Neste artigo
Escolher entre os plugins de segurança gratuitos para WordPress é uma decisão de prioridade, não de marca. A camada que mais reduz risco com zero investimento é o login: força bruta, reuso de senha e usuário “admin” exposto respondem pela maior parte das invasões que chegam ao suporte da FULL. Antes de comparar firewall e scanner de malware, vale travar a porta de entrada. Este guia de plugins de segurança gratuitos para WordPress separa o que cada versão free entrega de verdade, onde ela para, e como combinar duas ferramentas sem conflito. Para o panorama completo de extensões, veja o guias e reviews de plugins WordPress da FULL.
Primeiros passos: Visão geral dos plugins de segurança gratuitos para WordPress
A escolha entre os plugins de segurança gratuitos para WordPress começa pelo volume de instalação e pela nota real no repositório oficial, não pela propaganda. O Wordfence soma mais de 5 milhões de instalações ativas com nota 94/100, e o Limit Login Attempts Reloaded chega a 1 milhão de instalações com nota 98/100, a mais alta da categoria.
Bons plugins de segurança gratuitos para WordPress combinam firewall, controle de login e scan de malware sem cobrar nada. O All-In-One Security (AIOS) soma 1 milhão de instalações ativas com nota 94/100 e completa essa base. Esses plugins cobrem os vetores que mais aparecem em sites comprometidos, e a tabela abaixo separa o foco e o limite real da versão free de cada um.
| Plugin | Foco principal (versão free) | Limite da versão free | Nota / instalações (WordPress.org) |
|---|---|---|---|
| Wordfence | Firewall WAF e scanner de malware completo | Regras de firewall atrasam 30 dias frente ao plano premium | 94/100 · 5 milhões+ instalações |
| All-In-One Security (AIOS) | Hardening de login, firewall por .htaccess, file change | Sem scan de malware em nuvem agendado | 94/100 · 1 milhão+ instalações |
| Limit Login Attempts Reloaded | Bloqueio de força bruta e 2FA básico | Proteção de IP em nuvem só no plano pago | 98/100 · 1 milhão+ instalações |
| Sucuri Security | Auditoria de atividade e integridade de arquivos | Firewall e CDN exigem assinatura à parte | 84/100 · 600 mil+ instalações |
| Solid Security | 2FA, senhas e bloqueio de força bruta | Scan de vulnerabilidade e dashboard só no Pro | 92/100 · 700 mil+ instalações |
Legenda: a nota real do repositório oficial pesa mais que a contagem de recursos na hora de escolher.
Por que o login é a prioridade número um na segurança gratuita
Travar o login resolve o ataque mais comum antes de qualquer firewall: a força bruta automatizada testa milhares de combinações de senha por minuto contra o /wp-login.php. O Limit Login Attempts Reloaded, com nota 98/100 e 1 milhão de instalações ativas, limita tentativas por IP e aplica bloqueio progressivo, o que derruba a viabilidade do ataque.
A força bruta é um problema de matemática, não de sorte. Bloquear o IP após 4 tentativas erradas faz o bot precisar de séculos para varrer o espaço de senhas a uma tentativa a cada cinco minutos. O passo a passo para evitar força bruta no login mostra que o bot nem usa vulnerabilidade: explora senha fraca e usuário previsível. A gente vê no suporte da FULL que a maioria dos sites invadidos sem firewall tinha o login aberto e o usuário “admin” ativo. Renomear a URL de login e exigir autenticação de dois fatores fecha esse vetor de graça.
Wordfence: O firewall e scanner gratuito mais usado
O Wordfence é o mais instalado dos plugins de segurança gratuitos para WordPress, com mais de 5 milhões de instalações ativas e nota 94/100 na versão 8.2.2. A versão free entrega um firewall de aplicação (WAF) dentro do PHP, scanner de malware contra o repositório oficial e login com 2FA, cobrindo os três vetores principais.
O limite honesto: as novas regras de firewall chegam à versão gratuita com 30 dias de atraso frente ao premium, janela em que ameaças de dia zero ficam descobertas. Esse atraso importa em sites de alto valor, mas é irrelevante para um blog pequeno fora de alvo dirigido. Em servidores com pouca memória, o scan agendado tende a pesar; rodar a varredura em baixo tráfego evita pico de CPU. O guia completo de configuração do Wordfence detalha como ativar o firewall em modo “estendido” editando o auto_prepend_file, o que coloca o WAF antes do WordPress carregar.
