Configurar WordPress com Melhores Práticas de Segurança

Este documento foi escrito com o objetivo de ser adequado para aplicações web desenvolvidas com WordPress que não interagem com utilizadores. Destina-se principalmente a páginas de marca corporativas, várias visualizações estáticas, páginas de recrutamento e sites semelhantes.

Para sites onde os utilizadores se registam e usam livremente o site, como comunidades abertas, alguns itens deste documento podem não ser aplicáveis. Tenha isto em mente ao ler.

Este documento não inclui todo o conteúdo necessário para proteger o WordPress.

No entanto, inclui informações gerais e detalhadas a um nível que permite avaliações de risco de segurança e respostas a vulnerabilidades com base no guia.

Se achar útil, por favor, dê uma "estrela"🌟 para apoiar melhorias futuras.

---

Índice

• 1. Garantir que o Nome de Utilizador Admin Padrão do WordPress foi Alterado
• 2. Garantir que as Funções e Permissões de Utilizador no WordPress são Geridas Adequadamente
• 3. Garantir que o Registo de Utilizador está Desativado
• 4. Garantir que o Editor de Ficheiros de Plugins está Desativado
• 5. Garantir que Plugins Não Utilizados e Desnecessários são Desativados
• 6. Garantir que o WordPress está Configurado para Usar Apenas HTTPS, Incluindo o Admin do WordPress
• 7. Garantir que as Restrições de Acesso por IP (ACL) são Aplicadas
  • 7.1. Garantir que as restrições de acesso por IP são aplicadas ao admin do WordPress.
  • 7.2. Restringir Acesso por IP ou Desativar a Funcionalidade JSON REST API
  • 7.3. Desativar a Funcionalidade XML-RPC API
  • 7.4. Desativar WP-Cron ou Restringir a Funcionalidade
• 8. Configuração do Sistema para um WordPress Seguro.
  • 8.1. Garantir a Utilização de Versões Não Fim-de-Vida (EOL) do WordPress e PHP
  • 8.2. Garantir que Apenas as Extensões PHP Necessárias para o WordPress estão Ativadas
  • 8.3. Garantir a Segurança de Plugins com Funcionalidades de Upload de Ficheiros
  • 8.4. Garantir que as Funções e Definições PHP estão Corretamente Configuradas
  • 8.5. Garantir que o Servidor Web é Executado como Utilizador Não-Root - Utilizador e Grupo Único e Não Privilegiado para a Aplicação do Servidor
  • 8.6. Garantir que o PHP-FPM é Executado como Utilizador Não-Root - Utilizador e Grupo Único e Não Privilegiado para a Aplicação do Servidor
  • 8.7. Garantir a Configuração Segura do Diretório Inicial do WordPress
  • 8.8. Garantir que a Execução PHP está Desativada em Diretórios com Permissão de Escrita
  • 8.9. Garantir que o Servidor Web Apenas Responde a Cabeçalhos de Host Baseados em Domínio
  • 8.10. Configuração Completa do Servidor Web
• 9. Garantir Atualizações de Segurança do WordPress
• 10. Garantir Verificações Regulares de Vulnerabilidades de Segurança para o WordPress

---

1. Garantir que o Nome de Utilizador Admin Padrão do WordPress foi Alterado

Quando instala o WordPress, o nome de utilizador admin padrão é "admin", a menos que o altere durante o processo de configuração. O nome de conta "admin" é amplamente conhecido, por isso deve ser alterado para um nome diferente. Se continuar a usar "admin" como nome de utilizador admin, um atacante pode tentar um ataque de força bruta usando "admin" para obter acesso ao seu site WordPress.

Se um atacante obtiver acesso à conta admin do WordPress, terá controlo total sobre o site. O nome de utilizador admin padrão do WordPress deve ser alterado para um nome diferente.

Auditoria:

• Verificar se o nome de utilizador admin padrão do WordPress ainda está definido como "admin".

Remediação:

• Se o nome de utilizador for "admin", altere-o imediatamente para um nome de utilizador menos previsível.

1. Faça login no painel de administração do WordPress usando a conta admin.
2. Vá para a área "Utilizadores" no painel do seu painel de controlo e clique em "Adicionar Novo Utilizador".
3. Preencha o formulário e escolha "administrador" no menu suspenso "Função" (lembre-se de usar uma palavra-passe forte e também use o indicador de força da palavra-passe fornecido para confirmar que a sua nova palavra-passe é suficientemente forte).
4. Quando terminar, clique no botão "Adicionar Novo Utilizador".
5. Faça login novamente usando o seu novo nome de utilizador admin do WordPress.
6. Navegue novamente para a área "Utilizadores".
7. Na lista de utilizadores, selecione o nome de utilizador "admin" anterior e escolha "Eliminar" no menu suspenso.
8. Ao eliminar o admin antigo, ser-lhe-á perguntado sobre os artigos publicados com o nome de utilizador "admin" anterior.
   • Selecione a opção "atribuir todos os artigos e ligações a:" e selecione o seu novo administrador.
   • Quando tudo estiver definido, clique em "Confirmar Eliminação".

Nota:

• Use sempre um "nome de exibição" diferente do nome de utilizador. Se o nome de utilizador real for usado como nome de exibição do autor do conteúdo, um hacker identificará facilmente o nome de utilizador e visará a conta

2. Garantir que as Funções e Permissões de Utilizador no WordPress são Geridas Adequadamente

Por padrão, o WordPress tem cinco funções de utilizador - "Administradores", "Editores", "Autores", "Colaboradores", "Subscritores"

Estas funções permitem controlar que tarefas os utilizadores podem realizar no seu site, atribuindo permissões adequadas. Se as funções e permissões de utilizador não forem geridas adequadamente, os utilizadores podem obter acesso desnecessário a funcionalidades críticas, representando um risco de segurança significativo.

Auditoria:

• Verificar se as funções e permissões de utilizador do WordPress estão ajustadas às necessidades do seu site.
• Rever todas as funções de utilizador para garantir que estão alinhadas com as políticas operacionais atuais do seu site.

Remediação:

• Atribuir e gerir funções de utilizador de acordo com as necessidades do seu site.
• Geralmente, o WordPress deve ser operado com um Administrador, um Editor, um Autor.
• Remover contas admin desnecessárias ou reduzir permissões onde necessário.
• Rever regularmente os utilizadores e as suas funções para garantir que estão atualizados com quaisquer alterações.