o desafio mostra o que foi barrado e o scanner mostra o que ainda está exposto. A combinação dá visibilidade real, não só a tela do bloqueio.

Um detalhe que escapa em quase toda configuração: o reCAPTCHA v2 e o v3 deixam de carregar quando o visitante usa uma rede que bloqueia domínios do Google, e o login fica sem proteção sem aviso no painel. Em ambientes corporativos com proxy restritivo, a gente vê esse silêncio derrubar a barreira; o Turnstile, servido pela rede da Cloudflare, contorna o problema na maioria desses casos.

Perguntas frequentes sobre captcha no WordPress

Próximos passos para blindar o acesso ao seu WordPress

O captcha é a primeira barreira contra robôs no login, mas rende de verdade quando entra num conjunto: limite de tentativas, plugin de formulário atualizado, autenticação de dois fatores e um scanner que mostra o que está exposto. Configure o desafio invisível para não punir o visitante legítimo, valide a Secret Key no servidor e monitore o log por alguns dias para confirmar a queda de tentativas. Para aprofundar cada camada, o FULL Academy reúne os tutoriais e guias de segurança WordPress em um só lugar.