Faz algum tempo que não falamos da segurança do seu WordPress. A pedido de um dos nossos leitores, vamos então recomendar aqueles que são para nós os melhores plugins de segurança para WordPress. Tenha em consideração que não deverá instalar todos esses plugins em simultâneo no seu blog. Procure seleccionar somente aqueles que lhe fazem falta e que de alguma forma complementam a segurança do seu blog.

Embora o WordPress seja uma plataforma extremamente sólida, infelizmente muitos usuários sofrem ataques exteriores pelas mais diversas razões, sendo que manter a sua instalação do WordPress atualizada é uma das melhores formas de se proteger contra eventuais ataques. Para o ajudar a proteger melhor o seu blog, deixamos-lhe uma lista com os seguintes plugins de segurança para WordPress:

LOGIN LOCKDOWN WORDPRESS SECURITY

Este plugin faz um registro dos endereços de IP que tentam efetuar login no seu blog mas que por alguma razão falham esse login. Depois de um certo número de logins falhados, o plugin bloqueia a caixa de login a esse usuário durante um certo tempo predefinido. Este plugin poderá ajudá-lo contra ataques forçados.

WP SECURITY SCAN

O plugin WP Security Scan efetua o escaneamento do seu site procurando por vulnerabilidades. Caso encontre alguma, ele sugere formas de resolver esses problemas encontrados.

ANTIVIRUS PARA WORDPRESS

Este plugin procura por injecções maliciosas e possíveis ataques ao seu blog, bem como procura por worms e malware no seu sistema WordPress.

SECURE WORDPRESS

Este plugin remove mensagens de erro nas páginas de login, adiciona ficheiros index.html aos seus diretórios para prevenir acesso às listagens de fiheiros, remove a versão do seu WordPress e oferece ainda segurança extra para o seu blog.

BACKUP WORDPRESS

O plugin BackUpWordPress permite-lhe fazer backups da sua instalação do WordPress. Ele oferece opções para ficheiros, bem como download do seu banco de dados e das tabelas.

WP SENTRY

Este plugin tem como objetivo criar acessos restritos às postagens do seu blog, permitindo-lhe criar discussões e artigos que são publicados sem que os buscadores consigam encontrá-las.

STEALTH LOGIN

O plugin Stealth Login permite-lhe criar URLs customizados para efetuar o login em seu blog e também para a sua página de registo do WordPress. Se desejar também poderá bloquear o acesso à sua página wp-login.php diretamente. Esta é uma forma de você mudar a direcção de login e registo do seu blog, sem que ninguém se aperceba.

ADMIN LOG

Este plugin permite-lhe manter um registro de quem acessa o seu painel administrativo, bem como quais as seções que visitou e onde esteve navegando. Este plugin é muito interessante para blogs com múltiplos autores.

LIMIT LOGIN ATTEMPTS

O WordPress por padrão não tem limite de tentativas de login no seu blog. Com esse plugin você poderá limitar o número de logins por usuário, aumentando a segurança do seu blog.

BACKUPS DO WORDPRESS PARA A DROPBOX

No artigo Como fazer backups automáticos do seu blog WordPress para o Dropbox explicámos passo-a-passo como usar esse incrível plugin para sincronizar seu blog com a sua conta do Dropbox (abrir uma conta é grátis) e ter seus backups realizados automaticamente e em segurança num servidor exterior. Dessa forma você pode aumentar drasticamente a segurança de seu blog, mesmo em caso de ataques.

E VOCÊ, QUE PLUGINS USA PARA PROTEGER SEU BLOG?

Partilhe connosco quais os plugins que usa em seu blog WordPress para se proteger de eventuais ataques ou problemas. Seria impossível listarmos todos os plugins que existem, portanto, partilhe connosco as suas escolhas. Comente!

Até Já!

