A frequência de backup certa não tem intervalo único: ela é definida pelo risco de cada site, do diário ao tempo real. Segundo a Kinsta (2026), o intervalo diário é o mínimo, e lojas e portais precisam de janelas de 6 horas ou menores. Uma frequência de backup horária cobre cerca de 4% do risco de uma diária. Escolha pela janela de perda que você aceita, não pelo hábito.

A frequência de backup é o intervalo entre duas cópias de segurança do site, e ela define quanto conteúdo você perde quando algo quebra. A decisão certa não parte do plugin: parte do RPO, a janela de perda aceitável para o seu negócio. Um blog que pública uma vez por semana sobrevive a um backup semanal; uma loja WooCommerce com 40 pedidos por dia, não. Neste material você vê os quatro níveis de frequência, como o RPO os organiza e os erros operacionais que transformam um backup em arquivo inútil. Para o contexto maior de proteção do site, o guias de segurança WordPress da FULL reúne os temas relacionados.

Os 4 níveis de frequência de backup por risco

A frequência de backup se organiza em quatro níveis, do semanal ao tempo real, e o critério para definir a frequência de backup é o volume de dados que muda entre uma cópia e outra. Um site institucional estático tolera uma cópia semanal; uma loja com transações por minuto exige um intervalo horário ou contínuo, porque cada hora sem gravar vira pedido perdido na restauração.

A regra prática é simples: a frequência acompanha a velocidade de mudança do conteúdo, não o calendário. A tabela abaixo resume os quatro níveis e a janela de perda de cada perfil.

Legenda: cada nível cobre uma janela de perda diferente; o erro comum é usar diário em loja transacional.

Por que o RPO define a frequência, e não o contrário

O RPO (Recovery Point Objective) é a quantidade máxima de dados que você aceita perder, medida em tempo, e é ele que define a frequência de backup, não o oposto. Se o seu RPO é de 6 horas, a gravação precisa rodar a cada 6 horas; um intervalo diário deixa um buraco de 18 horas acima do que o negócio tolera.

Definir o intervalo primeiro e torcer para dar certo é o erro de método mais comum nos tickets de suporte da FULL: o cliente escolhe “diário” por hábito e descobre o RPO real só no dia do desastre. Uma loja WooCommerce com 40 pedidos por dia e um único backup diário que falha às 23h pode perder até 24 horas de pedidos na restauração, porque a última cópia válida é da madrugada anterior. Com gravação a cada 6 horas, a mesma falha custa no máximo 6 horas. O RPO transforma uma decisão vaga em número: defina a janela aceitável, e a frequência se torna obrigatória.

Onde o backup falha: Wp-cron, mesmo servidor e ransomware

O backup do WordPress falha menos por bug do plugin e mais por três armadilhas operacionais previsíveis: dependência do WP-Cron, gravação no mesmo servidor e ausência de teste de restauração. As três aparecem todos os dias nos tickets de restauração da FULL.

O WP-Cron não é um cron real do sistema: ele só dispara quando alguém visita o site. Em sites de baixo tráfego, a tarefa agendada para as 03h pode nunca rodar, porque ninguém acessa àquela hora, e o painel mostra “agendado” enquanto o arquivo nunca existe.

A correção é desligar o WP-Cron com define('DISABLE_WP_CRON', true); no cron do WordPress e chamar wp-cron.php por um cron real do servidor. A segunda armadilha é gravar a cópia no mesmo servidor do site: arquivo no mesmo disco + ransomware no servidor resulta em cópia criptografada junto, e a restauração se torna impossível. A regra é redundância de destino, com cópia externa em outro provedor, padrão que o backup automático no WordPress deve sempre respeitar.

Ferramentas de backup e o que cada uma cobre

As ferramentas de backup do WordPress se dividem por destino e por granularidade de agendamento. O UpdraftPlus compete por flexibilidade de destino, com envio para Google Drive, Dropbox e S3. O BackWPup compete por controle granular do job e gravação direta para FTP. O All-in-One WP Migration foca migração em arquivo único, e acima deles há o backup gerenciado no servidor, que não depende do WP-Cron.

A diferença real aparece no histórico de segurança das ferramentas. Segundo o perfil público do WPVulnerability, o UpdraftPlus acumulou 26 CVEs, todas já corrigidas, entre elas a CVE-2024-10957 (CVSS 8.8), falha de PHP Object Injection corrigida na 1.24.12. O BackWPup teve a CVE-2023-5504 (CVSS 8.7), corrigida na 4.0.2. Muitos CVEs corrigidos não é alarme: é sinal de manutenção ativa. O risco real é a versão desatualizada, não o número histórico. Como a FULL é a única empresa brasileira credenciada CNA (CVE Numbering Authority) pela CISA, quem escreve aqui sobre vulnerabilidade cataloga CVE oficial: atualize o plugin de backup, porque a falha mora na versão antiga.

Backup gerenciado no plano: Por que r$85 por site muda a conta

Backup confiável exige redundância de destino, teste de restauração e independência do WP-Cron, e montar isso plugin a plugin custa horas de configuração que a maioria não tem. No plano PRO da FULL, por R$849 ao ano para até 10 sites, o backup gerenciado já vem no bundle, cerca de R$85 por site.

Nesse modelo a cópia roda fora do disco do site e fora da dependência do WP-Cron, eliminando de uma vez os dois pontos de falha mais comuns. A gente vê no suporte da FULL que o ticket clássico é o cliente que tinha “backup ativo” no painel, mas a cópia estava no mesmo servidor que o ransomware criptografou. Com gerenciamento no nível do servidor, esse cenário deixa de existir, porque o destino é independente da máquina que hospeda o site. Veja os intervalos e destinos disponíveis em os planos da FULL.

Como validar se o seu backup realmente funciona

Um backup só existe de verdade quando você restaura e confirma, porque cerca de metade das cópias que chegam ao suporte da FULL nunca tinham sido testadas antes do desastre. Sem teste de restauração, você tem um arquivo, não uma proteção.

A validação tem três passos objetivos: confirme a data da última cópia no painel, baixe o arquivo para verificar que ele não está corrompido nem vazio, e faça uma restauração de teste em ambiente de homologação. O terceiro passo é o que a maioria pula, e é o que separa um backup real de uma falsa sensação de segurança.

A frequência só vale se a restauração funcionar dentro do RPO definido. Por isso o teste mensal de restauração é parte do processo, não um extra. O guia como testar backups de sites WordPress detalha o procedimento, e o passo de recuperação está em como restaurar o WordPress a partir do backup. Para checar se o site não está comprometido antes de confiar no backup, o FULL Scan faz o diagnóstico gratuito sem instalação.

Perguntas frequentes sobre frequência de backup

Próximos passos para proteger seus dados

A frequência de backup certa nasce de uma pergunta de negócio, não de uma configuração: quanto de dado você aceita perder. Defina o RPO, escolha o intervalo que cabe dentro dele, grave a cópia fora do servidor do site e teste a restauração todo mês. Os três erros que mais aparecem nos tickets da FULL, dependência do WP-Cron, backup no mesmo disco e cópia nunca testada, são todos evitáveis com método. Para continuar aprendendo, o FULL Academy reúne os tutoriais e guias de WordPress em um só lugar, e o guia de segurança WordPress da FULL aprofunda a proteção completa do site.