--- title: "Hardening de segurança WordPress em 7 camadas essenciais" description: "O hardening de segurança WordPress é o processo de reduzir a superfície de ataque do site em camadas independentes, e não a instalação de um único plugin." url: https://full.services/hardening-de-seguranca-wordpress/ date: 2026-06-27 author: "Clayton Margiotti" --- # Hardening de segurança WordPress em 7 camadas essenciais O **hardening de segurança WordPress** remove o vetor de ataque antes que exista um payload, em camadas que se sobrepõem. Segundo o [WPScan](https://wpscan.com/statistics/) (2024), surgiram 7.966 vulnerabilidades no ecossistema, 96% delas em plugins. Cada camada fechada reduz a superfície de ataque entre 15% e 40%. Comece pelo wp-config e pelo login, responsáveis pela maioria das invasões automatizadas. O hardening de segurança WordPress é o processo de reduzir a superfície de ataque do site em camadas independentes, e não a instalação de um único plugin. A diferença importa: um firewall bloqueia o payload quando ele chega, mas o hardening remove o vetor antes que o payload exista. Um site com Wordfence ativo ainda é invadido se o wp-config.php roda com chaves default e o XML-RPC continua aberto. Este guia mostra as 7 camadas que blindam o WordPress sem quebrar o painel, com comandos reais, valores padrão de cada ajuste e o ponto exato onde cada configuração entra. O objetivo é prático: você termina com um checklist aplicável hoje, do servidor ao login. Para o panorama completo, veja o [guias de segurança WordPress da FULL](https://full.services/seguranca-wordpress/). --- ## Diagnóstico rápido: O que o hardening de segurança WordPress cobre O hardening de segurança WordPress cobre sete camadas, e cada uma fecha um vetor distinto que um plugin sozinho não resolve. Em 2024, o XSS respondeu por 53% das vulnerabilidades divulgadas, segundo o WPScan, sinal de que o problema raramente mora no core, e sim em código de terceiros e em configuração frouxa. A tabela abaixo organiza as sete camadas por prioridade de aplicação, com o objetivo de defesa e o check de validação de cada uma. A ordem reflete a profundidade do vetor: o que está mais próximo do servidor entra primeiro.
Hardening de segurança WordPress: 7 camadas, objetivo e validacao
Camada Objetivo de defesa Como validar
wp-config.phpRegenerar SALTs e travar edicao de arquivosDISALLOW_FILE_EDIT ativo no painel
LoginLimitar tentativas e ativar 2FABloqueio apos 5 falhas
Permissoes644 em arquivos, 755 em pastasNenhuma pasta em 777
AtualizacoesCore, plugins e temas em diaZero CVE aberto no scan
Cabeçalhos HTTPHSTS, X-Frame-Options, CSPNota A no securityheaders.com
FirewallWAF bloqueando payload conhecidoRegras OWASP ativas
BackupRestauracao testada e offsiteRestore validado em staging
A ordem importa: começar pelo firewall sem fechar o wp-config.php deixa o WAF na frente de uma porta já destrancada. Nos tickets da FULL, a maioria dos sites reinvadidos tinha plugin de segurança, mas nunca passou pelas camadas de configuração. ## Por que o hardening de segurança WordPress vem antes do plugin O hardening de segurança WordPress precede o plugin porque ele elimina o vetor, enquanto o plugin apenas reage ao ataque em andamento. Um WAF como o Wordfence inspeciona a requisição e bloqueia padrões conhecidos, mas não regenera uma chave AUTH_KEY previsível nem corrige uma das 7 camadas mal configuradas, como permissão 777 em wp-content. A relação causal é direta: AUTH_KEY e SALT default no wp-config.php somados a um cookie de sessão gerado com chave previsível resultam em forja de sessão admin válida, sem o invasor passar pelo formulário de login uma única vez. O firewall não vê esse ataque, porque ele não dispara nenhum payload suspeito. Por isso a sequência correta trata a configuração primeiro e o plugin como camada de reforço, nunca como a primeira