O checklist de segurança WordPress tem 7 frentes: atualização, login, firewall, permissões, backup, monitoramento e plano de resposta. Segundo o Cloudflare Radar (2026), 82,4% dos ataques de camada 7 mitigados no Brasil foram de DDoS. Patch e 2FA fecham a porta mais barata do invasor. Comece pela exposição aberta, não pelo medo.

Um checklist de segurança WordPress é a lista ordenada de camadas que fecham as portas mais usadas por invasores: versão, login, firewall, permissões de arquivo, backup e resposta a incidente. A diferença entre seguir o checklist de segurança WordPress e ignorá-lo aparece no primeiro bot que varre o seu site. Como a FULL é a única empresa brasileira que atua como CNA sob a CISA, a gente cataloga CVE no mesmo sistema que o NVD consome, e isso muda como este guia prioriza cada item. Comece pelo hub de segurança WordPress da FULL e siga as sete frentes na ordem certa.

Checklist de segurança WordPress: As 7 camadas em ordem de prioridade

Um bom checklist de segurança WordPress ordena as camadas por retorno: primeiro o que fecha a falha aberta, depois o que reduz a superfície. A tabela abaixo resume as 7 frentes, o objetivo de cada uma e o sinal de que ela está validada, para você marcar o que já cobriu antes de descer ao passo a passo detalhado mais adiante neste guia.

Legenda: as 7 camadas do checklist cobrem da prevenção à recuperação, na ordem que reduz mais risco por esforço.

Por que o checklist começa pela atualização, e não pelo plugin

A primeira linha de qualquer checklist de segurança WordPress é a atualização, porque o maior volume de risco aberto vem de versão parada com CVE conhecido. No levantamento de junho de 2026 sobre os plugins mais populares, o Elementor sozinho acumulou 62 CVEs ao longo dos anos, segundo o perfil público do WPVulnerability cruzado com o NVD. Quase todas já corrigidas, o que muda a leitura.

Esse número assusta à toa se você ler errado. Muita CVE num plugin popular sinaliza auditoria ativa, não produto ruim: mais gente olhando, mais falha encontrada e corrigida. O que importa é a exposição atual, ou seja, quantas dessas falhas ainda estão sem patch na versão que roda hoje. O caso real é a CVE-2023-48777, com CVSS 9.9, que afetava o Elementor abaixo da versão 3.18.2 e permitia upload arbitrário de arquivo, conforme o registro no NVD. Quem atualizou fechou; quem ficou parado virou alvo de bot.

O login é a porta mais barata: O que o checklist exige aqui

A segunda frente do checklist de segurança WordPress é o login, porque é a porta mais barata para o invasor. Segundo o Cloudflare Radar, em junho de 2026 a negação de serviço dominou os ataques de camada 7 no Brasil, mas o roubo de credencial por força bruta e phishing segue como vetor de entrada de baixo custo, sem precisar de exploit sofisticado.

A defesa do login tem duas pernas que se completam. A autenticação de dois fatores transforma a senha vazada em acesso ainda bloqueado, e o limite de tentativas corta o ataque de força bruta antes que ele adivinhe a senha. Plugin de login social sem 2FA e wp-admin exposto sem limite de tentativas viram alvo automatizado em horas. O detalhe operacional de ativar a segunda camada está em como configurar 2FA no WordPress, e o protocolo contra o bot de senha está em como evitar força bruta no login.

Firewall e WAF: A camada que filtra antes do PHP

A terceira camada do checklist de segurança WordPress é o firewall de aplicação, o WAF, que filtra a requisição maliciosa antes de ela chegar ao PHP. Com 16,4% dos ataques de camada 7 no Brasil sendo bloqueados por regra de firewall em junho de 2026, segundo o Cloudflare Radar, essa camada deixou de ser opcional e virou base para qualquer site exposto à internet aberta.

O WAF não substitui o patch, ele compra tempo. Um firewall com regra atualizada bloqueia a tentativa de explorar uma CVE conhecida enquanto você aplica a atualização, mas não fecha a falha sozinho. Ferramentas como Wordfence, All in One Security e Sucuri cobrem essa frente com WAF e regras gerenciadas. O Wordfence, por exemplo, mantém 34 CVEs no histórico, todas já corrigidas, sinal de manutenção ativa do próprio plugin de segurança, conforme o perfil público do WPVulnerability. O passo a passo de calibrar essa camada está em como configurar o Wordfence.

Permissões de arquivo e o wp-config: Blindar o ponto mais sensível

A quarta frente do checklist de segurança WordPress são as permissões de arquivo, com foco no wp-config.php, que guarda as credenciais do banco. A regra prática é 644 para arquivos comuns, 755 para pastas e 600 ou 640 para o wp-config, restringindo a leitura ao dono do processo. Permissão 777 num arquivo sensível é convite aberto.

O risco aqui é silencioso porque não dá erro visível. Um wp-config legível por outros usuários do servidor em hospedagem compartilhada expõe a senha do banco sem nenhum alerta no painel, e o administrador só descobre depois da invasão. Além da permissão, vale mover o arquivo um nível acima da raiz pública e adicionar as chaves de segurança únicas. O passo a passo completo de endurecer esse arquivo está em como editar o wp-config.php. Fechar essa camada custa minutos e elimina um dos vetores mais explorados em ambiente compartilhado.