Artigos Recomendados

• 15 Plugins para WordPress que você provavelmente não conhece!
• Analise o impacto das mídias sociais no seu blog Wordpress
• CollabPress – Gestão de Projetos e Tarefas no Wordpress
• Plugins wordpress que usam o botão oficial de retweet do Twitter
• 10 plugins profissionais para Wordpress da CodeCanyon

Independentemente do local onde você hospeda o seu site, qualquer coisa pode acontecer e você pode perder todo o trabalho de anos e anos do seu blog. O servidor pode crashar, a sua provedora de hospedagem pode eliminar a sua página por acidente, ou simplesmente pode ocorrer um azar e o hardware do seu servidor ficar destruído. Da mesma forma que você deve fazer backups regularmente do disco duro do seu computador pessoal, o mesmo deve acontecer com os dados que você tem nos servidores de hospedagem de seus sites.

Existem vários serviços de backup para WordPress no mercado, desde plugins a completos sistemas de backup que lhe enviam os dados por email ou os guardam em servidores de hospedagem Amazon S3. No entanto, existe um serviço melhor que todos esses: o VaultPress. Conhecemos o VaultPress há alguns meses, e desde então ficámos completamente fãs do sistema. Embora ainda não tenhamos migrado todos os nossos serviços de backup para lá, já estamos usando este incrível sistema de backups para monitorizar e realizar backups de alguns dos nossos blogs, nomeadamente a Escola Dinheiro e Escola Psicologia.

O QUE É O VAULTPRESS?

O VaultPress é um serviço da Automattic, a empresa por detrás do WordPress.com e muitos outros serviços dedicados ao WordPress, desenhado com o intuito de simplesmente deixá-lo descansado no que toca aos backups do seu blog WordPress. O sistema trabalha num misto entre uma página web (painel de controlo) e um plugin WordPress que faz a ligação entre ambos para que os backups do seu blog sejam realizados automaticamente de hora a hora, sem que você tenha necessidade sequer de executar uma acção. O VaultPress faz um backup completo de todas as partes do seu blog WordPress, desde artigos a comentários, passando pelas opções e pelo ficheiro wp-config.php. Como referido anteriormente, os Backups são realizados de hora a hora, para que você tenha sempre as informações do seu blog bem guardadas e acima de tudo atualizadas. Melhor que tudo isso, o VaultPress faz ainda um scan aos seus ficheiros, de forma a encontrar possíveis códigos maliciosos ou falhas graves de segurança!

VOCÊ PRECISA DE UM GOLDEN TICKET

Para conseguir uma conta no VaultPress, você necessita de um Golden Ticket (cartão dourado). Nós conseguimos o nosso inscrevendo os nossos sites no sistema, aguardando alguns dias, e finalmente os nossos tickets chegaram e pudemos registrar a nossa conta. Você pode ir na página de signup e registrar-se para ficar elegível a receber um golden ticket e com isso cadastrar a sua conta e começar a usar o VaultPress para proteger o seu blog.

Assim que você receber os seus golden ticket para se cadastrar no sistema do VaultPress, você pode começar imediatamente a proteger o seu site de tudo e qualquer coisa. O VaultPress custa-nos atualmente $15/mês para cada um dos sites que temos registrados no sistema (ex.: 5 sites x $15/mês = $75/mês), independentemente da grandeza do site. Alternativamente, você pode escolher um pacote mais profissional de $40/mês, que inclui auditoria de segurança a todos os seus ficheiros. Para completar o seu cadastro, você deverá enviar seus dados para pagamento, e registrar uma conta no WordPress.com, caso ainda não tenha uma.

CONFIGURAR OS BACKUPS

Assim que você tiver uma conta no VaultPress, você está pronto para adicionar o sistema de backups ao seu site WordPress. Você tem à sua disposição um link para efetuar o download do plugin do VaultPress, o qual inclui códigos de segurança únicos para esse site e para a sua conta, ou seja, não poderão ser partilhados com mais ninguém. Instale o plugin no seu blog WordPress, active-o, e em poucos minutos o VaultPress irá iniciar as rotinas de backups. Ele irá realizar um backup de praticamente tudo o que existe em seu blog, incluindo uploads, plugins, templates, e todo o seu banco de dados incluindo artigos, tags, comentários, opções, e muito mais.

Se desejar poderá ainda consultar o painel de controlo da sua conta do VaultPress, onde irá verificar informação rápida sobre o seu site e onde poderá também voltar a descarregar o plugin, analisar a atividade recente, alterar as opções, e muito mais.