linha. Quem inverte a ordem tende a pagar caro: na maior parte dos casos de suporte, o site com WAF e configuração frouxa volta a ser comprometido em dias. ## Passo a passo: Hardening de segurança WordPress do servidor ao login O passo a passo do hardening de segurança WordPress segue do nível mais profundo, o servidor e o wp-config.php, até o login, que é o ponto mais atacado. Cada uma das 4 etapas abaixo é independente e validável em poucos minutos. Aplique na ordem apresentada, porque cada camada assume que a anterior já está fechada. Um ajuste mal sequenciado, como ativar o WAF antes de regenerar as chaves, mantém o vetor aberto por trás do firewall. ### Passo 1: Regenere as chaves de segurança do wp-config.php Abra o wp-config.php e substitua as oito constantes AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY e seus respectivos SALTs por valores gerados na API oficial em `https://api.wordpress.org/secret-key/1.1/salt/`. Chaves default permitem forjar cookies de sessão. Após colar os novos valores, todas as sessões ativas caem e exigem novo login, o que expulsa qualquer sessão sequestrada. Adicione também `define('DISALLOW_FILE_EDIT', true);` para desativar o editor de plugins e temas dentro do painel. Detalhes em [como proteger o wp-config.php no WordPress](https://full.services/proteger-wp-config-wordpress/). ### Passo 2: Ajuste as permissoes de arquivos e pastas Defina 644 para arquivos e 755 para pastas, e nunca deixe wp-config.php acima de 640. Permissão 777 em wp-content combinada com upload sem validação de tipo gera um webshell PHP executável direto do navegador, sem credencial. No terminal, rode `find . -type f -exec chmod 644 {} ;` e `find . -type d -exec chmod 755 {} ;` a partir da raiz do site. Confirme depois que nenhuma pasta ficou gravável por todos. ### Passo 3: Limite tentativas de login e ative o 2FA Instale um plugin que limite tentativas de login a 5 falhas antes do bloqueio temporário e ative a autenticação de dois fatores no painel admin. Login sem limite somado a senha reciclada de vazamento público resulta em sucesso de força bruta automatizada em minutos. Veja o detalhamento em [como evitar ataques de forca bruta no login](https://full.services/como-evitar-ataques-de-forca-bruta-no-login-do-wordpress/) e em [como ativar a autenticacao de dois fatores](https://full.services/como-ativar-a-autenticacao-de-2-fatores-no-wordpress/). ### Passo 4: Feche o xml-rpc e a enumeracao de usuários Fechar o XML-RPC é o passo do hardening de segurança WordPress que mais corta reconhecimento automatizado. Desative o XML-RPC se você não usa o app móvel nem pingbacks, porque ele permite amplificar força bruta testando centenas de senhas por requisição. Bloqueie a enumeração de usuários via `/?author=1`, que entrega nomes de login válidos. No `.htaccess`, negue acesso ao xmlrpc.php e redirecione tentativas de enumeração. Esses dois ajustes cortam dois dos vetores de reconhecimento mais usados por bots. ## Camada de rede: Firewall, cabeçalhos HTTP e HTTPS A camada de rede do hardening de segurança WordPress adiciona um filtro antes da aplicação receber a requisição, e responde por boa parte dos ataques bloqueados em produção. Um WAF como o Cloudflare ou o Wordfence aplica regras no padrão OWASP que barram tentativas de SQL injection e de XSS, que sozinho respondeu por 53% das vulnerabilidades divulgadas em 2024 segundo o WPScan. Os cabeçalhos HTTP fecham a camada do navegador: HSTS força HTTPS, X-Frame-Options impede clickjacking e a Content-Security-Policy restringe scripts a origens confiáveis. Configure o HTTPS com certificado válido antes de ativar o HSTS, porque o HSTS torna o HTTPS obrigatório e um certificado quebrado deixa o site inacessível. A ordem recomendada é certificado, redirecionamento 301 para HTTPS, e só então o cabeçalho HSTS com max-age progressivo. Para o