Nesta página
Os problemas recorrentes de segurança no WordPress são wp-login exposto, plugins desatualizados (incluindo arquivos de debug do phpunit), XML-RPC e cookies de administrador roubados. Você consegue endurecer a segurança. Você não consegue fazer PHP+plugins desaparecerem. Migrar para Hugo estático e apagar o WordPress remove essa classe de risco. Isso é Wordpress Escape.
Os buracos de sempre
- Força bruta em wp-login / xmlrpc
- CVEs de plugins (aquele lixo do tipo phpunit eval-stdin)
- Admin AJAX sem verificação de capacidade
- Uploads com permissão de escrita global
Wordfence é um cinto de segurança. Não é um carro menor.
Por que “é só manter atualizado” não funciona
Alguém tem que clicar em atualizar, testar o tema e não instalar plugin nulled. Pequenas empresas não têm time de segurança. Elas têm um site que traz clientes. Foi para elas que a gente criou isso.
Remova a superfície
Sem PHP, sem plugins, sem wp-admin. HTML na Cloudflare. ESC'dashboard se você ainda quiser editar. Se você já foi hackeado, primeiro contenha, depois migre.
Vamos dizer se o wp-login ainda está lá ou se alguém já fez export estático e deixou rastros.
Perguntas frequentes
O WordPress é inseguro?
O core pode ser tranquilo. A combinação de plugins, PHP e wp-login é uma superfície de ataque grande comparada a HTML estático.
Um site estático é hackeado?
Os arquivos HTML não executam código. Contas de hospedagem ainda podem ser roubadas - mas você elimina a classe de exploit mais comum do WP.
Posso manter um editor no estilo WordPress?
Sim. ESC'dashboard custa US$189, uma vez, e gera páginas estáticas, não PHP.
Veja se o WordPress ainda está ativo no seu URL
Faça um scan gratuito do seu URL - 60 segundos, sem login. Notas de SEO, Performance, Responsividade e, se quiser, uma migração feita para você.
Analise meu site grátis