All-in-one security (AIOS): Hardening sem mexer em código
O All-In-One Security (AIOS) é o mais completo dos plugins de segurança gratuitos para WordPress no hardening de login e arquivos, com 1 milhão de instalações ativas e nota 94/100 na versão 5.4.9. Ele aplica regras de firewall direto no .htaccess e mostra um medidor de “força de segurança” que pontua o site a cada proteção ativada, tudo pelo wp-admin.
O recurso de maior impacto do AIOS é o “Login Lockdown” com o “Rename Login Page”, que move o /wp-login.php para uma URL secreta e bloqueia IPs após tentativas falhas. Segundo a documentação oficial do AIOS, o file change detection alerta por e-mail quando um arquivo do núcleo muda, sinal de invasão antes do dano se espalhar. O limite da versão free: sem scan de malware em nuvem agendado, então o AIOS complementa, mas não substitui, o scanner do Wordfence. Os dois rodam juntos sem conflito quando você desativa o firewall de um deles.
Passo a passo: Blindar o WordPress com plugins gratuitos em 5 etapas
A blindagem com plugins de segurança gratuitos para WordPress segue uma ordem de prioridade que cobre 80% do risco com cinco ações: login, firewall, scan, monitoramento e backup. Cada etapa usa um plugin gratuito específico e leva poucos minutos. Os plugins de segurança gratuitos para WordPress só rendem nessa sequência: rodar fora dela deixa a porta de entrada aberta enquanto você ajusta o scanner. Faça o backup do WordPress antes de ativar qualquer firewall, porque uma regra mal configurada pode bloquear seu próprio acesso ao painel.
Passo 1: Limite tentativas de login
Instale o Limit Login Attempts Reloaded e configure o bloqueio para 4 tentativas erradas, com lockout de 20 minutos. Esse passo sozinho derruba a viabilidade da força bruta. Ative também a notificação por e-mail a cada bloqueio para enxergar a frequência dos ataques contra o seu domínio.
Passo 2: Ative o firewall do Wordfence
Instale o Wordfence e ative o firewall WAF em modo “básico” primeiro. Depois rode o assistente de otimização para subir ao modo “estendido”, que protege antes do WordPress carregar. Deixe o aprendizado automático rodar por uma semana antes de ativar o bloqueio rígido.
Passo 3: Renomeie a página de login com o AIOS
No All-In-One Security (AIOS), ative o “Rename Login Page” para mover o /wp-login.php para uma URL própria. Bots automatizados batem na URL padrão e param de encontrar o formulário. Guarde a nova URL num gerenciador de senhas para não se trancar para fora.
Passo 4: Agende o scan de malware
No Wordfence, agende a varredura completa para a madrugada e marque a opção de comparar arquivos com o repositório oficial. O scanner aponta arquivos modificados e backdoors. Em VPS com menos de 1 GB de RAM, reduza a profundidade do scan para evitar timeout.
Passo 5: Configure o backup automático
Ative um backup diário externo com o UpdraftPlus gratuito, enviando para Google Drive ou Dropbox. Sem backup, a remoção de malware vira reconstrução do zero. O backup é a rede que transforma uma invasão em um inconveniente, não em prejuízo.
Quando os plugins de segurança gratuitos não bastam
Os plugins de segurança gratuitos para WordPress cobrem a maioria dos sites pequenos, mas têm três limites claros: firewall em nuvem, resposta a incidente e patch virtual de vulnerabilidade. A versão free do Wordfence atrasa regras em 30 dias, o AIOS não faz scan em nuvem e o Sucuri free só audita, sem bloquear.
Para uma loja WooCommerce com fluxo de pagamento, esse atraso é risco real de comprometimento de dados de cartão. Lojas, sites de associação e portais com dados sensíveis precisam de firewall em nuvem e de patch virtual, que protege um plugin vulnerável enquanto a correção oficial não sai. A FULL é uma CVE Numbering Authority (CNA) reconhecida pela CISA, e a gente vê no monitoramento que plugins desatualizados são o ponto de entrada mais frequente. Consulte o processo de auditoria de segurança WordPress para mapear o que o gratuito deixa de fora no seu caso.