passo a passo, consulte [como adicionar cabeçalhos de segurança HTTP](https://full.services/adicionar-cabecalhos-de-seguranca-http-no-wordpress/). A REST API também merece atenção: restrinja endpoints sensíveis conforme [o guia de proteção da REST API](https://full.services/proteger-rest-api-wordpress/). ## Atualizacoes e gestão de patches: Fechando o CVE antes da exploracao A gestão de patches do hardening de segurança WordPress mantém core, plugins e temas em versões sem CVE conhecido, e esse é o vetor que mais escala. Como 96% das vulnerabilidades de 2024 estavam em plugins, segundo o WPScan, manter o inventário enxuto reduz a superfície de forma direta: cada plugin desinstalado é um vetor a menos. A relação causal é cruel: um plugin desatualizado com CVE público somado à ausência de WAF resulta em exploração automatizada do payload em horas após a divulgação. Habilite atualizações automáticas para releases de segurança do core e revise plugins abandonados, que não recebem patch. Rode um scan de vulnerabilidades periódico para confirmar que nenhum CVE ficou aberto. O passo a passo de verificação está em [como verificar vulnerabilidades no WordPress](https://full.services/como-verificar-vulnerabilidades-wordpress/). Ferramentas como WPScan e Wordfence cruzam a versão instalada com a base de CVEs e apontam o que precisa de patch imediato. ## Backup e plano de recuperacao: A camada que reduz o custo da falha O backup do hardening de segurança WordPress não impede o ataque, ele reduz o custo quando as camadas anteriores falham, e por isso fecha a lista das 7. Um backup útil é diário, automatizado, armazenado offsite e, principalmente, testado: restauração nunca validada em staging não é backup, é esperança. A regra prática é manter pelo menos três cópias, em dois meios diferentes, com uma fora do servidor de produção. Configure a retenção para cobrir o tempo entre o comprometimento e a detecção, que pode passar de uma semana em sites sem monitoramento. Quando o site é invadido, um backup íntegro anterior à infecção transforma um incidente de dias em uma restauração de minutos. Para automatizar isso sem depender de lembrete manual, veja [como configurar backup automático no WordPress](https://full.services/backup-wordpress-automatico/). O plano de recuperação também precisa de um runbook: quem restaura, de onde, e como confirmar que a infecção não voltou junto. ## Quanto custa blindar o WordPress com a FULL Manter as 7 camadas atualizadas exige plugins PRO de segurança, backup e firewall, e é aí que o custo avulso pesa. No plano PRO da FULL, por R$849, você ativa o bundle completo com All in One Security, UpdraftPlus e os demais plugins premium em até 10 sites, o que dá R$85 por site. A conta fecha rápido: licenças avulsas de firewall, backup e otimização passam de R$85 por site só somando três ferramentas. A gente vê no suporte da FULL que o cliente que centraliza as camadas em um bundle único mantém o hardening em dia, porque não precisa renovar cinco licenças separadas. Conheça os planos em [FULL.services/planos](https://full.services/planos).

Legenda: o painel reúne as camadas de hardening em um único fluxo, do wp-config ao firewall.

Para escanear o site agora e descobrir se algum plugin está vulnerável, use o [FULL Scan](https://security.full.services) gratuitamente, sem instalação. Quem precisa consultar um CVE específico encontra o catálogo completo no [repositorio de vulnerabilidades](https://security.full.services/vulnerabilidades-no-wordpress) da FULL, atualizado com dados oficiais. Para aprofundar cada camada, o [guia de segurança para WordPress](https://full.services/guias/guia-de-seguranca-para-wordpress) reúne os tutoriais em sequência. ## Perguntas frequentes sobre hardening de segurança WordPress
O que e hardening de segurança WordPress e por que difere de instalar um plugin?

