{"id":624,"date":"2024-02-29T15:00:00","date_gmt":"2024-02-29T18:00:00","guid":{"rendered":"https:\/\/kangaroo.host\/blog\/dicas-seguranca-loja-woocommerce\/"},"modified":"2025-07-14T16:55:18","modified_gmt":"2025-07-14T19:55:18","slug":"dicas-seguranca-loja-woocommerce","status":"publish","type":"post","link":"https:\/\/kangaroo.host\/blog\/dicas-seguranca-loja-woocommerce\/","title":{"rendered":"Guia de seguran\u00e7a para sua loja WooCommerce"},"content":{"rendered":"\n

Ol\u00e1, meu querido Kagaroozinho, como vai? Hoje, vamos abordar um assunto de  muita import\u00e2ncia: a seguran\u00e7a de e-Commerces feitos em WooCommerce, o mais famoso plugin WordPress para transformar sites em lojas virtuais.<\/p>\n\n\n\n

A import\u00e2ncia do assunto, claro, vem da sensibilidade do tipo de informa\u00e7\u00f5es com as quais esse tipo de site lida: informa\u00e7\u00f5es pessoais de clientes, prefer\u00eancias de compras e, o mais cr\u00edtico de todos, as informa\u00e7\u00f5es de pagamento.<\/p>\n\n\n\n

Para te ajudar a deixar sua loja mais segura de diferentes formas de fragilidades, como v\u00edrus, ataques e invas\u00f5es, confira nosso artigo at\u00e9 o fim e garantimos que sua seguran\u00e7a na Web estar\u00e1 muito melhor. Bora l\u00e1!<\/p>\n\n\n\n

O problema de vulnerabilidades no WooCommerce<\/h2>\n\n\n\n

Antes de tudo, \u00e9 necess\u00e1rio um aviso: nenhuma aplica\u00e7\u00e3o, sistema ou site est\u00e1 totalmente imune a qualquer tipo de amea\u00e7a. At\u00e9 mesmo grandes portais, grandes empresas e mesmo a NASA tiveram quest\u00f5es de seguran\u00e7a em algum momento. Ent\u00e3o, dito isso, \u00e9 bom entendermos que para tudo h\u00e1 um ponto de falha em potencial, mesmo que em muitos casos isso venha por quest\u00f5es de falha humana em algum aspecto.<\/p>\n\n\n\n

Dito isso, o WooCommerce \u00e9 um plugin amplamente usado dentro do WordPress, o que faz dele um alvo para muitos usu\u00e1rios mal intencionados (assim como qualquer outra plataforma seria alvo de interesse).<\/p>\n\n\n\n

Por conta disso, ele \u00e9 constantemente atualizado, recebendo corre\u00e7\u00f5es de seguran\u00e7a que fecham brechas e vulnerabilidades, ajudando a tornar o plugin cada vez mais seguro para uso dos lojistas.<\/p>\n\n\n\n

Tendo isso em mente, \u00e9 v\u00e1lido ressaltar a import\u00e2ncia de manter n\u00e3o somente o WooCommerce atualizado, mas sim todos os plugins, temas e o seu pr\u00f3prio WordPress, para assegurar que qualquer eventual brecha de seguran\u00e7a conhecida que eles tenham esteja corrigida em sua vers\u00e3o.<\/p>\n\n\n\n

Evite plugins e temas suspeitos<\/h2>\n\n\n\n
\"Plugins
Imagem gerada por IA<\/figcaption><\/figure>\n\n\n\n

Como dissemos acima, o WordPress \u00e9 um alvo constante de tentativas de descobrir novas vulnerabilidades. Isso se deve a ele ser a plataforma de cria\u00e7\u00e3o de sites mais comuns atualmente, estando presente em quase metade dos sites de toda a internet.<\/p>\n\n\n\n

