Plugins de segurança para WordPress: Wordfence, Kadence Security e AIOS
Compare Wordfence para reunir firewall, análise de malware e proteção de login; Kadence Security para políticas de usuários e autenticação; e All-In-One Security, ou AIOS, para aplicar proteções gradualmente. Confira os recursos gratuitos, o tratamento de bloqueios indevidos e a recuperação do acesso administrativo. Esses plugins complementam atualizações, gestão de contas e backups, sem garantir que todo incidente será evitado.
Defina a função do plugin de segurança
Separe prevenção, detecção e recuperação. Um firewall de aplicação web, ou WAF, examina requisições segundo regras de ataque. A proteção de login procura reduzir tentativas de adivinhar senhas e tomar contas. Uma análise de arquivos procura alterações ou sinais conhecidos de código malicioso. Investigar um comprometimento, eliminar a causa e recuperar um estado saudável são trabalhos distintos.
Uma alteração de arquivo pode resultar de atualização legítima ou ataque. O alerta não confirma uma infecção; apagar o item indicado também não comprova que a causa desapareceu. Compare caminho e horário com as atualizações realizadas e examine as evidências disponíveis.
Antes de escolher, revise contas administrativas sem uso, senhas compartilhadas, plugins abandonados e backups restauráveis. O manual de proteção do WordPress explica a combinação de medidas. Se a hospedagem fornece firewall ou análises, defina onde termina a responsabilidade dela e onde começa a sua.
Compare recursos gratuitos e pagos
| Plugin | Recursos gratuitos a avaliar | Recursos pagos a conferir | Decisão prática |
|---|---|---|---|
| Wordfence Security | Firewall no site, análise de arquivos, proteção de login e dois fatores | Regras e assinaturas em tempo real, lista de bloqueio IP, suporte e serviços de intervenção | Há alguém para examinar alertas e requisições bloqueadas? |
| Kadence Security | Proteção de login, dois fatores e exigências de senha | Dispositivos confiáveis, login sem senha e proteção automática contra certas vulnerabilidades | As políticas por grupo funcionam nos formulários usados? |
| All-In-One Security | Firewall, login, dois fatores básicos e detecção de mudanças em arquivos | Análise de malware, autenticação avançada, monitoramento e suporte | É possível aplicar opções gradualmente e verificar o servidor? |
Compare número de sites, suporte e renovação junto com o preço da licença. Comprar o software é diferente de contratar pessoas para investigar e limpar um incidente. Uma pontuação no painel ou o total de instalações não determina a adequação ao seu ambiente.
Condições importantes de cada produto
Wordfence: reserve tempo para examinar os resultados
Wordfence reúne firewall, análise de arquivos e proteção de login no ambiente WordPress. Considere-o se um responsável pode diferenciar uma atualização normal de uma alteração suspeita e examinar bloqueios. Observe também duração das análises, recursos consumidos e retenção dos registros.
Uma diferença entre Free e Premium é a chegada de novas regras e assinaturas. A documentação Wordfence Free informa atraso de 30 dias em relação à liberação para Premium. A edição gratuita mantém as proteções existentes e a autenticação em dois fatores. A comparação de produtos permite separar atualização de dados de proteção de serviços com intervenção humana.
Kadence Security: adapte as políticas aos usuários
O nome atual no diretório é Kadence Security. Instruções antigas de iThemes Security ou Solid Security podem mostrar menus diferentes. Examine requisitos de senha, autenticação e proteção contra tentativas repetidas conforme os grupos do site: administradores e clientes têm funções e caminhos de acesso distintos.
A ficha oficial reserva a Pro recursos como dispositivos confiáveis, login sem senha e proteção automática contra determinadas vulnerabilidades. Um aviso de vulnerabilidade não é a mesma coisa que aplicar uma proteção automática. Mesmo um patch virtual não elimina a necessidade de instalar a atualização de segurança do desenvolvedor original ou substituir um produto sem manutenção.
AIOS: entenda uma configuração por vez
AIOS oferece proteções de login, firewall e detecção de mudanças em arquivos. Considere-o se pretende ler cada opção e aumentar a proteção progressivamente. Detectar uma alteração não equivale a pesquisar malware: recursos chamados de análise podem ter alcances diferentes.