Hardening é reduzir a superfície de ataque em camadas de configuração, do servidor ao login, e não a instalação de um plugin. O plugin reage ao payload em tempo de execução; o hardening remove o vetor antes que o payload exista. Um site com Wordfence ativo ainda cai se o wp-config.php usa chaves default e as permissões estão em 777. As duas abordagens se somam, mas a configuração vem primeiro.

Por que um site com plugin de segurança instalado ainda pode ser invadido?

Porque o firewall só vê o que passa pela requisição, e parte dos ataques explora configuração frouxa que nunca dispara um payload visível. Uma AUTH_KEY default permite forjar uma sessão admin válida sem tocar o formulário de login, e o WAF não detecta isso. XML-RPC aberto amplifica força bruta por trás do plugin. O hardening fecha esses vetores que o plugin sozinho não cobre.

Qual a diferenca entre hardening de configuração e um firewall WAF?

O firewall WAF inspeciona o tráfego e bloqueia padrões de ataque conhecidos, como SQL injection e XSS, em tempo real. O hardening de configuração elimina o vetor na origem: regenera chaves, corrige permissões e desativa serviços expostos como o XML-RPC. O WAF é reativo e o hardening é preventivo. Em 2024, o XSS respondeu por 53% das vulnerabilidades segundo o WPScan, então as duas camadas se complementam.

E possível fazer hardening do WordPress sem quebrar plugins e o painel?

Sim, é possível, desde que você aplique cada camada de forma incremental e valide antes de avançar. Regenerar SALTs apenas força um novo login; ativar DISALLOW_FILE_EDIT remove o editor de código sem afetar funções. O risco mora em ativar HSTS sem certificado válido ou bloquear a REST API por completo. Por isso o passo a passo testa cada ajuste em staging antes da produção, mantendo o painel funcional.

Quanto tempo leva para um CVE de plugin ser explorado depois de divulgado?

Costuma levar de horas a poucos dias, porque bots monitoram a divulgação pública e disparam o exploit automatizado quase imediatamente. Com 96% das vulnerabilidades de 2024 em plugins, segundo o WPScan, a janela entre o anúncio do CVE e a tentativa de exploração é curta. Por isso a atualização automática de releases de segurança e um WAF com regras OWASP atualizadas são o que reduz essa exposição na prática.

## Próximos passos para manter o WordPress blindado O hardening de segurança WordPress não é um projeto único, é uma rotina de manutenção que mantém as 7 camadas em dia conforme novos CVEs surgem. Comece hoje pelas duas camadas de maior retorno, o wp-config.php e o login, que respondem pela maior parte das invasões automatizadas. Depois suba para a rede, com firewall e cabeçalhos HTTP, e feche com backup testado. Reescaneie o site mensalmente para confirmar que nenhum plugin abriu um vetor novo. Para continuar aprendendo, o [FULL Academy](https://full.services/academy/) reúne os tutoriais, guias e reviews de segurança em um só lugar, na sequência certa para aplicar sem quebrar nada. --- ## Metadados Estruturados (Schema.org) ```json-ld { "@context": "https://schema.org", "@graph": [ { "@type": "TechArticle", "@id": "https://full.services/hardening-de-seguranca-wordpress/#article", "headline": "Hardening de segurança WordPress em 7 camadas essenciais", "description": "O hardening de segurança WordPress é o processo de reduzir a superfície de ataque do site em camadas independentes, e não a instalação de um único plugin.", "url": "https://full.services/hardening-de-seguranca-wordpress/", "datePublished": "2026-06-27T09:00:00-03:00", "dateModified": "2026-06-27T09:00:00-03:00", "inLanguage": "pt-BR", "articleSection": "Seguranca