Al\u00e9m de tentarem descobrir brechas que possam existir, os criminosos digitais tamb\u00e9m criam recursos j\u00e1 contaminados desde sua origem, muitas vezes pegando carona em recursos j\u00e1 existentes e conhecidos, como plugins e temas. Mas\u2026 como?<\/p>\n\n\n\n

Bom, ocorre que muitos plugins e temas para WordPress s\u00e3o pagos, mesmo que a plataforma em si seja gratuita. E, sabendo que muitos usu\u00e1rios n\u00e3o podem ou n\u00e3o querem pagar por tudo que utilizam, os criminosos fazem a \u201cboa a\u00e7\u00e3o\u201d de disponibilizar esses conte\u00fados de forma gratuita.<\/p>\n\n\n\n

O problema \u00e9 que quando eles fazem isso, deixam sempre c\u00f3digo malicioso escondido no meio daquilo que disponibilizaram. E, uma vez que esse c\u00f3digo entra em seu site, a pessoa que o fez pode fazer qualquer coisa.<\/p>\n\n\n\n

N\u00e3o \u00e9 incomum hoje em dia acompanharmos casos de sites invadidos que estejam com usu\u00e1rios suspeitos com permiss\u00e3o de administrador, p\u00e1ginas de cassinos de outros pa\u00edses, e at\u00e9 mesmo a desinstala\u00e7\u00e3o completa do pr\u00f3prio WordPress. Em resumo, controle total sendo passado a um usu\u00e1rio mal intencionado.<\/p>\n\n\n\n

Portanto, sempre evite problemas como esse e jamais use plugins\/temas \u201cNulled\u201d, como chamam quando eles t\u00eam seus mecanismos de valida\u00e7\u00e3o de licen\u00e7a removidos. O barato pode sair caro, e no caso de um e-commerce pode ser totalmente catastr\u00f3fico.<\/p>\n\n\n\n

Estabele\u00e7a controle de permiss\u00f5es<\/h2>\n\n\n\n
\"Controle
Imagem gerada por IA<\/figcaption><\/figure>\n\n\n\n

Um aspecto que deve ser muito considerado \u00e9 que boa parte dos problemas de seguran\u00e7a se inicia por conta de fatores humanos, seja por descuido, engenharia social ou qualquer outra raz\u00e3o. <\/p>\n\n\n\n

Pensando nisso, estabele\u00e7a um controle rigoroso dos acessos com base em departamentos e responsabilidades. Conceda apenas as permiss\u00f5es que aquele usu\u00e1rio\/colaborador realmente precisa ter dentro de sua loja. <\/p>\n\n\n\n

Uma boa pr\u00e1tica para filtrar ainda mais quem tem acesso aos sistemas \u00e9 o uso de VPNs (redes virtuais privadas). Com elas, \u00e9 poss\u00edvel restringir que apenas quem estiver conectado atrav\u00e9s da VPN possa acessar determinadas \u00e1reas, j\u00e1 limitando muito a capacidade de acesso para pessoas alheias \u00e0 sua empresa.<\/p>\n\n\n\n

Um fator comum de problemas de fator humano \u00e9 o vazamento de senhas de funcion\u00e1rios. Por isso, conscientize seu time para que usem senhas seguras e ferramentas que auxiliem a ter acessos seguros, como gerenciadores de senhas<\/a> e, claro, sempre usando autentica\u00e7\u00e3o em dois fatores.<\/p>\n\n\n\n

Pontos de aten\u00e7\u00e3o para configurar<\/h2>\n\n\n\n
\"Configura\u00e7\u00f5es
Imagem gerada por IA<\/figcaption><\/figure>\n\n\n\n

A partir de agora, muitas das dicas que daremos ser\u00e3o voltadas ao WooCommerce, mas fazem parte de um todo que \u00e9 o WordPress. Por isso, alguns dos assuntos levantados aqui ir\u00e3o de encontro com alguns outros artigos que j\u00e1 temos sobre seguran\u00e7a do WordPress<\/a>. <\/p>\n\n\n\n