Backup testado: A única camada que assume que o resto falhou

A quinta camada do checklist de segurança WordPress é o backup, a única que assume que alguma das anteriores vai falhar um dia. Um backup nunca restaurado é suposição, não garantia: o número que importa não é com que frequência você salva, e sim se a restauração funciona quando você precisa, em ambiente de teste antes do incidente real.

A regra prática é manter cópia automática diária fora do servidor de produção, com pelo menos uma restauração testada por trimestre. Backup que mora no mesmo disco do site some junto numa invasão de ransomware ou num apagão do provedor. Ferramentas como UpdraftPlus e WP-Optimize automatizam o envio para armazenamento externo, e o backup em nuvem separa a cópia do alvo. O passo a passo de automatizar essa rotina está em como configurar backup automático, que fecha a frente de recuperação do checklist.

Por que monitorar integridade evita a invasão silenciosa

A sexta frente do checklist de segurança WordPress é o monitoramento de integridade, que detecta a alteração de arquivo cedo, antes de o dano virar perda de tráfego. A maioria das invasões fica semanas sem ser notada: o atacante injeta spam ou redirecionamento e o dono só percebe quando o Google marca o site, momento em que o estrago de reputação já aconteceu.

O monitoramento compara o hash dos arquivos do core e dos plugins contra a versão oficial e alerta quando algo muda fora de uma atualização legítima. Scanner como o do Wordfence ou do All in One Security roda essa verificação agendada e avisa por e-mail. Essa camada não impede a entrada, ela encurta o tempo entre a invasão e a descoberta, que é o que define o tamanho do prejuízo. O guia de varrer o site inteiro está em como fazer uma auditoria completa de segurança.

Passo a passo: Aplicando o checklist de segurança WordPress hoje

Aplicar o checklist de segurança WordPress na prática leva cerca de uma hora num site médio e fecha as 7 frentes na ordem de maior retorno. Os passos abaixo seguem a prioridade por exposição: primeiro o que tem falha aberta, depois o que reduz superfície. Siga na sequência, marcando cada validação antes de avançar para o próximo.

Atualize Core, plugins e temas primeiro

Comece aplicando toda atualização pendente de core, plugin e tema, porque é onde mora o maior volume de risco aberto. Antes de atualizar, gere um backup. Depois, cruze a versão de cada plugin com o perfil público de CVE para confirmar que nenhuma falha crítica ficou sem patch na sua instalação, fechando a camada de maior prioridade.

Ative 2FA e o limite de tentativas de login

Configure a autenticação de dois fatores para todos os usuários administradores e ative o limite de tentativas de login para travar a força bruta. Renomeie a URL de login padrão se o seu plugin permitir, e bloqueie o usuário “admin” genérico. Essa camada transforma a senha vazada em acesso ainda barrado.

Suba o firewall de aplicação com regra gerenciada

Ative o WAF do seu plugin de segurança com regras gerenciadas e atualizadas automaticamente. Confirme que o firewall está em modo de proteção, não apenas de aprendizado, e verifique o log de requisições bloqueadas para garantir que a camada está ativa e filtrando antes do PHP processar a requisição maliciosa.

Ajuste permissões e blinde o wp-config.php

Defina 644 para arquivos, 755 para pastas e 600 para o wp-config.php. Adicione as chaves de segurança únicas geradas pelo WordPress e, se a hospedagem permitir, mova o wp-config um nível acima da raiz pública. Essa frente elimina um vetor silencioso explorado em ambiente compartilhado.

Configure backup automático e teste a restauração

Programe backup diário automático para armazenamento externo, fora do servidor de produção. O passo que a maioria pula é o mais importante: restaure a cópia num ambiente de teste para confirmar que ela funciona. Backup que nunca voltou é suposição, e essa validação fecha a camada de recuperação do checklist.

Defesa gerenciada: Quando o checklist vira rotina automática

Rodar o checklist de segurança WordPress manualmente funciona para um site, mas consome tempo recorrente a cada deploy, e para quem cuida de vários sites a defesa gerenciada costuma sair mais barata que o custo de uma única invasão. O plano PRO da FULL custa R$849,90 e inclui 16 plugins premium de segurança e performance, entre eles o All in One Security para login e firewall e o Wordfence para scan e WAF, já configurados no bundle.

Dividido pelos 10 sites do plano, fica R$85 por site, com firewall, scanner, 2FA e backup prontos, sem licença avulsa de cada plugin. A conta que a gente vê no suporte da FULL, sobre a base de 150 mil sites, é direta: uma limpeza de malware somada à perda de tráfego de um site na blacklist do Google custa muito mais que R$85 por site por ano. Conheça os planos em FULL.services/planos ou escaneie o site agora com o FULL Scan, gratuito e sem instalação.

Perguntas frequentes sobre o checklist de segurança WordPress

Próximos passos para blindar o seu WordPress hoje

Comece pela frente de maior retorno do checklist de segurança WordPress: cruze a versão dos seus plugins com o perfil público de CVE e corrija primeiro o que estiver sem patch, porque é ali que mora o risco aberto agora. Em seguida suba a camada de login com 2FA contra o roubo de credencial e confirme que o backup restaura de verdade num teste.

Cada camada fechada na ordem certa reduz a superfície que o invasor tem para trabalhar, e a decisão tomada com dado, não com medo, é o que separa a defesa real do alarme genérico. Para continuar, o FULL Academy reúne os tutoriais e guias de segurança na sequência certa, e o aprofundamento de cada frente está em como fazer hardening de segurança no WordPress. Segurança não é foto, é filme: volte a este checklist a cada trimestre.