WordPress", "keywords": [ "hardening de seguranca wordpress", "WordPress Security", "Cybersecurity", "CVE" ], "author": { "@id": "https://full.services/#person-clayton" }, "publisher": { "@id": "https://full.services/#org" }, "about": [ { "@type": "Thing", "name": "WordPress Security" }, { "@type": "Thing", "name": "Cybersecurity", "@id": "https://www.wikidata.org/wiki/Q3510521", "sameAs": "https://www.wikidata.org/wiki/Q3510521" }, { "@type": "Thing", "name": "CVE", "@id": "https://www.wikidata.org/wiki/Q94950995", "sameAs": "https://www.wikidata.org/wiki/Q94950995" } ], "mentions": [ { "@type": "Organization", "name": "CISA", "url": "https://www.cisa.gov/", "@id": "https://www.wikidata.org/wiki/Q5205058", "sameAs": "https://www.wikidata.org/wiki/Q5205058" }, { "@type": "Organization", "name": "CVE Program", "url": "https://www.cve.org/", "@id": "https://www.wikidata.org/wiki/Q94950995", "sameAs": "https://www.wikidata.org/wiki/Q94950995" }, { "@type": "Organization", "name": "WordPress", "url": "https://wordpress.org/", "@id": "https://www.wikidata.org/wiki/Q13166", "sameAs": "https://www.wikidata.org/wiki/Q13166" } ], "mainEntityOfPage": { "@type": "WebPage", "@id": "https://full.services/hardening-de-seguranca-wordpress/" }, "wordCount": 2443, "citation": [ { "@type": "CreativeWork", "name": "WPScan Vulnerability DB", "url": "https://wpscan.com/statistics/", "publisher": { "@type": "Organization", "name": "WPScan Vulnerability DB" } } ] }, { "@type": "FAQPage", "@id": "https://full.services/hardening-de-seguranca-wordpress/#faq", "isPartOf": { "@id": "https://full.services/hardening-de-seguranca-wordpress/#article" }, "mainEntity": [ { "@type": "Question", "@id": "https://full.services/hardening-de-seguranca-wordpress/#faq-q1", "name": "O que e hardening de segurança WordPress e por que difere de instalar um plugin?", "inLanguage": "pt-BR", "acceptedAnswer": { "@type": "Answer", "text": "Hardening é reduzir a superfície de ataque em camadas de configuração, do servidor ao login, e não a instalação de um plugin. O plugin reage ao payload em tempo de execução; o hardening remove o vetor antes que o payload exista. Um site com Wordfence ativo ainda cai se o wp-config.php usa chaves default e as permissões estão em 777. As duas abordagens se somam, mas a configuração vem primeiro.", "author": { "@id": "https://full.services/#org" } } }, { "@type": "Question", "@id": "https://full.services/hardening-de-seguranca-wordpress/#faq-q2", "name": "Por que um site com plugin de segurança instalado ainda pode ser invadido?", "inLanguage": "pt-BR", "acceptedAnswer": { "@type": "Answer", "text": "Porque o firewall só vê o que passa pela requisição, e parte dos ataques explora configuração frouxa que nunca dispara um payload visível. Uma AUTH_KEY default permite forjar uma sessão admin válida sem tocar o formulário de login, e o WAF não detecta isso. XML-RPC aberto amplifica força bruta por trás do plugin. O hardening fecha esses vetores que o plugin sozinho não cobre.", "author": { "@id": "https://full.services/#org" } } }, { "@type": "Question", "@id": "https://full.services/hardening-de-seguranca-wordpress/#faq-q3", "name": "Qual a diferenca entre hardening de configuração e um firewall WAF?", "inLanguage": "pt-BR", "acceptedAnswer": { "@type": "Answer", "text": "O firewall WAF inspeciona o tráfego e bloqueia padrões de ataque conhecidos, como SQL injection e XSS, em tempo real. O hardening de configuração elimina o vetor na origem: regenera chaves, corrige permissões e desativa serviços expostos