É um golpe de sorte para os malfeitores na internet se eles puderem encontrar uma maneira de prejudicar os sites do WordPress. Com apenas um truque na manga, eles podem ter uma chance em quase 30% dos sites na internet. Essa é a desvantagem do WordPress ser o CMS mais popular . Como proprietários de sites, de nossa parte, precisamos ser proativos e revisar/atualizar as medidas de segurança regularmente para estarmos protegidos contra hackers. Uma etapa importante e fácil de implementar em sua lista de verificação de segurança é verificar o WordPress em busca de vulnerabilidades.
Por que você deve verificar o WordPress em busca de vulnerabilidades
- Seu site WordPress pode ser o repositório de informações pessoais confidenciais enviadas pelos usuários. Eles confiam em você para evitar que essas informações caiam em mãos indesejadas.
- Outros podem colocar backlinks, redirecionamentos, anúncios ou banners de sites que desejam promover em seu site.
- Usuários com acesso não autorizado ao seu site podem estar consumindo sua largura de banda, mesmo sem você saber.
- Enquanto não for detectado, o malware pode se esconder em seu site e coletar informações. Ele pode enviar e-mails de spam para outras pessoas, infectando-as também no processo. Isso pode fazer com que o Google e outros serviços de segurança, como o AVG ou o Norton, coloquem seu site na lista negra. Novamente, você pode nem saber disso.
- As verificações regulares podem detectar algumas ameaças de segurança antecipadamente e impedir que seu site seja invadido.
Maneiras de digitalizar o WordPress
Realizar uma verificação básica de vulnerabilidades em seu site WordPress não é difícil nem caro. Mas como mais coisas na vida, você tem opções. Quando se trata de escanear o WordPress em busca de vulnerabilidades, existem dois métodos principais.
Scanners remotos são ferramentas que podem fazer uma verificação preliminar e revelar uma série de falhas de segurança. Eles são uma espécie de verificação rápida em seu regime de segurança. A maioria dos scanners geralmente funciona da mesma maneira – basta inserir o URL do seu site na página da web. Seu site, conforme visível no navegador, será escaneado em alguns instantes e um relatório será gerado. Muitas vulnerabilidades podem aparecer no relatório. Algumas ferramentas também sugerem ações corretivas que você pode realizar. Alguns scanners remotos são projetados especificamente para verificar sites do WordPress, enquanto outros incluem uma verificação do WordPress em sua lista de recursos.
Pelo contrário, quando você instala um plugin , ele acessa o servidor no ambiente de hospedagem em que reside e faz uma varredura muito mais profunda. Um plugin oferece opções para configurar regras de varredura, automações e varreduras completas que mergulham em seu banco de dados para garantir a segurança.
A diferença importante entre os dois é que um scanner remoto analisa apenas a versão final renderizada do seu site, como aparece no seu navegador (como um bot de mecanismo de pesquisa). Ao contrário dos plugins, uma verificação remota não pode examinar seu servidor e, portanto, qualquer elemento malicioso em seu servidor pode permanecer sem ser detectado.
Existem muitos scanners remotos gratuitos e plugins gratuitos disponíveis que podem rastrear seu site em busca de software nocivo – vamos ver alguns dos melhores.
1. MalCare
O primeiro da nossa lista é o MalCare, que oferece varredura gratuita baseada em nuvem por meio de seu plug-in gratuito . Este scanner de site WordPress de alta tecnologia analisa todos os seus arquivos e todo o seu banco de dados para encontrar até o malware mais complexo. E o melhor de tudo, como ele usa os próprios servidores em nuvem do MalCare para verificar vulnerabilidades, ele não deixará seu site lento.
O MalCare também oferece planos premium com ainda mais opções para detecção precoce, verificação automatizada e remoção de malware, CAPTCHAs, bloqueio de IP, recomendações de configurações do WordPress (desativar editor de arquivos, proteção de pastas de uploads, chaves de segurança, etc), plugins não permitidos e muito mais. E dependendo de suas necessidades, eles ainda oferecem uma solução de etiqueta branca com relatórios personalizados para seus clientes.
2. Verificação do Site Sucuri
Sucuri é um nome bem conhecido em segurança de sites e compila relatórios de vulnerabilidades regulares e abrangentes. O SiteCheck verificará todos os sites, incluindo sites do WordPress, e revelará malware conhecido, software desatualizado e erros de site. Você também saberá seu status de lista negra com serviços como Google, AVG Antivirus, McAfee e Norton.
O scanner compara todas as suas páginas com o banco de dados da Sucuri e relata qualquer anomalia. O relatório também recomenda como você deve lidar com essas anomalias.
