Segurança WordPress
Proteção de força bruta e login WordPress
Bots atacam wp-login.php e xmlrpc.php sem parar com listas de credenciais vazadas. Bloqueio de login, limitação de tentativas, 2FA, controle de XML-RPC e limitação de taxa no servidor convertem essa enxurrada em ruído inútil enquanto admins reais entram normalmente.
Pontos principais
- Limite tentativas de login com bloqueios progressivos e avisos ao admin.
- Exija 2FA em todas as contas de administrador e editor, sem exceções.
- Desative ou restrinja o XML-RPC a IPs específicos ou endpoints necessários.
- Não renomeie nada (obscuridade não protege); controle com limites reais.
- Limite a taxa das URLs de login na camada servidor/WAF, não só em PHP.
- Use nomes de admin únicos, nunca admin, mais senhas de 16+ caracteres.
- Alerte sobre logins bem-sucedidos de países ou dispositivos novos.
- Registre e revise eventos de autenticação semanalmente como parte do monitoramento.
Nota de campo
O XML-RPC é o ponto de acesso que a maioria dos donos esquece: proteja o wp-login quanto quiser, os bots entrarão pela porta lateral enquanto o xmlrpc.php não for desativado ou restrito.
Perguntas frequentes
O 2FA vai irritar meus editores?
Apps autenticadores modernos acrescentam segundos. Limpar uma conta invadida custa dias, a troca é trivial.
Devo ocultar a página de login?
Reduz o ruído, mas não protege. Mantenha URLs padrão com limitação real e 2FA.
E o login sem senha?
Links mágicos e WebAuthn são ótimas evoluções onde a base de usuários suporta.
Como lidar com muitos editores?
Menor privilégio por função, contas individuais e revisões periódicas de acesso.
Como a Kinetikatech ajuda com segurança wordpress
Você não deveria precisar virar especialista em segurança wordpress: Hardening, limpeza de malware e proteção contínua para WordPress — plugins, temas, logins e integridade. É exatamente para isso que existe Segurança WordPress e Manutenção web: configuração, blindagem, monitoramento e um engenheiro de plantão dia e noite.