como o XML-RPC. O WAF é reativo e o hardening é preventivo. Em 2024, o XSS respondeu por 53% das vulnerabilidades segundo o WPScan, então as duas camadas se complementam.", "author": { "@id": "https://full.services/#org" } } }, { "@type": "Question", "@id": "https://full.services/hardening-de-seguranca-wordpress/#faq-q4", "name": "E possível fazer hardening do WordPress sem quebrar plugins e o painel?", "inLanguage": "pt-BR", "acceptedAnswer": { "@type": "Answer", "text": "Sim, é possível, desde que você aplique cada camada de forma incremental e valide antes de avançar. Regenerar SALTs apenas força um novo login; ativar DISALLOW_FILE_EDIT remove o editor de código sem afetar funções. O risco mora em ativar HSTS sem certificado válido ou bloquear a REST API por completo. Por isso o passo a passo testa cada ajuste em staging antes da produção, mantendo o painel funcional.", "author": { "@id": "https://full.services/#org" } } }, { "@type": "Question", "@id": "https://full.services/hardening-de-seguranca-wordpress/#faq-q5", "name": "Quanto tempo leva para um CVE de plugin ser explorado depois de divulgado?", "inLanguage": "pt-BR", "acceptedAnswer": { "@type": "Answer", "text": "Costuma levar de horas a poucos dias, porque bots monitoram a divulgação pública e disparam o exploit automatizado quase imediatamente. Com 96% das vulnerabilidades de 2024 em plugins, segundo o WPScan, a janela entre o anúncio do CVE e a tentativa de exploração é curta. Por isso a atualização automática de releases de segurança e um WAF com regras OWASP atualizadas são o que reduz essa exposição na prática.", "author": { "@id": "https://full.services/#org" } } } ] }, { "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Home", "item": "https://full.services/" }, { "@type": "ListItem", "position": 2, "name": "Seguranca WordPress", "item": "https://full.services/seguranca-wordpress/" }, { "@type": "ListItem", "position": 3, "name": "Hardening de segurança WordPress em 7 camadas essenciais", "item": "https://full.services/hardening-de-seguranca-wordpress/" } ] }, { "@type": "Organization", "@id": "https://full.services/#org", "name": "FULL Services", "url": "https://full.services", "logo": { "@type": "ImageObject", "url": "https://full.services/wp-content/uploads/full-services-logo.png", "width": 200, "height": 60 }, "sameAs": [ "https://www.instagram.com/fullservicesbr", "https://www.facebook.com/fullservices.br", "https://www.linkedin.com/company/fullservicesbr/" ], "knowsAbout": [ "WordPress", "WordPress Hosting", "Web Development", "Performance Optimization", "WordPress Security", "SEO para WordPress" ], "award": [ "Gold Medal - The WP Weekly Awards 2023 (https://thewpweekly.com/awards-2023/)", "Gold Medal - The WP Weekly Awards 2024 (https://thewpweekly.com/awards-2024/)" ], "hasCredential": { "@type": "EducationalOccupationalCredential", "credentialCategory": "certification", "name": "CVE Numbering Authority (CNA)", "description": "Autoridade de numeração de vulnerabilidades (CVE) para o ecossistema WordPress, autorizada a atribuir IDs CVE. Certificação válida desde 2022-05-03, com abrangência global.", "url": "https://www.cve.org/PartnerInformation/ListofPartners/partner/FULL", "recognizedBy": { "@type": "Organization", "name": "CISA — Cybersecurity and Infrastructure Security Agency", "url": "https://www.cisa.gov/", "sameAs": "https://www.cisa.gov/" } } }, { "@type": "Person", "@id": "https://full.services/#person-clayton", "name": "Clayton Margiotti", "givenName": "Clayton", "familyName": "Margiotti", "jobTitle": "Fundador e CEO da FULL Services", "description": "Fundador