O que é a resiliência operacional de um site WordPress?
É a capacidade de o site voltar a funcionar depois de uma falha, de uma intrusão ou de uma atualização que correu mal, num prazo que a sua empresa já decidiu ser aceitável. Na prática resume-se a coisas verificáveis: se existe uma cópia e se o site se repõe a partir dela, quem tem acesso ao painel e ao servidor, como chegam as atualizações à produção e quem faz o quê quando algo avaria.
Chamo-me Mariusz Szatkowski, sou programador WordPress desde 2006 e trabalho sozinho, a partir de Gdynia, na Polónia, sem equipa nem subcontratados. Neste trabalho fico com a camada WordPress: cópias e respetivos testes, atualizações, código, acessos e uma descrição escrita de tudo isto que o seu departamento de compras pode anexar a um questionário de segurança de fornecedores.
O regime jurídico da cibersegurança em Portugal
A NIS2, Diretiva (UE) 2022/2555, abrange entidades essenciais e importantes, em regra médias e grandes empresas dos setores que enumera. O artigo 21.º exige, entre outras medidas, a “continuidade das atividades, como a gestão de cópias de segurança e a recuperação de desastres” e a segurança da cadeia de abastecimento. É por causa desta última que os questionários chegam também a fornecedores pequenos.
Em Portugal, a diretiva foi transposta pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, que aprova o Regime Jurídico da Cibersegurança. Segundo o artigo 11.º, entrou em vigor 120 dias após a publicação. O Centro Nacional de Cibersegurança (CNCS) é a autoridade nacional e parte das regras só produz efeitos depois da regulamentação que o CNCS tem de publicar.
Eu não estou abrangido pela NIS2: sou uma microempresa unipessoal abaixo do limiar de dimensão. Se a sua empresa é entidade essencial, importante ou nenhuma das duas, quem avalia é o seu advogado.
Cópias 3-2-1 e o teste de reposição
A regra 3-2-1 pede três cópias dos dados em dois tipos de armazenamento diferentes, uma delas fora do servidor principal. Num site WordPress costuma ser uma cópia no alojamento, outra num armazenamento separado num país da UE com credenciais que o servidor não conhece, e uma terceira offline ou noutro fornecedor, fora do alcance de um ransomware que corra no servidor.
Uma cópia só conta depois de alguém ter reposto o site a partir dela. Reponho o site em staging a partir de uma cópia recente e registo:
- a data e a cópia que usei,
- quanto tempo demorou, do download até ao site a funcionar,
- a idade da cópia mais recente da base de dados, que é o seu RPO real,
- o que falhou e o que corrigi.
O RTO (quanto tempo o site pode estar parado) e o RPO (quantos dados pode perder, contando para trás) são definidos pela sua empresa, porque só a sua empresa sabe quanto custa uma hora sem loja. O teste mostra se esses números se aguentam. Os erros que mais encontro: um plugin que há meses copia wp-content e nunca a base de dados, e uma tarefa de cópia que deixou de correr depois de uma mudança de palavra-passe ou com o disco cheio, sem ninguém dar por isso. No meu serviço de manutenção guardo as cópias pelo menos 30 dias em países da UE.
Quando acontece um incidente
As notificações são feitas pela sua empresa: o incidente significativo ao CNCS, se estiver abrangida pelo Regime Jurídico da Cibersegurança, e a violação de dados pessoais à CNPD no prazo de 72 horas após ter tido conhecimento, salvo se for improvável que resulte num risco para as pessoas (artigo 33.º do RGPD).
Como subcontratante, informo-o sem demora injustificada assim que tiver conhecimento de uma violação (artigo 33.º, n.º 2) e entrego o que vejo do lado do WordPress: desde quando, que contas, que ficheiros, que dados podem ter saído. Depois reponho a partir de uma cópia anterior ao incidente, fecho a falha e deixo por escrito o que aconteceu.
Não faço piquete 24/7 nem garanto tempo de resposta. Se o seu procedimento precisa de alguém contactável de madrugada, esse papel tem de ficar na sua empresa ou num fornecedor que o assegure.
O que perguntam os questionários de fornecedores sobre o site
Mudam de formato, mas na parte do site voltam as mesmas perguntas:
| Pergunta do questionário | O que posso fornecer |
|---|---|
| Com que frequência se fazem cópias e onde ficam? | Calendário, país de armazenamento, prazo de conservação |
| Quando foi testada pela última vez uma reposição? | Registo do teste em staging com data e duração |
| Como gerem atualizações e vulnerabilidades? | Descrição do processo: staging, inventário de plugins, fontes de alertas |
| Quem tem acesso ao site? | Lista de contas de administrador e data da última revisão |
| Existe contrato de subcontratante com o fornecedor? | Contrato do artigo 28.º do RGPD, assinado antes do acesso |
Se o seu cliente é um banco, uma seguradora ou uma empresa de investimento, as perguntas vêm muitas vezes do Regulamento DORA (UE) 2022/2554, aplicável desde 17 de janeiro de 2025. O artigo 30.º define o que os contratos das entidades financeiras com prestadores de serviços de TIC têm de incluir. Essas cláusulas ficam no contrato da sua empresa com o cliente financeiro; eu descrevo como funciona a camada WordPress.
Atualizações, plugins e acessos
Os plugins são a porta de entrada mais comum num WordPress. Mantenho um inventário de plugins e temas com versões (o WP-CLI gera-o em segundos), acompanho os alertas de vulnerabilidades e retiro os plugins que o autor deixou de manter. Cada atualização passa primeiro por staging.
Nos acessos repete-se um cenário: alguém fez o site há anos, a colaboração terminou e a conta de administrador dessa pessoa continua ativa, sem segundo fator. Reviso as contas no WordPress, no alojamento e no registador do domínio, ativo a autenticação em dois passos para administradores e deixo-lhe uma lista de quem tem que acesso.
E se o programador ficar indisponível?
Trabalho sozinho, por isso esta pergunta aplica-se a mim diretamente e convém fazê-la antes de assinar. A minha resposta: os acessos ao site, ao alojamento e ao domínio pertencem à sua empresa, o código está num repositório com uma descrição do ambiente e instruções para as tarefas de rotina, como repor uma cópia ou reverter uma atualização. Outro programador WordPress pode assumir o site a partir daí sem mim.
Testes de intrusão
Um teste de intrusão deve ser feito por uma empresa especializada, contratada pela sua. Ajudo a delimitar a parte WordPress, preparo o staging para o teste e corrijo o que for encontrado no código e na configuração.
Âmbito e limites deste serviço
Faço: cópias e testes de reposição, atualizações através de staging, revisão de acessos, correções de segurança no código e na configuração do WordPress e uma descrição escrita de tudo isto para compras. Antes de tocar em dados pessoais, assinamos um contrato de subcontratante do artigo 28.º do RGPD. O contrato é B2B, sujeito à lei polaca, e a fatura segue a autoliquidação com o meu número de IVA europeu PL7393037445.
Não faço: piquete 24/7, vigilância de ameaças ao estilo de um SOC, notificações às autoridades em nome da sua empresa nem a avaliação jurídica sobre se está abrangida por alguma lei. Não há SLA nem tempo de reparação garantido. Não vendo alojamento: trabalho com o fornecedor que escolheu.
Serviços relacionados
- Auditoria de segurança WordPress: revisão de plugins, contas e configuração antes do primeiro questionário.
- Manutenção de sites WordPress: acompanhamento contínuo com cópias, monitorização e atualizações.
- Contacto: descreva o site e o questionário a que tem de responder. Respondo por email com perguntas e uma proposta de âmbito.
