Como manter um site seguro e atualizado (guia prático)

Todo dono de negócio já ouviu a história: um belo dia o site simplesmente sai do ar, ou pior, começa a mostrar propaganda estranha de remédio para quem tenta acessar. O telefone toca, um cliente avisa que o Google está exibindo um aviso vermelho de "site perigoso" e a sensação é de que o chão sumiu. Quase sempre, quando a gente vai olhar, o problema não foi um ataque genial de hacker: foi um sistema que ficou dois anos sem atualização.

A boa notícia é que manter um site seguro e atualizado não exige conhecimento técnico profundo nem custa caro. Exige rotina. Neste guia você vai entender o que precisa ser cuidado, com que frequência, como perceber que algo está errado e o que fazer quando o pior acontece.

Por que um site pequeno também é alvo

A primeira coisa a desmontar é o mito do "meu site é pequeno, ninguém vai querer invadir". Ataques a sites de negócios locais quase nunca são pessoais. São robôs varrendo a internet inteira, testando endereço por endereço em busca de uma versão desatualizada de algum sistema com falha conhecida. Para o robô, tanto faz se o site é de uma multinacional ou da padaria da esquina — ele procura a porta destrancada, não o tesouro.

E o que o invasor ganha? Normalmente ele não quer os seus dados: quer usar o seu servidor para disparar spam, hospedar páginas falsas de banco ou colocar links escondidos que empurram outros sites no Google. O prejuízo, esse sim, é todo seu:

• Perda de visitas. O Google marca o site como inseguro e a queda no tráfego é imediata.
• Perda de confiança. Um cliente que vê aviso de perigo dificilmente volta.
• Custo de recuperação. Limpar um site invadido custa bem mais do que manter um site cuidado.
• Tempo fora do ar. Cada dia offline é dinheiro que não entra.

As quatro camadas de um site protegido

Segurança de site funciona como segurança de loja física: não é um cadeado, são várias medidas que se completam. Dá para organizar tudo em quatro camadas.

1. Atualização: a camada que mais falta

Se o seu site roda em uma plataforma como o WordPress, ele é feito do sistema principal mais uma coleção de plugins e um tema. Cada um desses pedaços recebe correções de segurança de tempos em tempos. Quando uma falha é descoberta e corrigida, a correção vira notícia pública — e é justamente aí que os robôs começam a procurar quem ainda não atualizou.

Ou seja: adiar atualização não é ficar parado, é ficar cada vez mais exposto. A regra prática é atualizar toda semana, sempre com backup feito antes, e remover de vez os plugins e temas que você não usa mais. Plugin desativado continua sendo um arquivo no servidor e continua sendo uma porta.

2. Acesso: quem tem a chave

A senha ainda é a forma mais comum de invasão, e não por sofisticação: é por senha fraca e repetida. Alguns cuidados resolvem quase tudo:

• Senha longa e única para o painel do site, diferente da senha do e-mail e do banco.
• Verificação em duas etapas sempre que a plataforma oferecer.
• Um usuário por pessoa, com o nível de permissão mínimo necessário. Quem só escreve textos não precisa ser administrador.
• Remover acessos antigos de ex-funcionários e de profissionais que já entregaram o trabalho.
• Nada de usuário "admin", o primeiro nome que qualquer robô testa.

3. Backup: o seguro que você espera nunca usar

Nenhuma proteção é perfeita, e é por isso que a cópia de segurança é a camada mais importante de todas. Com backup, um site invadido volta ao normal em algumas horas. Sem backup, pode significar recomeçar do zero.

Três detalhes fazem a diferença: o backup precisa ser automático (o que depende de lembrar, uma hora falha), precisa ficar fora do mesmo servidor do site e precisa ser testado de vez em quando. Backup que nunca foi restaurado é só um arquivo com nome bonito. Falamos disso em detalhe no post sobre o que é backup de site.

4. Vigia: perceber antes do cliente

A última camada é simplesmente olhar. Um serviço de monitoramento avisa por e-mail quando o site sai do ar ou quando o certificado de segurança está prestes a vencer. Cadastrar o site no Google Search Console também ajuda: se o Google detecta conteúdo malicioso, você recebe o alerta direto. E vale o básico: abrir o próprio site pelo celular uma vez por semana, como um visitante faria.

O calendário da manutenção

Organizar por frequência tira o peso da tarefa. Veja uma rotina realista para um site de negócio local:

Repare que nada disso é difícil. O problema quase nunca é a complexidade: é o esquecimento. Por isso vale colocar lembrete no celular ou contratar quem faça — mas fazer, alguém precisa.

Sinais de que algo está errado

Alguns sintomas indicam que o site foi comprometido. Se você notar qualquer um destes, vale investigar no mesmo dia:

1. Redirecionamentos estranhos. O visitante clica no seu link e cai em outro site.
2. Páginas que você não criou aparecendo no Google quando você pesquisa pelo nome do seu domínio.
3. Queda súbita de visitas sem explicação, sinal clássico de penalização.
4. Site muito mais lento do que costumava ser.
5. Usuários administradores desconhecidos no painel.
6. Avisos do navegador dizendo que a conexão não é segura ou que o site é perigoso.
7. E-mails da sua empresa caindo em spam de repente, porque o servidor virou fonte de disparo.

Vale lembrar que o cadeado do navegador é a parte visível dessa proteção — se ele sumiu, algo aconteceu com o certificado. Explicamos o assunto em o que é certificado SSL.

O que fazer se o site for invadido

Mantenha a calma e siga a ordem, porque agir fora de sequência costuma piorar:

• Não apague nada ainda. Os arquivos ajudam a descobrir por onde entraram.
• Troque todas as senhas — painel do site, hospedagem, FTP e banco de dados.
• Avise a hospedagem. Boa parte das empresas tem equipe e ferramenta de limpeza.
• Restaure o backup mais recente anterior ao problema, e só depois atualize tudo.
• Peça revisão ao Google pelo Search Console, para tirar o aviso de site perigoso.
• Descubra a causa. Restaurar sem fechar a brecha significa ser invadido de novo em poucos dias.

Manutenção também é atualização de conteúdo

Segurança não é o único motivo para mexer no site com regularidade. Um site com telefone antigo, preços de dois anos atrás ou fotos de uma loja que já mudou de endereço passa a mesma impressão de descuido que uma vitrine empoeirada. Manter as informações corretas faz parte da manutenção e influencia diretamente a confiança de quem chega — assunto que exploramos em como um site profissional gera mais confiança.

Conclusão: rotina custa menos que conserto

Site seguro não depende de sorte nem de tecnologia cara. Depende de quatro hábitos: atualizar sempre, controlar quem tem acesso, manter backup automático testado e olhar o site com alguma frequência. Tudo isso somado dá menos de uma hora por mês — bem menos do que os dias de trabalho e o dinheiro perdidos quando um site fora do ar pega a sua melhor temporada de vendas.

Se cuidar disso não cabe na sua rotina, a TH Designer resolve para você: cuidamos das atualizações, do backup, do certificado e do monitoramento, e avisamos antes de virar problema. Conheça nossos serviços e mande uma mensagem no WhatsApp — a gente faz uma checagem no seu site atual e mostra o que está pedindo atenção.

Perguntas frequentes