Se desejar, poderá ainda verificar todas as rotinas de backup dos seus blogs, bem como descarregar esses backups para utilizar da forma que mais lhe convier. O serviço é simplesmente completo e contém todas as partes importantes de seu blog.

INSCREVA-SE NO VAULTPRESS!

O VaultPress foi simplesmente uma das melhores coisas que podíamos ter encontrado para proteger os nossos blogs WordPress. Desde que utilizamos o sistema, há cerca de 6 meses, estamos deliciados com funcionalidade e qualidade do mesmo. Como dizem os próprios fundadores do VaultPress, ele protege o seu blog de tudo, incluindo ataques terroristas e aliens!

Visite o VaultPress em VaultPress.com.

Até Já!

Artigos Recomendados

• 7 truques e dicas de segurança para o Wordpress
• Como aumentar a segurança de seu blog? 10 plugins para ajudar!
• Lançado WordPress 2.8.3 para corrigir falha de segurança
• 9 formas de aumentar a segurança do seu blog já!
• Como esconder a versão do seu Wordpress no código do seu blog?
• Wordpress 2.6.3 disponível para download

Nos dias de hoje, toda a segurança do seu blog WordPress é pouca. O seu blog é seguro? Deixamos-lhe hoje uma dica muito simples de implementar, para prevenir o envio de mensagens particulares e importantes a hackers que pretendam de alguma foram forjar o sistema de segurança do seu blog.

Quando você tenta efectuar login no seu blog, e por ventura falha o acesso, o WordPress mostra-lhe uma mensagem de erro a explicar o que sucedeu. Na verdade essa mensagem até pode ser importante para si, é verdade, mas é também potencialmente interessante para hackers.

Para remover essas mensagens de erro, abra o seu ficheiro functions.php e cole lá dentro o seguinte código:

add_filter('login_errors',create_function('$a', "return null;"));

E é tudo! Acabaram-se as mensagens de erro!

Bons truques! Até Já!

Artigos Recomendados

• 20 sites incríveis que usam Wordpress e ninguém imagina!
• Porque é que o Wordpress é melhor que o Blogger!
• DOWNLOAD GRÁTIS: Plugin/Widget com contadores de RSS, Twitter, Facebook para WordPress
• Os 150 melhores Templates Wordpress grátis de Janeiro a Agosto
• Como instalar e configurar o plugin Wordpress SEO do Yoast
• 10 novidades fantásticas do novo Wordpress 3.0

1- GUARDAR A BASE DE DADOS

O WordPress necessita de uma base de dados e não se preocupa se você partilha essa mesma base de dados com outras aplicações.

No entanto, existem algumas precauções que deverá ter quando cria as suas bases de dados para blogs em WordPress:

• Crie uma base de dados para o WordPress. O WP utiliza apenas algumas tabelas de uma base de dados MySQL, mas é melhor que providencie uma base de dados somente para o seu blog, ao invés de a partilhar com outros aplicativos.
• Garanta acesso ilimitado à base de dados. Crie um utilizador com acesso à base de dados apenas e garanta acesso ilimitado aos comandos SQL dessa mesma base de dados (select, insert, delete, update, create, drop e alter).
• Utilize uma password forte. As melhores passwords são seguramente aquelas que são criadas aleatoriamente pelo sistema.

Para os menos conhecedores como nós, estas operações são executadas a partir do Painel de Controlo. No entanto, para os mais conhecedores sobre MySQL, ficam as seguintes queries que poderão utilizar para executar a segurança:

$ mysql -u root -p
mysql> CREATE DATABASE 'myblog';
mysql> GRANT SELECT, INSERT, DELETE, UPDATE, CREATE, DROP, ALTER on myblog.* to 'bloguser'@'localhost' identified BY 'mypassword';
mysql> flush PRIVILEGES;
mysql> exit;

2- NÃO UTILIZAR O LOGIN ‘ADMIN’

Se por ventura instala o WordPress manualmente, isso envolve modificar manualmente a base de dados. Os utilizadores do Fantastico conseguem definir um utilizador Admin e password como parte do processo de instalação. Existem mais campos para preencher mas pelo menos a sua segurança fica salvaguardada.

