Os conselhos para proteger o teu website de hackers aparecem muitas vezes como uma longa lista de verificação. O problema é que nem todos os itens dessa lista têm o mesmo peso. Um pequeno número de medidas explica a maioria dos vetores de ataque que levam a comprometimentos reais, e saber quais priorizar faz a diferença entre segurança eficaz e a aparência dela.
Os ataques a websites são quase todos automatizados. Os scanners analisam milhões de sites ao mesmo tempo, à procura de vulnerabilidades conhecidas em versões de software, palavras-passe comuns e ficheiros de configuração expostos. Um site não precisa de ter muito tráfego nem de ser conhecido para ser visado. Basta estar online e a usar algo com uma falha conhecida. Para perceberes tudo o que está em jogo quando estas medidas não existem, lê o artigo sobre porque é que a segurança do website é importante.
Como proteger o teu website de hackers com autenticação forte
Os ataques a credenciais estão entre as formas mais comuns de os atacantes ganharem acesso aos websites. Uma palavra-passe forte, por si só, não chega. O que realmente trava as ferramentas automáticas de força bruta é combinar uma palavra-passe forte com limites de tentativas e um segundo fator de autenticação.
Palavras-passe fortes e únicas
- As palavras-passe das contas de administrador devem ser longas, aleatórias e exclusivas do site. Não reutilizadas de nenhum outro serviço
- As palavras-passe curtas e as baseadas em palavras ou padrões comuns são as primeiras a ser testadas pelas ferramentas automáticas de força bruta, que podem tentar milhares de combinações por minuto
- Um gestor de palavras-passe gera e guarda credenciais fortes sem teres de as memorizar
Autenticação de dois fatores
- A autenticação de dois fatores exige um segundo passo de verificação, além da palavra-passe, ao iniciar sessão no painel de administração
- Mesmo que uma palavra-passe seja roubada numa violação de dados ou num ataque de phishing, a autenticação de dois fatores impede o atacante de a usar sem controlar também o segundo fator
- Ativá-la em todas as contas de administrador é uma das mudanças isoladas com maior impacto na segurança de um website
Limites de tentativas de início de sessão
- As ferramentas de força bruta funcionam testando milhares de palavras-passe em sucessão rápida. Um limite ao número de tentativas falhadas antes de bloquear um endereço IP trava esta abordagem
- Muitas plataformas de websites incluem a limitação de tentativas de início de sessão como definição integrada ou através de uma extensão de segurança
Remover contas não utilizadas
- Cada conta de administrador ativa com uma palavra-passe fraca ou reutilizada é um possível ponto de entrada
- As contas criadas para antigos colaboradores, prestadores de serviços ou programadores devem ser removidas assim que deixarem de ser necessárias
Como proteger o teu website de hackers com boa higiene de software
O software desatualizado é a categoria de vulnerabilidade mais explorada nos websites. Quando uma falha de segurança é encontrada e corrigida, os detalhes costumam ser publicados juntamente com a correção. Os sites que ainda usam a versão antiga passam a ser um alvo documentado e conhecido.
Aplica as atualizações assim que estiverem disponíveis
- As atualizações da plataforma do website, das extensões, dos temas e das integrações devem ser aplicadas depressa. Incluem frequentemente correções de segurança, e adiá-las deixa vulnerabilidades conhecidas abertas
- Configurar as atualizações para se aplicarem automaticamente, sempre que possível, elimina o risco de perder uma correção crítica
Remove extensões e temas não utilizados
- As extensões e os temas inativos que não são mantidos atualizados continuam vulneráveis mesmo quando não estão ativos no site
- Removê-los reduz a superfície de ataque sem afetar nada no site online
Usa apenas software de fontes de confiança
- As extensões, os temas e os complementos de fontes não oficiais são um veículo comum de distribuição de malware
- Usar apenas software do mercado oficial da plataforma ou de programadores reputados e estabelecidos reduz o risco de instalar código já infetado
Como o HTTPS protege o teu website?
Um certificado SSL e o HTTPS são requisitos de base. Protegem os dados em trânsito e sinalizam aos motores de pesquisa que o site cumpre os padrões mínimos de segurança. Para saberes em detalhe como configurar um, lê o artigo sobre o que é um certificado SSL e como funciona.
O que o HTTPS faz
- O HTTPS cifra os dados que os visitantes enviam através de formulários, páginas de início de sessão e processos de pagamento, impedindo que sejam lidos se forem intercetados em trânsito
- O certificado SSL também verifica a identidade do site, protegendo contra algumas formas de interceção de tráfego e de personificação
O que o HTTPS não faz
- O HTTPS não impede ataques ao próprio site. A injeção de SQL, o cross-site scripting, as tentativas de início de sessão por força bruta e a injeção de malware não são travados pelo HTTPS
- É uma camada de proteção, não um substituto das outras
Como ajuda uma firewall de aplicações web?
O que faz
- Uma firewall de aplicações web fica entre o tráfego que chega e o website, inspecionando os pedidos antes de chegarem ao servidor
- Filtra os pedidos que correspondem a padrões de ataque conhecidos, incluindo tentativas de injeção de SQL, cargas de cross-site scripting e tráfego de origens maliciosas conhecidas
- Os ataques que nunca chegam ao servidor não conseguem explorar vulnerabilidades no código do site
Firewalls ao nível da rede e ao nível da aplicação
- As firewalls ao nível da rede filtram o tráfego ao nível da infraestrutura antes de chegar ao servidor. Costumam ser fornecidas pelas empresas de alojamento e pelos fornecedores de CDN
- As firewalls ao nível da aplicação funcionam ao nível do site e podem ser mais específicas sobre que pedidos permitir, com base no conteúdo e no comportamento do site
- Os dois tipos servem finalidades diferentes e podem ser usados em conjunto
Porque é que as cópias de segurança fazem parte da proteção do teu website contra hackers
Nenhuma medida de segurança elimina todo o risco. Quando algo passa mesmo, é uma cópia de segurança limpa que determina a rapidez da recuperação e quanto perdes.
O que as cópias de segurança fazem e as medidas de prevenção não
- Os ataques de ransomware que cifram os ficheiros do site são muito menos danosos quando existe uma cópia de segurança limpa e recente. Restaurar a partir da cópia retira por completo o poder de pressão do atacante
- Uma cópia de segurança limpa também dá um ponto de referência verificado para comparar, ao tentar identificar o que um atacante alterou
O que torna útil uma cópia de segurança
- As cópias de segurança têm de ser guardadas separadamente do servidor do site. Uma cópia no mesmo servidor fica comprometida ou cifrada, juntamente com tudo o resto, num ataque
- A frequência das cópias deve acompanhar a frequência com que o site muda. Um site atualizado todos os dias precisa de cópias diárias
- Testar se uma cópia pode mesmo ser restaurada é tão importante como ter a cópia. Uma cópia que falha ao restaurar não é uma cópia
Para um guia completo sobre como configurar e gerir cópias de segurança do website, lê o artigo sobre como fazer uma cópia de segurança do teu website. Para saberes o que fazer se já houver malware no teu site, lê o artigo sobre o que é malware em websites e como removê-lo.
Como a WEMASY trata da proteção do website
A infraestrutura de alojamento da WEMASY inclui proteção por firewall e mitigação de DDoS ao nível da rede. Os certificados SSL estão incluídos em todos os planos e são aplicados automaticamente, por isso todos os sites são servidos por HTTPS por defeito. As atualizações de software são geridas ao nível da plataforma, o que retira ao dono do site a responsabilidade de aplicar correções.
As cópias de segurança estão incluídas em todos os planos e são geridas automaticamente, com opções de restauro disponíveis no painel. A autenticação de dois fatores está disponível para o acesso à conta WEMASY, e a atividade de início de sessão é monitorizada ao nível da plataforma.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
Como entram os hackers nos websites?
A maioria dos comprometimentos de websites acontece por três caminhos: explorar vulnerabilidades conhecidas em software desatualizado, ganhar acesso através de palavras-passe de administrador fracas ou roubadas e injetar código malicioso através de extensões ou scripts de terceiros vulneráveis. As ferramentas automáticas analisam continuamente grandes quantidades de sites à procura destas vulnerabilidades e exploram-nas sem que ninguém vise especificamente o site. Manter o software atualizado e as credenciais de administrador fortes e únicas resolve os pontos de entrada mais comuns. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Qual é o passo mais importante para proteger um website de hackers?
Manter todo o software atualizado e usar palavras-passe fortes e únicas com autenticação de dois fatores nas contas de administrador resolve, em conjunto, a maioria dos ataques bem-sucedidos. As atualizações de software fecham as vulnerabilidades conhecidas antes de os atacantes as poderem explorar. A autenticação forte impede o acesso por ataques a credenciais mesmo quando uma palavra-passe é comprometida noutro lado. As cópias de segurança não evitam ataques, mas limitam os danos quando um tem êxito, o que as torna uma parte necessária de qualquer estratégia de proteção completa.
O tamanho do website afeta o risco de ser pirateado?
Não. Os ataques a websites são quase todos automatizados. Os scanners analisam milhões de sites à procura de vulnerabilidades conhecidas e de credenciais fracas, seja qual for o tamanho, o tráfego ou o setor do site. Um pequeno site de portefólio com software desatualizado está tão exposto como uma grande plataforma com a mesma vulnerabilidade. As medidas que protegem um site são as mesmas, seja qual for o seu tamanho.
O que é uma firewall de aplicações web e preciso de uma?
Uma firewall de aplicações web filtra o tráfego que chega ao site, bloqueando os pedidos que correspondem a padrões de ataque conhecidos antes de chegarem ao servidor. Pode bloquear automaticamente tentativas de injeção de SQL, cargas de cross-site scripting e tráfego de origens maliciosas conhecidas. Precisares ou não de uma firewall de aplicações web independente depende da configuração do teu alojamento. Muitos fornecedores de alojamento incluem proteção por firewall ao nível da rede, que trata de uma parte significativa dos ataques automáticos sem qualquer configuração por parte do dono do site.
Com que frequência devo fazer uma cópia de segurança do meu website?
A frequência certa depende da frequência com que o conteúdo do site muda. Um site atualizado todos os dias com conteúdo novo, encomendas ou formulários enviados precisa de cópias diárias. Um site que muda pouco pode ter cópias menos frequentes, mas deve ter sempre uma cópia antes de qualquer atualização importante ou mudança de plataforma. As cópias de segurança devem ser guardadas separadamente do servidor do site e testadas periodicamente, para confirmar que podem mesmo ser restauradas.
Consigo proteger o meu website de hackers sem conhecimentos técnicos?
Sim. As medidas de proteção com mais impacto não exigem conhecimentos técnicos. Usar uma palavra-passe forte e única nas contas de administrador, ativar a autenticação de dois fatores e aplicar as atualizações de software com as ferramentas integradas da plataforma resolve a maioria dos vetores de ataque comuns. Escolher um fornecedor de alojamento ou uma plataforma de websites que inclua proteção por firewall, SSL e cópias de segurança automáticas ao nível da plataforma trata da segurança ao nível da infraestrutura sem exigir qualquer configuração da tua parte.