e CEO da FULL Services, plataforma WordPress SaaS com 50 mil clientes e 150 mil sites conectados, e anchor do ecossistema Elevor Global. Em 2024 conduziu a FULL a se tornar a primeira e unica empresa brasileira aprovada como CVE Numbering Authority sob a CISA (DHS/EUA). Mais de 20 anos construindo empresas digitais, com 13+ reconhecimentos internacionais (Facebook, GPTW, ONU, RD Summit).", "url": "https://full.services/sobre-nos/", "image": "https://full.services/wp-content/uploads/2026/05/clayton-margiotti.jpg", "sameAs": [ "https://www.linkedin.com/in/cmargiotti/" ], "knowsAbout": [ "Artificial Intelligence", "Cybersecurity", "CVE Program", "WordPress Enterprise", "SaaS Platforms", "Digital Infrastructure", "Technology Entrepreneurship", "Company Building", "Business Leadership", "Digital Growth" ], "hasOccupation": { "@type": "Occupation", "name": "Fundador e CEO", "occupationalCategory": "11-1011.00" }, "knowsLanguage": [ { "@type": "Language", "name": "Portuguese", "alternateName": "pt-BR" }, { "@type": "Language", "name": "English", "alternateName": "en" } ], "memberOf": { "@type": "Organization", "name": "CVE Numbering Authorities", "url": "https://www.cve.org/", "sameAs": "https://www.cve.org/" }, "alumniOf": [ { "@type": "EducationalOrganization", "name": "Global Scaling Academy (Blitzscaling Program)", "url": "https://www.blitzscalingacademy.com" }, { "@type": "EducationalOrganization", "name": "Esade", "url": "https://www.esade.edu" }, { "@type": "EducationalOrganization", "name": "Business School Sao Paulo (BSP)", "url": "https://bsp.edu.br/" }, { "@type": "EducationalOrganization", "name": "Tera", "url": "https://somostera.com" }, { "@type": "EducationalOrganization", "name": "Le Wagon", "url": "https://www.lewagon.com" }, { "@type": "EducationalOrganization", "name": "FIAP", "url": "https://www.fiap.com.br" }, { "@type": "EducationalOrganization", "name": "PUCRS", "url": "https://online.pucrs.br/" } ], "award": [ "Digital Disruptor – Engaging Experiences Master (Globant, 2021)", "Maior ROI do e-commerce brasileiro – Letrissimas (Facebook, 2019)", "1º lugar – Melhores Empresas para Trabalhar no Brasil – Eleva Digital (Great Place to Work, 2018)", "Case global de educacao no Facebook – Metodo SUPERA (Facebook, 2017)", "Maquina de Geracao de Leads, Agencia do Ano (RD Summit / RD Station, 2015)", "Monthly Recurring Revenue, top performance (RD Summit / RD Station, 2015)", "Quality/Efficiency – Entrepreneurship Training (UNCTAD / PNUD-ONU, 2010)" ], "subjectOf": [ { "@type": "NewsArticle", "url": "https://www.globant.com/news/globant-reveals-inaugural-digital-disruptors-award-winners", "publisher": { "@type": "Organization", "name": "Globant" } }, { "@type": "NewsArticle", "url": "https://www.prnewswire.com/news-releases/letrissimas-com-e-destaque-do-e-commerce-brasileiro-com-maior-roi-de-2018-877517801.html", "publisher": { "@type": "Organization", "name": "PR Newswire" } }, { "@type": "NewsArticle", "url": "https://www.segs.com.br/seguros/102599-gestao-de-pessoas-garante-mais-lucro-as-empresas", "publisher": { "@type": "Organization", "name": "Segs" } }, { "@type": "NewsArticle", "url": "https://franquiaeducacional.com/negocios-inovadores-facebook-elege-supera-case-mundial-de-educacao", "publisher": { "@type": "Organization", "name": "Franquia Educacional" } }, { "@type": "NewsArticle", "url": "https://acontecendoaqui.com.br/marketing/resultados-digitais-divulga-vencedores-do-premio-agencias-de-resultados-2015-durante-o-rd", "publisher": { "@type": "Organization", "name": "Acontecendo