Um site WordPress é PHP, JavaScript e uma base de dados a correr num servidor que muda por baixo dele: as versões do PHP perdem suporte, os plugins recebem atualizações todas as semanas e são publicadas vulnerabilidades novas todos os dias. Um site esquecido durante um ano normalmente ainda abre. O problema surge no dia em que é preciso instalar uma atualização e faltam cinco.
Sou Mariusz Szatkowski e trabalho com WordPress desde 2006. Faço manutenção sozinho, a partir de Gdynia (Polónia), por isso quem atualiza o seu site é a mesma pessoa a quem escreve. Este guia explica o que a manutenção profissional inclui.
Manutenção WordPress por conta própria ou profissional?
| Área | Por conta própria | Profissional |
|---|---|---|
| Atualizações | ”Atualizar tudo” no painel e um ecrã branco à sexta-feira à noite | Teste numa cópia de staging, capturas de ecrã comparadas, ponto de reversão pronto |
| Backups | Os do alojamento, que desaparecem com a conta suspensa | Regra 3-2-1, uma cópia fora do alojamento, restauro testado |
| Segurança | Sem monitorização, o malware fica semanas por detetar | Verificação de ficheiros alterados, uptime a cada 1 a 5 minutos, WAF à frente |
| Performance | Corrigir páginas lentas quando alguém se queixa | Limpeza da base de dados e Core Web Vitals revistos após as atualizações |
Como atualizar o WordPress com segurança
A forma mais comum de um site deixar de funcionar é uma atualização não testada: entrar no painel, selecionar todas as atualizações, um clique, e aparece um ecrã branco.
Como faço:
- Primeiro em staging: as atualizações correm numa cópia do site, nunca diretamente em produção.
- Capturas de ecrã: as páginas principais são capturadas antes e depois, e as diferenças são verificadas.
- Ordem: os patches de segurança saem assim que passam o staging. As atualizações de funcionalidades podem esperar alguns dias até outros utilizadores reportarem falhas.
A verdadeira questão é a compatibilidade. O seu tema corre na versão do PHP para a qual o alojamento vai migrar? O módulo do WooCommerce suporta o core mais recente? Essa resposta deve existir antes da atualização, e é para isso que serve a manutenção de sites WordPress, feita num ambiente de staging.
Conflitos entre plugins
Quando dois plugins tentam alterar a mesma funcionalidade, o resultado vai de um erro visual a um site em baixo. Antes de cada ciclo leio as notas de versão dos plugins ativos e procuro conflitos conhecidos; se algum surge em staging, a produção não é tocada até estar resolvido.
Como fazer backups do WordPress com a regra 3-2-1
A maioria dos alojamentos inclui backups. Deixam de servir no dia em que a conta é suspensa ou comprometida, porque o site e os backups estão no mesmo sítio.
A regra 3-2-1 resolve isso:
- três cópias dos dados,
- em dois tipos de armazenamento diferentes,
- com uma cópia fora da conta de alojamento, por exemplo em armazenamento de objetos ou num serviço de backup dedicado.
Guardo os backups durante 30 dias ou mais, em países da UE. Um backup só conta depois de restaurado, por isso testo o restauro num ambiente isolado em vez de assumir que funciona.
Como monitorizar a segurança do WordPress
- Ficheiros alterados: os ficheiros do core, plugins e temas são comparados com as versões conhecidas para detetar alterações não autorizadas, um sinal frequente de malware.
- Uptime: o site é verificado a cada 1 a 5 minutos e recebo um alerta quando deixa de responder.
- Vulnerabilidades: os plugins instalados são comparados com as bases de dados da Patchstack e da WPScan.
- Firewall (WAF): o Cloudflare ou uma firewall ao nível do servidor filtra bots maliciosos antes de chegarem ao site.
A monitorização avisa cedo que algo está mal. Não torna um site impossível de atacar, e não ofereço piquete 24/7.
Ataques mais comuns a sites WordPress
Segundo os relatórios anuais da Patchstack, a grande maioria das vulnerabilidades do ecossistema WordPress está em plugins e temas, não no core. Os vetores mais comuns:
- Plugins abandonados: sem atualizações de segurança, ficam abertos a quem conhece a falha.
- Plugins comprometidos na origem: código malicioso distribuído através de uma atualização de um plugin legítimo.
- Força bruta no login: tentativas automáticas de credenciais, travadas com autenticação de dois fatores e limite de tentativas.
- Injeção SQL: plugins que não usam prepared statements nas consultas à base de dados.
Como respondo a um incidente de segurança
Quando um incidente de segurança acontece:
- Contenção: isolar o site para evitar mais danos.
- Preservação: copiar o estado comprometido para análise.
- Investigação: identificar o vetor de ataque, o alcance e a cronologia.
- Limpeza: remover código malicioso, backdoors e contas não autorizadas.
- Reforço: fechar a falha usada e endurecer a configuração.
- Relatório: descrição escrita do incidente com recomendações.
RGPD, Lei n.º 58/2019 e CNPD
Em Portugal, a Lei n.º 58/2019 assegura a execução do RGPD, e a Comissão Nacional de Proteção de Dados (CNPD) é a autoridade de controlo. O artigo 32.º do RGPD exige medidas de segurança adequadas ao risco: software atualizado, backups cifrados, autenticação de dois fatores para administradores e uma lista dos scripts de terceiros que tratam dados dos visitantes.
Quem faz a manutenção de um site com dados pessoais trata-os por conta do cliente. Por isso assinamos um acordo de subcontratação nos termos do artigo 28.º do RGPD antes de eu ter acesso. Se uma violação afetar dados pessoais, o responsável pelo tratamento tem 72 horas para a notificar à CNPD (artigo 33.º), e eu forneço a informação técnica necessária.
Como otimizar a performance do WordPress
A manutenção inclui:
- Base de dados: limpar revisões, transients expirados, spam, metadados órfãos e tabelas de plugins desinstalados.
- Recursos do servidor: acompanhar os PHP workers e a memória para que os picos de tráfego não deitem o site abaixo.
- Imagens: novos uploads servidos em AVIF ou WebP.
- Cache de objetos: Redis ou Memcached em sites com mais tráfego.
Core Web Vitals
Meço os Core Web Vitals com visitas reais ao seu site, com os limiares que a Google publica em web.dev:
- LCP (Largest Contentful Paint): abaixo de 2,5 segundos.
- INP (Interaction to Next Paint): abaixo de 200 ms. Substituiu o FID em março de 2024.
- CLS (Cumulative Layout Shift): abaixo de 0,1.
Quanto custa manter o WordPress por conta própria?
O custo real tem três partes:
- Tempo: algumas horas por mês com atualizações, backups e verificações.
- Risco: se uma atualização partir o checkout, sabe ler o registo de erros do PHP e reverter?
- Custo de oportunidade: cada hora passada a corrigir plugins é uma hora a menos no negócio.
Manutenção WordPress por tipo de site
Lojas WooCommerce
Depois de cada atualização verifico o checkout, os pagamentos (por exemplo Multibanco ou MB WAY através do seu prestador de pagamentos) e os dados de produto, e confirmo que as extensões são compatíveis com o core e a versão do PHP atuais.
Sites de membros
Contas de utilizador acrescentam registo, controlo de acessos e plugins de membros com atualizações próprias. A monitorização deve detetar tentativas de acesso às credenciais dos utilizadores.
Sites institucionais
Têm menos exigência técnica, mas são muitas vezes o primeiro contacto com a empresa. Precisam igualmente de backups, atualizações e monitorização.
Porquê a WPPoland?
A WPPoland sou eu, Mariusz Szatkowski, programador sénior de WordPress desde 2006. Publiquei 30 plugins gratuitos no WordPress.org e organizo o WordCamp Gdynia. Trabalho sozinho e não passo os seus acessos a ninguém. O design gráfico e os wireframes são fornecidos pelo cliente; eu trato da parte técnica.
Comunicamos por e-mail, em documentos e no repositório, para que as decisões fiquem registadas. Se precisar de uma chamada, diga. O contrato rege-se pela lei polaca e a fatura segue a autoliquidação do IVA com o meu número de IVA europeu PL7393037445. Envie-me o endereço do site e recebe uma análise escrita com uma proposta de âmbito.
