Importância da segurança no WordPress: vale realmente a pena?

Meketeke disse:

Eu acredito que o WordPress, como qualquer outro site ou CMS como tal, tem seus prós e contras. O contra mais grande é que, como é o CMS mais usado do mundo, as pessoas que têm intenções maliciosas podem buscar em um monte de sites procurando padrões e podem encontrar o seu. Por isso, é sempre recomendável ter seu site o mais atualizado possível, renovar as licenças PRO se é que algum dia teve alguma e continua usando, e além disso, não usar nunca, sob nenhuma circunstância, plugins nulled.

Clique para expandir...

Sim, está tudo atualizado.

plugins nulled? Que nada, a primeira vez usei um e meu site foi bloqueado. Passo longe de instalá-los.

Eu uso WP há 18 anos e meus sites não foram infectados ainda. Minhas únicas medidas são

• Não instalar plugins nem themes que não sejam do site oficial.
• Mudar o clássico nome de usuário admin por outro mais complexo.
• Adicionar um prefixo personalizado ao banco de dados.
• Não dou acesso a terceiros. Se for o caso, tenho um site espelho para que o programador trabalhe.

Nada especial, mas efetivo até a data.

sabogal disse:

Eu uso WP há 18 anos e meus sites não foram infectados ainda. Minhas únicas medidas são

• Não instalar plugins nem themes que não sejam do site oficial.
• Mudar o clássico nome de usuário admin por outro mais complexo.
• Adicionar um prefixo personalizado ao banco de dados.
• Não dou acesso a terceiros. Se for o caso, tenho um site espelho para que o programador trabalhe.

Nada especial, mas efetivo até a data.

Clique para expandir...

Eu acredito que tenho tudo bem. E não dou acesso a ninguém. Se não consigo algo, me viro antes de dar senhas a ninguém.

O melhor é manter tudo atualizado e revisar bem os plugins de terceiros!

David Morales disse:

Ninja Firewall

Clique para expandir...

Olá David,
este será o plugin para testar?

Depende da quantidade de tráfego, da importância do seu site, no caso hipotético de que um site que tenho chegasse a ter uma grande quantidade de usuários e tráfego, faço o mesmo que você, garantir-me com uma boa proteção.

Em três meses de site, não tive problemas, máxima segurança e estou tranquilo. Usando Ionos como domínio e servidor com WordPress.
Tentam entrar todos os dias, mas todas as entradas são falhas. Não me hackearam por enquanto.

Para mim, parece que os que têm domínios ou sites roubados ou alterados é por falta de segurança. Não entra na minha cabeça como roubam vocês. E eu sou novato.

Pessoalmente, me desagradam bastante os usos da grande maioria de plugins que são vendidos como "de segurança", porque fazem coisas que são pesadas demais e realmente não lhes compete, além de serem quase adware. Mas se você está em uma hospedagem compartilhada em vez de um VPS, suponho que são uma opção viável. No fim das contas, a sobrecarga que esses plugins geram é absorvida pelo dedicado do compartilhado e os responsáveis pela hospedagem que lutem para que isso não deixe os sites lentos.

A maioria dos "ataques" que relatam costumam ser varreduras de bots que, geralmente, já estão bastante resolvidos na base do lado da configuração do servidor ou até mesmo por algum outro plugin que você não sabe que ajudava com isso porque não é vendido como "de segurança", por isso, se me apresentam isso com alarde, só me soa àquela estratégia nojenta que os antivírus usam de fazer alertas dispararem quando você entra em um site e o que bloqueiam não é vírus nem nada, apenas publicidade ou um domínio associado com warez que colocaram em lista negra ou até mesmo apenas falsos positivos. Tudo isso só para justificar sua existência e que você continue pagando.

kj

Bem, seja verdade ou não. A segurança nunca é demais. Além disso, por 2.50€ por mês não vou morrer se pelo menos tiver um pouco de segurança. Os ataques por IP para tentar entrar no seu site, eu penso que são 100% reais. Não tem nada a ver com vírus nem nada disso. E essa parte sim me interessa proteger.

Certamente algum dia podem entrar.

Mas vendo isto, que não pago por publicidade nem nada, tenho bons resultados para um site de quase 3 meses.

E no Google já apareço na 4ª posição com uma das palavras-chave que costumam ser usadas.

O mesmo em um ano, não sei, pode ser que meu site, minha ideia e tudo o que estou fazendo, possa ser um site de muitíssimo interesse e visitas. Estou mudando o sistema para uma ideia melhor e mais organizada do que as que existem. Por isso, prefiro me proteger de ataques o máximo que puder.

Sem dúvida são escaneamentos 100% reais, mas são de bots e de bugs ultra conhecidos que você não tem, mas o plugin vai lá e coloca a medalha de ter detectado para justificar sua existência e a cobrança de uma licença.

Traduzo o que você coloca na primeira imagem:

- Buscando código vulnerável: Literalmente é qualquer tipo de escaneamento que eles tenham em sua base de dados (pode ser que sejam 3-4 inclusive, no total só é preciso reportar algo e tendo os 4 mais comuns com certeza saltam relatórios). Por ex. o típico escaneamento da pasta ".git" (o webserver deveria bloquear o acesso a arquivos que comecem com um ponto, então isso costuma estar solucionado), esse tipo de pasta não vai estar em um WordPress, mas o bot só escaneia para ver se há sorte e o plugin reporta como "detive um ataque" :S.

- Requisição ao uso de API Rest negada: Aqui diretamente nem sequer há um bug nem nada. A API Rest que o WordPress traz é uma característica do mesmo, embora haja gente que a bloqueia porque facilita o scrapping do seu site, porque é outro ponto de acesso que não costuma ser usado (se você não usa, melhor remover), mas é só uma característica a mais e depois o plugin te reporta que alguém entrou em alguma rota da API Rest e bloqueou como se fosse algo que diz respeito à segurança :S.

Por isso digo que este tipo de plugins me desagrada como funcionam. Te vendem a sensação de estar te protegendo reportando qualquer coisa, mas a verdade é que se agora você tivesse alguma vulnerabilidade ou uma shell já inserida, não a detectaria.

Outras coisas que sim são um ataque e você deveria ter mais abaixo é algo do tipo "tentativas de sessão falhas superadas/banimento de IP" ou algo do estilo. Já que também é normal que todo WordPress que esteja online receba ataques de bruteforce em seus logins.

Isso sim é ataque, mas novamente não compete a um plugin de "segurança" detê-lo. Compete a você ter uma senha segura (ou usar algo alternativo), já que se você não a tem, mesmo com os banimentos que possa haver de plugins de segurança ou do servidor, ao ter esses bots IPs virtualmente infinitas, realmente pouco ou nada você tira deles no que diz respeito à cadência de ataques.

kj

Obrigado, me serve de ajuda e dados.

Se você quer ter seu site protegido, use o pro deste plugin: