Como ativar medidas de segurança do Softaculous no WordPress

Veja como ativar medidas de segurança do Softaculous em uma instalação WordPress. O painel reúne proteções recomendadas e críticas, mas algumas podem interferir em integrações legítimas. Por isso, faça backup, revise as dependências e teste o site depois da aplicação.

Prepare o WordPress antes da alteração

• Crie um backup recente de arquivos e banco de dados.
• Confirme que o WordPress, o tema e os plugins estão atualizados.
• Registre quais serviços usam XML-RPC, uploads personalizados, APIs ou varreduras externas.
• Quando possível, teste primeiro em staging.

As medidas do Softaculous complementam atualizações, senhas fortes, autenticação em duas etapas, menor privilégio e monitoramento. Elas não tornam o site invulnerável.

Abra as medidas de segurança do Softaculous

1. Acesse o DirectAdmin e abra Softaculous Apps Installer.
2. Entre no WordPress Manager ou em Todas as instalações.
3. Localize o domínio correto. Confira a URL antes de marcar qualquer opção.
4. Abra Medidas de Segurança.
5. Escolha o conjunto desejado, revise as opções e selecione Apply.

Use Todas (Críticas e Recomendadas) somente quando você puder testar todas as integrações. Apenas Críticas é um ponto inicial mais conservador. Em sites com recursos específicos, prefira Escolher manualmente.

Entenda cada medida antes de aplicar

• Alterar o usuário padrão do administrador: troca o usuário admin por outro nome. Registre o novo acesso e revise integrações que usem esse usuário.
• Restringir acesso a arquivos e diretórios: ajusta permissões para reduzir alterações não autorizadas. Plugins que exigem permissões incomuns devem ser avaliados.
• Bloquear acesso ao xmlrpc.php: reduz uma superfície comum de abuso, mas pode interromper Jetpack, aplicativos móveis e publicação remota.
• Bloquear acesso a .htaccess e .htpasswd: impede a leitura pública de arquivos sensíveis de configuração.
• Desativar pingbacks: reduz abuso de XML-RPC e comentários automáticos entre sites.
• Desativar edição de arquivos no WordPress: remove o editor de tema e plugins do painel. Atualizações normais continuam disponíveis.
• Bloquear varreduras de autores: dificulta enumeração de usuários. Dependendo dos links permanentes, páginas públicas de autor podem precisar de teste.
• Bloquear navegação em diretórios: evita listagem de arquivos quando não existe um arquivo de índice.
• Proibir PHP em wp-includes: bloqueia execução indevida em uma pasta que não deve receber scripts personalizados.
• Proibir PHP em uploads: reduz o risco de arquivos enviados serem executados. Plugins que geram PHP nessa pasta são incomuns e devem ser investigados, não simplesmente liberados.
• Desativar concatenação no painel: reduz exposição a determinados ataques de negação de serviço; pode alterar levemente o desempenho administrativo.
• Bloquear arquivos sensíveis: protege arquivos que podem revelar credenciais ou detalhes úteis a ataques.
• Ativar proteção contra bots: bloqueia robôs maliciosos ou abusivos. Varreduras externas autorizadas podem exigir desativação temporária.

Escolha uma configuração compatível

Para um WordPress institucional comum, as opções de proteção de arquivos, bloqueio de navegação em diretórios, proibição de PHP em uploads, desativação do editor e bloqueio de arquivos sensíveis costumam ser adequadas. Mesmo assim, valide o ambiente.

Se o site usa Jetpack, aplicativo WordPress, integração de publicação ou outro recurso dependente de XML-RPC, não bloqueie o arquivo antes de confirmar uma alternativa. Se uma empresa de segurança fará uma varredura autorizada, combine a janela antes de ativar a proteção contra bots.

Teste depois de aplicar

1. Abra a página inicial e páginas internas em uma janela anônima.
2. Entre no wp-admin e confira o carregamento do editor.
3. Envie um formulário de teste sem usar dados sensíveis.
4. Faça upload de uma imagem e verifique se ela abre corretamente.
5. Teste comentários, APIs e integrações que façam parte do site.
6. Revise os logs e monitore erros 403 ou 500.

Se uma proteção causar falha, o WordPress Manager permite revisar e reverter medidas. Caso o painel não responda, restaure a configuração ou o backup com ajuda técnica. Não desative todas as proteções sem identificar qual regra provocou o conflito.

Próximos cuidados de segurança

Depois das medidas do Softaculous, mantenha atualizações, backups externos, contas individuais, autenticação em duas etapas e revisão periódica de administradores. Consulte a documentação oficial do Softaculous e o guia da XFROTA sobre funções do Softaculous.

Para conferir o site antes e depois da mudança, use um ambiente de teste e registre o que foi aplicado. Se precisar de acompanhamento, fale com o suporte XFROTA sem compartilhar senhas no chamado.