3. Varredura WP Sec
Se você estiver procurando por um scanner específico do WordPress, o WP Sec se encaixará na conta. Na página da web, você tem uma escolha – envie o URL do seu site para uma verificação ou inscreva-se na conta gratuita / premium.
Uma conta gratuita dá direito a uma verificação semanal automática. Se você estiver gerenciando vários sites do WordPress, poderá acompanhar a segurança de todos os sites em um único painel. Você também receberá alertas por e-mail se algum bug for encontrado ou se sua instalação do WordPress precisar de uma atualização.
Um relatório básico pode listar algumas falhas de segurança, bem como informar como fazer para defini-las corretamente. Você também pode acessar um registro de seus relatórios de varredura para referência futura. WPScans mantém um vasto banco de dados dos últimos bugs e ameaças de segurança, o que significa que as ameaças mais comuns podem ser detectadas com este scanner.
4. Verificação de segurança do WordPress
O WordPress Security Scan também oferece duas opções – uma versão básica gratuita e uma versão premium avançada. Ele realiza verificações acessando várias páginas por meio de solicitações regulares da Web e analisa a fonte HTML correspondente. Uma verificação revelará falhas óbvias de segurança do WordPress e recomendará melhorias relacionadas à segurança na configuração que podem aumentar a proteção contra ataques futuros.
A verificação gratuita verifica a versão do WordPress, a reputação do host, a geolocalização e a reputação do site do Google. Ele também verifica links externos, lista de plugins e indexação de diretório em plugins. Ele lista os iframes presentes e o Javascript vinculado, os quais podem ser usados
5. Primeiro Guia do Site
O scanner do First Site Guide funciona da mesma maneira que outros scanners – insira a URL do seu site e pressione o botão Digitalizar. Ele testa se as informações sobre a versão do WordPress, nomes de usuário ou tentativas de login com falha são detectáveis.
Ele também verifica se os arquivos readme.html , install.php e upgrade.php são acessíveis via HTTP e se a pasta de uploads é navegável. Mas para uma verificação realmente significativa que abrange mais de 40 testes, eles recomendam que você instale o Security Ninja .
6. Wordfence
Wordfence é um plugin de segurança abrangente que verifica qualquer coisa relacionada ao WordPress em seu site, incluindo código-fonte e arquivos de imagem. Se você habilitar a opção, ela também verificará arquivos não relacionados ao WordPress. Seu feed de defesa contra ameaças é atualizado constantemente e o feed é usado por scanners para identificar software suspeito.
Uma varredura procura por mais de 44.000 malwares e backdoors conhecidos, bem como URLs de phishing em todos os seus comentários, postagens e arquivos. Além disso, ele verifica os arquivos principais, temas e plugins e os compara com os arquivos no repositório do WordPress.
7. Verificador Total de Vírus
Em vez de executar o URL do seu site por meio de vários scanners, você pode enviá-lo no Virus Total , uma subsidiária do Google. Ele faz o trabalho de agregar os resultados de uma varredura de vários scanners como Avira, Comodo, Sucuri e Qettera.
A vantagem de tal método é que você pode detectar falsos positivos de scanners com mais facilidade. Você saberá se algum recurso inofensivo está sendo classificado erroneamente como malware quando o URL é executado em vários scanners. Esta ferramenta não é específica do WordPress e todos os tipos de sites podem usar o scanner. O Virus Total não é uma ferramenta abrangente de teste de vírus, mas um agregador de resultados de varreduras de diferentes scanners.
Arquivos e URLs enviados ao Virus Total serão compartilhados com empresas de segurança para uso na melhoria da segurança geral da web.
8. Quuttera
Embora o Quttera ofereça uma verificação on-line com um clique, ele também inclui um scanner específico do WordPress , que exige que você baixe o plug-in em seu site WordPress.
O plug-in vasculha seu site em busca de scripts suspeitos, mídia maliciosa e ameaças ocultas e informa se você está em alguma lista negra. Os servidores remotos da Quttera verificam os dados. Após a conclusão de uma verificação, você receberá um relatório de investigação detalhado, que recomendará ações corretivas. Esses relatórios são classificados como Limpos, Potencialmente Suspeitos, Suspeitos e Maliciosos e estão disponíveis ao público para visualização.
Esses scanners e plugins online gratuitos fazem um trabalho básico de revelar malware e vulnerabilidades. Para uma análise mais completa e recomendações pontuais para reduzir vulnerabilidades, você precisará examinar seus planos premium. Esses planos agregam serviços como monitoramento, limpeza e suporte prático quando confrontados com ameaças. E, como mencionei no início, escanear seu site é apenas o primeiro passo na segurança do WordPress .