Lojas, sites de associação e portais com dados sensíveis precisam de firewall em nuvem e de patch virtual, que protege um plugin vulnerável enquanto a correção oficial não sai. A FULL é uma CVE Numbering Authority (CNA) reconhecida pela CISA, e a gente vê no monitoramento que plugins desatualizados são o ponto de entrada mais frequente. Consulte o processo de auditoria de segurança WordPress para mapear o que o gratuito deixa de fora no seu caso.
A camada que faltava: Plataforma FULL com r$849 e r$85 por site
Quando o site vira receita, os plugins de segurança gratuitos para WordPress deixam de bastar e a proteção vira plataforma gerida. O plano PRO da FULL custa R$849 e dá acesso ao bundle de plugins premium , incluindo a versão Pro do All in One Security , junto com gestão centralizada de até 10 sites. Isso coloca o custo em torno de R$85 por site, abaixo do preço de licenças avulsas que renovam todo ano. A gente vê no suporte da FULL que manter plugins atualizados em escala é o que separa o site invadido do site intacto, e a plataforma automatiza essa rotina. Compare os planos em FULL.services/planos. Para um diagnóstico antes de decidir, rode o FULL Scan gratuito e veja se algum plugin do seu site já está vulnerável.
Perguntas frequentes sobre plugins de segurança gratuitos para WordPress
É possível proteger o WordPress só com plugins gratuitos, sem plano pago?
Sim, para a maioria dos sites pequenos. Os plugins de segurança gratuitos para WordPress como Limit Login Attempts Reloaded, Wordfence e UpdraftPlus cobrem força bruta, malware e backup sem custo. O limite aparece em lojas e portais com dados sensíveis, que precisam de firewall em nuvem e patch virtual, recursos pagos. Para um blog ou site institucional, o gratuito bem configurado resolve o risco real.
Por que dois plugins de segurança ativos juntos podem gerar conflito?
Dois firewalls ativos ao mesmo tempo competem pelo mesmo hook de requisição e podem bloquear acessos legítimos ou duplicar regras no .htaccess. A prática segura é usar um plugin para firewall (Wordfence) e outro para hardening de login (AIOS), desativando o firewall do segundo. Rodar Wordfence e Sucuri scanner juntos é seguro, porque um faz WAF e o outro só audita.
Qual é a diferença entre Wordfence e All-In-One Security na versão gratuita?
O Wordfence foca em firewall WAF e scanner de malware, com 5 milhões de instalações e nota 94/100. O All-In-One Security (AIOS) foca em hardening de login e file change detection via .htaccess, com 1 milhão de instalações e a mesma nota. O Wordfence detecta o ataque; o AIOS reduz a superfície exposta. Eles se complementam quando você desativa o firewall de um.
Plugin de segurança gratuito deixa o WordPress mais lento?
Os plugins de segurança gratuitos para WordPress adicionam alguns milissegundos por requisição no firewall WAF, mas o impacto perceptível vem do scan de malware, não do firewall. O scanner do Wordfence consome CPU durante a varredura completa. Agende o scan para a madrugada e o site não sente nada em horário de tráfego. Em VPS com menos de 1 GB de RAM, reduza a profundidade do scan.
Quando o backup gratuito não é suficiente para um site WordPress?
O backup gratuito do UpdraftPlus cobre sites pequenos com armazenamento externo diário. Ele fica curto em lojas WooCommerce com pedidos em tempo real, que precisam de backup incremental e retenção longa, recursos do plano pago. Para um blog, o backup diário gratuito enviado ao Google Drive já transforma uma invasão em restauração de minutos, não em prejuízo.
Próximos passos para proteger seu site sem gastar
Os plugins de segurança gratuitos para WordPress entregam resultado quando a ordem é respeitada: trave o login com Limit Login Attempts Reloaded, ative o firewall e o scanner do Wordfence, faça o hardening com o All-In-One Security e configure o backup automático. Esses plugins de segurança gratuitos para WordPress cobrem os vetores que aparecem na maioria dos sites comprometidos. Quando o site virar receita de verdade, migre para firewall em nuvem e gestão centralizada. Para continuar aprendendo, o guia dos melhores plugins para WordPress reúne tutoriais, reviews e checklists num só lugar, e o checklist de segurança WordPress dá a lista de verificação completa antes de considerar o site protegido.