Escolha um provedor confi\u00e1vel<\/strong><\/h3>\n\n\n\n

A seguran\u00e7a do seu site come\u00e7a no seu provedor de hospedagem, que \u00e9 onde o seu site ficar\u00e1 hospedado. Isso porque ele \u00e9 a primeira camada de recursos de funcionamento do site, sendo a base onde ele ficar\u00e1 estabelecido.<\/p>\n\n\n\n

Por isso, \u00e9 muito importante optar por um provedor que, assim como a Kangaroo, preze sempre pela qualidade e prote\u00e7\u00e3o do seu site e dados. Ent\u00e3o, sempre analise as ferramentas e recursos de seguran\u00e7a disponibilizados pela empresa no plano escolhido.<\/p>\n\n\n\n

Vale dizer que dificilmente sites s\u00e3o invadidos a partir do servidor, sendo uma porcentagem bem pequena das ocorr\u00eancias. A maior parte realmente vem de problemas de seguran\u00e7a oriundos de fatores humanos e\/ou brechas de seguran\u00e7a a n\u00edvel da pr\u00f3pria aplica\u00e7\u00e3o (site).<\/p>\n\n\n\n

Portanto, esse \u00e9 um ponto muito importante a se considerar, mas ainda n\u00e3o o principal dentre os que vamos elencar.<\/p>\n\n\n\n

Fa\u00e7a backups com frequ\u00eancia<\/strong><\/h3>\n\n\n\n

N\u00e3o economize na frequ\u00eancia de execu\u00e7\u00e3o de backups do seu site, e nunca se atenha a manter apenas aos backups que o seu provedor oferece, sempre fa\u00e7a seus pr\u00f3prios backups \u00e0 parte<\/strong>.<\/p>\n\n\n\n

Backups s\u00e3o a principal forma de trazer o seu site de volta, resgatando-o de qualquer poss\u00edvel desastre. Por isso, fa\u00e7a backup de tudo e com muita frequ\u00eancia. sempre os armazenando em um ambiente externo e controlado.<\/p>\n\n\n\n

Para o WordPress, existem diversos plugins que ajudam a fazer isso e que s\u00e3o muito populares, como o All in One WP Migration<\/a>, Duplicator<\/a>, UpDraft <\/a>e o JetPack<\/a>.<\/p>\n\n\n\n

Todos eles n\u00e3o apenas te permitem fazer um backup completo de todo o site (incluindo arquivos, e o banco de dados), como tamb\u00e9m restaurar. Dessa forma, \u00e9 poss\u00edvel restaurar o seu site por inteiro atrav\u00e9s desses arquivos.<\/p>\n\n\n\n

Use SSL sempre<\/strong><\/h3>\n\n\n\n

Com o HTTPS (vers\u00e3o segura do protocolo http), os dados das requisi\u00e7\u00f5es e respostas do servidor s\u00e3o totalmente criptografados, impedindo que estes possam ser interceptados durante seu caminho, ajudando a garantir a seguran\u00e7a, por exemplo, no momento em que o comprador faz uma compra informando o cart\u00e3o de cr\u00e9dito em seu site.<\/p>\n\n\n\n

Os Certificados SSL s\u00e3o um recurso de muito valor quando pensamos em um e-commerce, isso porque ele \u00e9 capaz de habilitar o protocolo https para o transporte de requisi\u00e7\u00f5es e respostas entre o servidor (site) e o cliente (usu\u00e1rio visitante).<\/p>\n\n\n\n

Gra\u00e7as a isso, os dados do cart\u00e3o trafegam de forma segura direto para seu servidor, sem margem para que algu\u00e9m identifique essas informa\u00e7\u00f5es dentro dos pacotes de requisi\u00e7\u00e3o, j\u00e1 que est\u00e3o totalmente encriptados.<\/p>\n\n\n\n

Use um plugin de seguran\u00e7a<\/strong><\/h3>\n\n\n\n

Plugins de seguran\u00e7a trazem uma s\u00e9rie de recursos para o nosso site, ajudando a fechar brechas de seguran\u00e7a que sequer poder\u00edamos imaginar existir.<\/p>\n\n\n\n

Ele ser\u00e1 um dos seus principais recursos aliados para proteger seu site de ataques, v\u00edrus, spam e outros mais. Por isso, escolher um companheiro confi\u00e1vel para essa tarefa \u00e9 uma quest\u00e3o realmente importante.<\/p>\n\n\n\n

Dentre algumas das principais fun\u00e7\u00f5es que podemos encontrar em um bom plugin de seguran\u00e7a, temos:<\/p>\n\n\n\n

WAF (Web Application Firewall)<\/strong><\/h4>\n\n\n\n

Imagine o WAF como um porteiro altamente treinado para sua loja virtual. Ele fica na porta, analisando cada visitante (ou dado) que tenta entrar. <\/p>\n\n\n\n

Se algo ou algu\u00e9m suspeito aparecer, o WAF bloqueia o acesso antes mesmo que cheguem perto de suas informa\u00e7\u00f5es valiosas. Assim, ele protege seu site contra ataques comuns como inje\u00e7\u00e3o de SQL e cross-site scripting (XSS).<\/p>\n\n\n\n

AntiSpam<\/strong><\/h4>\n\n\n\n

O AntiSpam \u00e9 o faxineiro do seu site, sempre de olho em todos os coment\u00e1rios e formul\u00e1rios, evitando que sejam inundados por mensagens irrelevantes ou maliciosas. <\/p>\n\n\n\n

Gra\u00e7as ao AntiSpam, sua se\u00e7\u00e3o de coment\u00e1rios e seus formul\u00e1rios de contato permanecem limpos e convidativos, mantendo a casa em ordem para que os verdadeiros clientes possam se expressar e interagir sem obst\u00e1culos.<\/p>\n\n\n\n

AntiMalware<\/strong><\/h4>\n\n\n\n

O AntiMalware \u00e9 o m\u00e9dico especialista do seu site. Assim como um m\u00e9dico busca por sinais de doen\u00e7a, o AntiMalware varre seu site em busca de c\u00f3digos maliciosos que tentam infectar e tomar controle de seu neg\u00f3cio online. <\/p>\n\n\n\n

Ele est\u00e1 sempre atento, pronto para detectar, isolar e eliminar qualquer v\u00edrus que tente se alojar em seu espa\u00e7o digital.<\/p>\n\n\n\n

Scanner<\/strong><\/h4>\n\n\n\n

O Scanner \u00e9 o detetive particular do seu site. Com sua lupa digital, ele examina minuciosamente cada arquivo em busca de pistas de c\u00f3digo malicioso ou configura\u00e7\u00f5es suspeitas. Sempre que encontra algo fora do comum, ele te avisa, permitindo que voc\u00ea tome medidas antes que um pequeno problema se torne uma grande amea\u00e7a.<\/p>\n\n\n\n

2FA (Autentica\u00e7\u00e3o de Dois Fatores)<\/strong><\/h4>\n\n\n\n

A Autentica\u00e7\u00e3o de Dois Fatores \u00e9 como um segundo cadeado na porta de sua casa. Mesmo que algu\u00e9m consiga a sua senha (a primeira chave), ainda precisar\u00e1 de um c\u00f3digo extra, geralmente enviado para seu celular ou gerado por um aplicativo como o Google Authenticator. Isso adiciona uma camada extra de seguran\u00e7a, garantindo que s\u00f3 voc\u00ea tenha acesso \u00e0s \u00e1reas mais sens\u00edveis do seu site.<\/p>\n\n\n\n

Qual plugin de seguran\u00e7a usar para WooCommerce?<\/strong><\/h2>\n\n\n\n
\"Usuaria
Imagem gerada por IA<\/figcaption><\/figure>\n\n\n\n

A escolha de um plugin ou outro pode ser muito pessoal, mas fato \u00e9 que precisamos nos atentar para alternativas que concentrem a maior quantidade de recursos, de modo a unificar em uma ferramenta a maior gama poss\u00edvel.<\/p>\n\n\n\n

Portanto, a principal dica aqui \u00e9 o plugin Shield Security<\/a>, que conta com todos os recursos que sugerimos anteriormente e muitos mais.<\/p>\n\n\n\n

Ele \u00e9 capaz de, dentre muitas coisas, apontar os problemas potenciais que seu site apresenta e te apresenta isso de forma muito simples, al\u00e9m de permitir que voc\u00ea corrija v\u00e1rias das observa\u00e7\u00f5es com um \u00fanico clique.<\/p>\n\n\n\n

Um dos recursos mais interessantes \u00e9 o log de atividades, mostrando os acessos de cada IP ao seu site, e mostrando inclusive a\u00e7\u00f5es executadas dentro do admin, como quem instalou ou removeu algum plugin ou tema, configura\u00e7\u00f5es alteradas, e por a\u00ed vai. Realmente, um deleite para acompanhar cada passo tomado dentro do seu site.<\/p>\n\n\n\n

A ferramenta conta tamb\u00e9m bom uma vers\u00e3o paga, que estende ainda mais sua j\u00e1 vasta gama de recursos.<\/p>\n\n\n\n

Com qual brechas de seguran\u00e7a se atentar<\/h2>\n\n\n\n

Ataques de For\u00e7a Bruta<\/strong><\/h3>\n\n\n\n

Ataques de for\u00e7a bruta s\u00e3o amea\u00e7as cibern\u00e9ticas onde um invasor tenta obter acesso n\u00e3o autorizado a um sistema, rede ou conta, experimentando todas as combina\u00e7\u00f5es poss\u00edveis de nomes de usu\u00e1rio e senhas at\u00e9 encontrar as credenciais corretas. <\/p>\n\n\n\n

Estes ataques exploram senhas fracas ou facilmente adivinh\u00e1veis, e um ataque bem-sucedido pode resultar em viola\u00e7\u00e3o de dados, interrup\u00e7\u00e3o do sistema e danos financeiros ou de reputa\u00e7\u00e3o severos. <\/p>\n\n\n\n

Proteger-se contra esses ataques envolve a implementa\u00e7\u00e3o de senhas fortes, limita\u00e7\u00e3o de tentativas de login e uso de mecanismos de autentica\u00e7\u00e3o multifatorial.<\/p>\n\n\n\n

Inje\u00e7\u00f5es SQL<\/strong><\/h3>\n\n\n\n

Inje\u00e7\u00f5es SQL ocorrem quando atores maliciosos exploram vulnerabilidades em aplica\u00e7\u00f5es web para manipular bancos de dados. <\/p>\n\n\n\n

Esses ataques permitem que os hackers acessem dados sens\u00edveis, contas de usu\u00e1rios ou privil\u00e9gios administrativos. <\/p>\n\n\n\n

Prevenir inje\u00e7\u00f5es SQL requer pr\u00e1ticas de codifica\u00e7\u00e3o seguras, como o uso de consultas parametrizadas ou declara\u00e7\u00f5es preparadas, que separam o que for inserido por parte do usu\u00e1rio dos comandos SQL, garantindo que os dados inseridos n\u00e3o sejam interpretados como c\u00f3digo.<\/p>\n\n\n\n

Scripting entre Sites (XSS)<\/strong><\/h3>\n\n\n\n

O scripting entre sites (XSS) \u00e9 uma vulnerabilidade comum que ocorre quando um atacante injeta scripts maliciosos em p\u00e1ginas da web que s\u00e3o visualizadas por outros usu\u00e1rios. Esses ataques s\u00e3o divididos em tr\u00eas tipos:<\/p>\n\n\n\n