Aqui" } } ], "worksFor": { "@type": "Organization", "@id": "https://full.services/#org" } }, { "@type": "HowTo", "@id": "https://full.services/hardening-de-seguranca-wordpress/#howto", "isPartOf": { "@id": "https://full.services/hardening-de-seguranca-wordpress/#article" }, "name": "Passo a passo: hardening de seguranca wordpress", "description": "Guia passo a passo sobre hardening de seguranca wordpress para WordPress.", "url": "https://full.services/hardening-de-seguranca-wordpress/", "totalTime": "PT24M", "author": { "@type": "Organization", "@id": "https://full.services/#org" }, "step": [ { "@type": "HowToStep", "position": 1, "name": "Passo 1: Regenere as chaves de segurança do wp-config.php", "text": "Abra o wp-config.php e substitua as oito constantes AUTH_KEY, SECURE_AUTH_KEY, LOGGED_IN_KEY, NONCE_KEY e seus respectivos SALTs por valores gerados na API oficial em `https://api.wordpress.org/secret-key/1.1/salt/`. Chaves default permitem forjar cookies de sessão. Após colar os novos valores, todas as sessões ativas caem e exigem novo login, o que expulsa qualquer sessão sequestrada. Adicione também `define('DISALLOW_FILE_EDIT', true);` para desativar o editor de plugins e temas dentro do painel. Detalhes em como proteger o wp-config.php no WordPress." }, { "@type": "HowToStep", "position": 2, "name": "Passo 2: Ajuste as permissoes de arquivos e pastas", "text": "Defina 644 para arquivos e 755 para pastas, e nunca deixe wp-config.php acima de 640. Permissão 777 em wp-content combinada com upload sem validação de tipo gera um webshell PHP executável direto do navegador, sem credencial. No terminal, rode `find . -type f -exec chmod 644 {} \;` e `find . -type d -exec chmod 755 {} \;` a partir da raiz do site. Confirme depois que nenhuma pasta ficou gravável por todos." }, { "@type": "HowToStep", "position": 3, "name": "Passo 3: Limite tentativas de login e ative o 2FA", "text": "Instale um plugin que limite tentativas de login a 5 falhas antes do bloqueio temporário e ative a autenticação de dois fatores no painel admin. Login sem limite somado a senha reciclada de vazamento público resulta em sucesso de força bruta automatizada em minutos. Veja o detalhamento em como evitar ataques de forca bruta no login e em como ativar a autenticacao de dois fatores." }, { "@type": "HowToStep", "position": 4, "name": "Passo 4: Feche o xml-rpc e a enumeracao de usuários", "text": "Fechar o XML-RPC é o passo do hardening de segurança WordPress que mais corta reconhecimento automatizado. Desative o XML-RPC se você não usa o app móvel nem pingbacks, porque ele permite amplificar força bruta testando centenas de senhas por requisição. Bloqueie a enumeração de usuários via `/?author=1`, que entrega nomes de login válidos. No `.htaccess`, negue acesso ao xmlrpc.php e redirecione tentativas de enumeração. Esses dois ajustes cortam dois dos vetores de reconhecimento mais usados por bots. A camada de rede do hardening de segurança WordPress adiciona um filtro antes da aplicação receber a requisição, e responde por boa parte dos ataques bloqueados em produção. Um WAF como o Cloudflare ou o Wordfence aplica regras no padrão OWASP que barram tentativas de SQL injection e de XSS, que sozinho respondeu por 53% das vulnerabilidades divulgadas em 2024 segundo o WPScan. Os cabeçalhos HTTP fecham a camada do navegador: HSTS força HTTPS, X-Frame-Options impede clickjacking e a Content-Security-Policy restringe scripts a origens confiáveis. Configure o HTTPS com certificado válido antes de ativar o HSTS, porque o HSTS torna o HTTPS obrigatório e um certificado quebrado deixa o" } ] } ] } ```