Quando falo de segurança de sites PME com clientes aqui em Famalicão, a reação é quase sempre uma de duas: ou "isso é coisa de empresas grandes, ninguém quer saber do meu site da serralharia", ou então pânico total, à espera de hackers russos com balaclava. A verdade está no meio, e é muito mais aborrecida do que isso. Não precisas de blindar o site como se fosse um banco. Mas há um mínimo que, se não tiveres, mais cedo ou mais tarde vais ter uma dor de cabeça evitável.
Este artigo é exatamente isso: o básico que faz a diferença, sem te vender medo. A maioria dos problemas que vejo em sites de PMEs do Norte não vem de um ataque sofisticado. Vem de coisas simples que ninguém tratou: um plugin que ficou três anos sem atualizar, uma password que é o nome da empresa com "123" no fim, ou nenhum backup quando deu para o torto.
Primeiro, desmonta o mito: porque é que o teu site é atacado
Há uma ideia errada que custa caro: a de que só atacam quem é "importante". Na prática, a esmagadora maioria dos ataques a sites de PMEs não é pessoal. São bots automáticos a varrer a internet inteira à procura de portas abertas. O bot não sabe nem quer saber se vendes mobiliário em Joane ou se és um gabinete de contabilidade em Riba de Ave. Ele só vê que o teu WordPress tem um plugin desatualizado com uma falha conhecida, e entra.
O objetivo raramente é "destruir-te". É usar o teu servidor para enviar spam, esconder páginas de phishing dentro do teu domínio, ou meter redirecionamentos para sites de viagra e casinos. Tu nem dás por nada durante semanas, até que um cliente te liga a dizer que o Google está a marcar o teu site como perigoso. Aí já perdeste tráfego, confiança e posição nas pesquisas — e recuperar a reputação no Google demora muito mais do que demorou a perdê-la. Isto é segurança de sites para PME na vida real: não é cinema, é higiene.
O mínimo absoluto (faz isto hoje)
1. HTTPS — o cadeado não é opcional
Se o teu site ainda abre em http:// sem o "s", estás atrasado uns bons anos. O HTTPS encripta o que passa entre o visitante e o servidor, o Google trata-o como fator de ranking desde 2014, e os browsers mostram um aviso de "site não seguro" que afasta clientes na hora. A boa notícia: hoje é grátis. Quase todos os alojamentos decentes oferecem certificados Let's Encrypt com um clique, e renovam-se sozinhos a cada 90 dias. Se o teu fornecedor te cobra por isto, é sinal de alarme — não pelo dinheiro, mas pelo que diz sobre o resto do serviço.
2. Atualizações — o teu pior inimigo é o "depois faço"
Se tens WordPress (e a maioria das PMEs tem), a esmagadora maioria das invasões entra por software desatualizado: o core, os temas e, sobretudo, os plugins. Cada plugin que instalas é uma porta a mais. Aquele plugin de galeria de fotos que instalaste em 2019 e nunca mais atualizaste? É por aí que entram.
- Atualiza regularmente — core, temas e plugins. Idealmente com um backup feito antes, para o caso de uma atualização partir alguma coisa (e às vezes parte).
- Apaga o que não usas. Plugins e temas desativados continuam instalados no servidor e continuam a ser uma vulnerabilidade. Se não usas, fora.
- Usa só plugins de fontes credíveis. Nada de versões "nulled" piratas que aparecem grátis em sites duvidosos — vêm quase sempre com código malicioso lá dentro, e o "grátis" sai caríssimo.
3. Passwords e acessos — o ponto mais fraco és tu
Mais de metade dos problemas que resolvo seriam evitados com passwords decentes. "admin" como utilizador e a password do nome da empresa com um "123" no fim não é segurança, é um convite. O mínimo aqui:
- Nada de utilizador "admin". É o primeiro nome que qualquer bot tenta, antes sequer de adivinhar a password.
- Passwords longas e únicas. Usa um gestor de passwords (o Bitwarden é grátis e bom). Reutilizar a password do email no site é como ter a mesma chave para casa, carro e cofre.
- Autenticação em dois passos (2FA) no painel de administração. Mesmo que descubram a tua password, sem o segundo código não entram.
- Limita as tentativas de login. Um plugin simples que bloqueia o IP após X tentativas falhadas trava os ataques de força bruta automáticos, que são exatamente os mais comuns.
4. Backups — a tua rede de segurança
Esta é a mais importante de todas e a mais ignorada. Um backup recente é a diferença entre "perdi uma tarde a restaurar" e "perdi o site inteiro e os dois anos de trabalho que estavam lá". A regra prática:
- Automático e frequente — diário se o site muda muito, semanal no mínimo. Não contes que te vais lembrar de fazer à mão. Não te vais lembrar.
- Guardado fora do servidor do site. Se o backup está no mesmo sítio que o site e o servidor é comprometido, perdes os dois. Guarda numa Drive, Dropbox, ou outro local independente.
- Testa o restauro pelo menos uma vez. Um backup que nunca testaste é só uma esperança, não uma garantia — e há mais backups partidos do que se imagina.
O nível seguinte (quando já tens o básico tratado)
Feito o mínimo, há camadas extra que valem o esforço, sobretudo se o site é central para o negócio — uma loja online ou um site que gera contactos a sério:
- Um firewall de aplicação (WAF) à frente do site. Serviços como o Cloudflare têm um plano gratuito que filtra muito lixo antes sequer de chegar ao teu servidor, e ainda te acelera o site por cima.
- Monitorização. Saber que algo correu mal antes de o cliente te avisar. Há ferramentas que te alertam por email ou SMS se o site cair ou se aparecer malware.
- Manutenção contínua. Segurança não é um evento, é um hábito. Aquele site que ficou pronto e "está a funcionar, não lhe mexas" é precisamente o que daqui a um ano está cheio de buracos.
E quanto a quem faz lojas online ou trata dados de clientes
Se tens uma loja online ou recolhes dados pessoais através do site (formulários de contacto incluídos), entra também o RGPD. Não é só segurança técnica — é uma obrigação legal. O mínimo: política de privacidade clara, consentimento real nos formulários (nada de checkboxes pré-marcadas), e tratar os dados dos teus clientes com o cuidado que gostarias que tratassem os teus. Uma fuga de dados numa loja não é só um problema técnico; é confiança perdida e possíveis coimas.
O resumo honesto
A segurança de sites PME não é sobre comprar a solução mais cara nem viver com medo. É sobre fazer um conjunto pequeno de coisas certas e mantê-las. HTTPS ligado, tudo atualizado, passwords sérias com 2FA, e backups automáticos guardados fora do servidor. Se só fizeres estes quatro, já estás à frente da maioria dos sites de PMEs que vejo por aqui no Norte.
O custo de prevenir isto é ridículo comparado com o de limpar a porcaria depois. Já apanhei sites de Famalicão infetados em que recuperar tudo deu mais trabalho (e dinheiro) do que teria custado a manutenção de um ano inteiro.
Se não fazes ideia em que estado está o teu site, ou se queres alguém que trate disto por ti e te deixe focar no que é o teu negócio, é exatamente uma das coisas que faço. Dá uma olhada nos serviços de criação e manutenção de sites — desde sites a partir de 390€ até lojas online e soluções com IA — e percebe o que faz sentido para o teu caso.
Queres saber se o teu site está protegido? Manda-me uma mensagem e faço-te um orçamento gratuito, sem compromisso e sem te vender medo. Pede o teu orçamento aqui.