Avaliação de riscos de TI no WordPress: um método simples
Avaliação de riscos de TI para sites WordPress em 5 passos: ativos, ameaças, pontuação de 1 a 3, medidas e responsáveis, com um registo de exemplo.
Melike Görel
Melike Görel escreve os guias da secaudit.eu sobre segurança do WordPress e conformidade com as regras da UE para a AngelForce OÜ, a empresa de software de Taline responsável pela secaudit.eu.
Artigos de Melike Görel
HTTPS no WordPress: corrigir conteúdo misto e redirecionamentos
HTTPS no WordPress sem erros: certificado gratuito, substituição segura de URL com WP-CLI, um só redirecionamento 301, ciclos de proxy, conteúdo misto e validade.
WordPress continua a ser hackeado? Encontre a backdoor
WordPress continua a ser infetado após a limpeza? Encontre as backdoors que sobrevivem: auto_prepend_file, mu-plugins, plugins falsos, cron e sites vizinhos.
Enumeração de utilizadores no WordPress: REST API e autores
Enumeração de utilizadores no WordPress: teste que nomes de login o seu site revela via REST API, URLs de autor, sitemaps e erros de login, e aplique correções seguras.
Permissões de ficheiros do WordPress: 644, 755 e proprietário
Permissões de ficheiros no WordPress: o que significam 755 e 644, quem deve ser o proprietário, comandos seguros de reposição e porque o 777 não resolve erros.
Acordo de tratamento de dados para agências web (RGPD art. 28)
Quando uma agência web precisa de um acordo de tratamento de dados (RGPD art. 28): anexo de segurança, subcontratantes ulteriores, incidentes e fim do contrato.
Redirecionamentos maliciosos no WordPress: como os remover
Redirecionamento malicioso no WordPress: reproduza-o com curl e ferramentas de programador, encontre-o em .htaccess, PHP, base de dados ou CDN e evite que volte.
Proteger o wp-config.php: 10 definições a verificar
Como proteger o wp-config.php em 10 verificações: salts únicos, depuração em produção, FORCE_SSL_ADMIN, permissões, cópias esquecidas e edição segura.
Selos de segurança de sites: o que um selo prova e não prova
O que um selo de segurança prova e não prova num site: tipos de selos, porquê um emblema estático nada vale, quatro sinais de um selo honesto e como verificá-lo.
Segurança das funções de utilizador no WordPress: contas admin
Segurança das funções de utilizador no WordPress: encontre todos os admins, remova acessos antigos, revogue palavras-passe de aplicação e reveja tudo a cada trimestre.
Backups WordPress que restauram de facto
Plano de backups WordPress pensado para restaurar: ficheiros e base de dados, regra 3-2-1 com cópia externa imutável, cifragem, testes e RGPD art. 32.
Cabeçalhos de segurança WordPress: CSP, HSTS e mais
Cabeçalhos de segurança WordPress explicados: valores iniciais seguros para HSTS, CSP, Referrer-Policy e Permissions-Policy, onde configurar e como evitar problemas.
Proteção contra força bruta no WordPress: o que um plugin trava
Proteção contra força bruta no WordPress por camadas: limitação de inícios de sessão, multicall do XML-RPC, enumeração na API REST e porque um plugin não trava um DDoS.
PHP2Shell: o que os donos de sites WordPress devem fazer já
PHP2Shell (CVE-2026-109618, CVE-2026-109619) permite executar código em PHP sem correção. Verifique a versão do PHP, atualize, reinicie e vigie os sinais.
DISALLOW_FILE_EDIT: desativar o editor de ficheiros do WordPress
Como adicionar DISALLOW_FILE_EDIT ao wp-config.php, o que não impede e quando vale a pena usar DISALLOW_FILE_MODS sem estragar as atualizações do WordPress.
Verificar checksums do WordPress: ficheiros alterados
Como verificar os checksums do WordPress com WP-CLI ou a API do WordPress.org, interpretar avisos de ficheiros alterados ou extra e reinstalar o núcleo em segurança.
Web shells no WordPress em uploads: encontrar e bloquear
Encontre web shells em wp-content/uploads com comandos seguros, bloqueie PHP no Apache e nginx, reveja permissões de ficheiros e feche a porta de entrada.
SEO spam no WordPress: encontrar links ocultos de casinos
SEO spam no WordPress: encontre links ocultos de casinos e farmácias, veja o que o Googlebot vê, limpe a base de dados e os ficheiros e peça a revisão ao Google.
Relatório de auditoria de segurança WordPress: provas a guardar
Como elaborar um relatório de auditoria de segurança WordPress: seis registos a guardar, boas provas, questionários de fornecedores e seguradoras, e um modelo.
WordPress pirateado: 12 sinais e como verificar cada um
Doze sinais de um WordPress pirateado, de administradores desconhecidos a redirecionamentos camuflados, como verificar cada um e o que fazer na primeira hora.
Plugins WordPress vulneráveis: auditar, atualizar, substituir
Vulnerabilidades em plugins WordPress: manter um inventário, atualizar depressa, apagar plugins inúteis ou abandonados e saber o que fazer quando não há correção.
Site WordPress pirateado? A notificação RGPD em 72 horas
Site WordPress pirateado? Quando um ataque é uma violação de dados no RGPD, quando começam as 72 horas para notificar, o que comunicar, o que documentar e quem informar.
Segurança WordPress: checklist para empresas da UE (2026)
Checklist de segurança WordPress para empresas da UE: 25 medidas de alojamento, atualizações, 2FA, monitorização, backups e documentação, à luz do RGPD e da NIS2.
Artigo 32.º do RGPD e WordPress: o que é «segurança adequada»
Artigo 32.º do RGPD na segurança WordPress: cifragem, atualizações, controlo de acessos, cópias testadas, análises regulares, registos e contratos com subcontratantes.
Remover malware do WordPress: plano passo a passo
Remover malware do WordPress em oito passos: conter o site, guardar provas, encontrar o ponto de entrada, limpar com fontes fidedignas, renovar segredos e reforçar.
Regulamento de Ciber-Resiliência (CRA) e plugins WordPress
Regulamento de Ciber-Resiliência para quem vende plugins e temas WordPress: notificações desde 11 de setembro de 2026, obrigações de dezembro de 2027 e lista de tarefas.
OWASP Top 10:2025 explicado para WordPress
O OWASP Top 10:2025 aplicado ao WordPress: como surge cada risco em plugins, temas e definições, e que verificações donos e programadores podem fazer.
Google Fonts e RGPD: alojar as fontes localmente no WordPress
Google Fonts e RGPD: o que decidiu o tribunal de Munique, porque é que o Data Privacy Framework não resolve a questão e como detetar e alojar as fontes no WordPress.
Diretiva NIS2 e WordPress: a sua empresa está abrangida?
Diretiva NIS2 e WordPress: como saber se uma empresa, agência ou alojamento está abrangido, o que esperar como fornecedor e que medidas do art. 21.º afetam o site.
Autenticação de dois fatores para administradores WordPress
Como configurar a autenticação de dois fatores no WordPress: apps TOTP, passkeys, códigos de reserva, fragilidades do SMS, quem precisa de 2FA, implementação e NIS2.