A comparação oficial do AIOS diferencia análise de malware e autenticação avançada Premium dos recursos gratuitos. Verifique ainda o servidor: regras baseadas em .htaccess não se aplicam da mesma forma ao Nginx. Ativar uma opção no painel não prova que a hospedagem suporta o mecanismo correspondente.
Prepare a recuperação antes de impor restrições
Tenha um backup restaurável do WordPress e acesso à hospedagem. Anote os caminhos de login, as contas e as integrações externas. O guia de instalação de plugins cobre a etapa inicial. Defina qual componente cuida do login e dos dois fatores para evitar políticas sobrepostas em várias suítes.
- Registre um estado funcional. Confira login de administrador e usuário, e-mail de redefinição de senha, formulários e menu móvel. Inclua telas próprias de loja e área de membros.
- Complete a configuração inicial. Confira o tipo de site e o e-mail administrativo. Atrás de um proxy, verifique a identificação dos endereços IP: tratar o endereço do proxy como se fosse o de todos os visitantes pode provocar bloqueios indevidos.
- Comece pelo login. A autenticação em dois fatores, ou 2FA, exige um fator adicional à senha. Configure uma conta de gestão, guarde os códigos de recuperação e escolha os papéis abrangidos.
- Mantenha a sessão atual durante o ensaio. Teste uma nova entrada em outra janela privada antes de encerrar todas as sessões. A sessão administrativa aberta pode permitir corrigir uma incompatibilidade.
- Adicione uma restrição por vez. Separe mudanças de firewall, desafio antibot CAPTCHA e caminho de login. Confira celular, formulários, loja e automações antes da próxima alteração.
- Defina quem acompanha os alertas. Use um endereço monitorado, configure os calendários de análise e a retenção dos registros. Separe avisos relevantes do ruído e confirme que os controles realmente executam.
Confira um novo login depois de ativar dois fatores
No Wordfence, abra Wordfence → Login Security → My 2FA, conforme os rótulos em inglês. Adicione a conta ao aplicativo autenticador, baixe e guarde os códigos de recuperação e ative com o código exibido no aplicativo. Não mantenha a única cópia dos códigos no mesmo telefone que pode ser perdido. Antes de fechar a sessão original, faça uma nova entrada em outra janela.
Um formulário personalizado do tema e a página de conta WooCommerce podem se comportar de maneira diferente do login padrão. Confira integrações e papéis nas opções Login Security e teste a tela realmente utilizada seguindo as instruções de dois fatores. Se códigos válidos forem recusados, confira se escolheu a conta do site correto e se os relógios do dispositivo e do servidor estão ajustados.
Antes de alterar a política geral, identifique os serviços que usam REST, XML-RPC ou senhas de aplicação. São caminhos de comunicação entre programas; sua autenticação pode diferir da entrada pelo navegador. Confira a documentação e a compatibilidade de cada integração antes de bloquear uma interface de forma geral.
O que fazer se o administrador for bloqueado?
Anote o produto, o motivo e o horário exibidos na página de erro. Um problema de aplicativo autenticador exige o caminho de recuperação correspondente; um bloqueio de IP ou requisição exige examinar os registros e a regra aplicada. O guia de diagnóstico do Wordfence descreve o e-mail de desbloqueio do administrador e outras opções. A ausência desse e-mail exige investigar também o envio de mensagens do site.
Se o painel e a recuperação normal estiverem indisponíveis, o proprietário deve seguir o procedimento do produto com a hospedagem ou o suporte de segurança. Evite remover permanentemente todas as proteções ou apagar arquivos sem identificar a causa. Após recuperar o acesso, corrija a regra ou autenticação responsável, teste o uso normal e restabeleça a proteção prevista.
Uma resposta antiga de bloqueio pode permanecer nos caches de páginas, hospedagem ou CDN. Separe um falso positivo contra visitante legítimo de evidências de comprometimento. Se houver suspeita de infecção, preserve arquivos, registros e estado atual e determine causa, efeitos e recuperação com o responsável. Instalar outro plugin não comprova que a limpeza terminou.