$ mysql -u bloguser -p
Password: mypassword
mysql> USE myblog;
mysql> UPDATE wp23jk1_users SET user_login='myadm' WHERE user_login='admin';
mysql> exit;

Poderá utilizar o interface do phpMyAdmin e utilizá-lo na base de dados correcta, que na verdade é a hdlee_blogbuild. Depois disso, o seu o seu login deixará de ser ‘admin’ para passar a ser ‘myadmin’.

3- UTILIZE UMA PASSWORD SEGURA

Alterar o seu username para um outro qualquer não significa que você esteja livre de problemas. Se por ventura utilizar uma página de perfil multi-autor no seu blog, é bem provável que exponha o seu username às massas, pelo que a sua segurança fica comprometida.

Assumindo esse problema, deverá seleccionar uma password segura para o seu blog WordPress, que combine tanto letras grandes como pequenas, e ainda números.

4- UTILIZE UM LOGIN SEGURO ATRAVÉS DE UM CANAL SEGURO

Os utilizadores do WordPress que têm o SSL ligado para o seu domínio (Fale com o seu provedor de alojamento/hospedagem primeiro) deverão utilizar um canal seguro para acederem ao painel de controlo do seu blog WordPress. Poderá forçar sessões de administrador via HTTPS colocando a variável FORCE_SSL_ADMIN em TRUE no seu ficheiro wp-config.php.

Copie e cole o seguinte código no seu ficheiro wp-config.php.

define('FORCE_SSL_ADMIN', true);

5- ACTUALIZE SEMPRE QUE SAIR UMA NOVA VERSÃO

Quando a organização do WordPress lança uma nova versão, especialmente uma que inclui melhorias ao nível da segurança, é primordial que actualize de imediato o seu blog, ainda que inclua novidades que você não vai utilizar.

6- FAÇA BACKUP DOS SEUS FICHEIROS E BASE DE DADOS

Instale um plugin ou utilize um cronjob para criar uma base de dados e backups dos seus ficheiros todos os dias. Isto pode não estar directamente relacionado com segurança, mas no caso de intrusão, você irá ficar seguramente satisfeito de ter um backup.

Um dos plugins mais potentes para backup é o WP-Backup, que tem a possibilidade de enviar automaticamente os seus backups para a sua conta do Gmail, sem que você se tenha de preocupar com isso.

7- ESCONDA OS SEUS DIRETÓRIOS

Por defeito na grande maioria dos alojamentos/hospedagens, o index das diretorias aparece nos browsers de internet. Isso tem um propósito, mas também significa que você revela o conteúdo de qualquer diretório do seu blog que não contenha uma página index.html ou index.php.

Modificar este comportamento é simples com Apache, adicionando a seguinte linha de código ao ficheiro .htaccess que se encontra na raíz do seu servidor:

Options All -Indexes

8- PROTEJA OS FICHEIROS DE ADMINISTRAÇÃO DO SEU BLOG

Os ficheiros de administração do WordPress estão localizados na diretoria wp-admin da sua instalação WordPress, exceptuando o wp-config.php.

Poderá definir uma acesso restrito via .htaccess ou especificar o acesso por endereço de IP a um diretório ou ficheiro específico. Se por ventura utiliza um endereço de IP único e está sempre a bloggar a partir do seu PC, esta poderá ser uma opção.

Tome nota de que poderá extender o acesso a uma gama de IPs.

Irá necessitar de criar e colocar um ficheiro .htaccess no seu diretório wp-admin.

Exemplo:

Order Deny,Allow
Allow from ww.xx.yy.zz
Deny from all

Protejendo a diretoria wp-admin com user e password adiciona também um outro nível de segurança. O Apache tem informação completa sobre autenticação, autorização e controlo de acessos.

Exemplo:

AuthType Basic
AuthName "WordPress Dashboard"
AuthUserFile /home/user/.htpasswds/blog/wp-admin/.htpasswd
Require user adminuser

e depois basta criar uma password encriptada utilizando o comando htpasswd.

$ htpasswd -cm .htpasswd adminuser

O cPanel tem uma opção intitulada Web Protect que permite executar precisamente estes passos.

9- ESCONDER A VERSÃO DO SEU BLOG WORDPRESS

Esconder a versão do seu blog WordPress é um processo relativamente simples. Leia este artigo que escrevemos há poucos dias sobre como esconder a versão do seu blog WordPress.

Artigos Recomendados

• 10 dicas para fazer o seu blog Wordpress sobressair da concorrência!
• Tutorial: Como alterar o aspecto do seu painel de administração WP2.7
• 20 plugins Wordpress incríveis e compatíveis com o Wordpress 2.7
• Como esconder a versão do seu Wordpress no código do seu blog?
• 5 plugins para modificar completamente o seu painel de administração Wordpress
• Protecção do seu blog Wordpress com password e .htaccess

Ultimamente têm aparecido cada vez mais casos de utilizadores que descarregaram temas WordPress que continham links internos e o utilizador na verdade sem sabia.
Há também aqueles que sofreram ataques à segurança do blog, e viram uma série de código malicioso injectado no tema, e também não o sabiam.
É importante então saber como confirmar que o template WordPress que utiliza não foi hackeado, ou que pelo menos não sofreu nenhum ataque à sua segurança e integridade.

Como saber se o seu template foi hackeado?

Uma das formas mais práticas de verificar se o seu template foi hackeado, é abrindo o blog no seu browser e carregando no botão direito do rato para ver o Código Fonte (Source Code) do template.
Geralmente os links ilegais injectados, são colocados no header ou no footer do seu template, pelo que é importante analisar estes dois locais com cuidado.
Esses links são usualmente direccionados para farmácias, drogas, pilulas, cartões de crédito e sistemas afins.

Se utiliza o Firefox, você tem ainda uma outra possibilidade bem interessante.
Abra o separador Ferramentas (Tools), depois clique em Informação de Página (Page Info) e de seguida escolha Links.

Esta secção mostra-lhe uma listagem de todos os endereços URL externos que estão dentro da página que você está a ver, pelo que é extremamente simples encontrar algum link relacionado com farmácias, drogas ou afins.
É aconselhável também, que faça um scan exaustivo a diversos ficheiros do seu template e também aos ficheiros de instalação do WordPress, na procura de qualquer link ou informação suspeita.

Como resolver o problema de links maliciosos?

Geralmente quando um blog sofre um ataque é porque estava a fazer uso de uma versão do WordPress inferior. Neste momento o WordPress está na versão 2.5.1, pelo que utilizar versões anteriores é perigoso do ponto de vista da segurança e integridade do seu blog.
Um dos grandes conselhos que lhe posso dar, é o de se manter actualizado quanto à sua versão do WordPress. O plugin Automatic Upgrade é a forma mais simples e eficaz de actualizar a sua versão do WordPress sem correr qualquer tipo de risco.

Outra opção,  será a criação de um ficheiro .htaccess, que apenas possibilite aceder ao painel de administração do seu blog, determinados IPs.
Crie um ficheiro com esse nome e aplique o código seguinte no seu interior:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Example Access Control”
AuthType Basic
<LIMIT GET>
order deny,allow
deny from all
allow from xx.xx.xx.xx
allow from xx.xx.xxx.xx
</LIMIT>

Depois coloque esse ficheiro dentro da pasta /wp-admin/, para bloquear o acesso apenas aos seus IPs, sendo que terá de preencher o código com os IPs que pretende que acedam a essa informação.

Uma última opção poderá ser o desligar da navegação nas directorias, para que ninguém tenha acesso aos plugins que você utiliza, às suas pastas internas e toda a informação acerca do seu tema.
Para fazer isso, procure o ficheiro .htaccess que se encontra na raíz do seu servidor, e adicione a linha de código: Options -Indexes

Há também quem renove as passwords do painel de administração com alguma regularidade, para evitar problemas, e há também que remova o ficheiro theme-editor.php da pasta WP-Admin, embora estas duas acções sejam um pouco mais agressivas do que o recomendado.

Proteja-se e confirme se o seu template WordPress não foi hackeado!

Até Já!

Artigos Recomendados

• Como alterar o seu Wordpress Inglês para Português
• 9 formas de aumentar a segurança do seu blog já!
• Como esconder a versão do seu Wordpress no código do seu blog?
• Wordpress 2.6.3 disponível para download
• Wordpress-Love v2.0 renasce com nova imagem!
• Como aumentar a segurança de seu blog? 10 plugins para ajudar!