O primeiro sinal de que a segurança de um site falhou muitas vezes nem sequer é notado pelo dono do site. Os visitantes encontram avisos, são redirecionados para páginas desconhecidas ou veem os seus dados comprometidos, enquanto o site parece funcionar normalmente à superfície. A segurança de um site é o conjunto de medidas que o protegem de acessos não autorizados, roubo de dados, malware e falhas. Este artigo explica porque importa para qualquer site, seja qual for a sua dimensão ou finalidade, como são as ameaças mais comuns e quais as proteções de base que todos os sites devem ter.
Os ataques automáticos não avaliam um site antes de o escolherem como alvo. Analisam a internet continuamente, à procura de vulnerabilidades conhecidas para explorar, independentemente da dimensão, do setor ou do volume de tráfego do site. A diferença entre os sites que são comprometidos e os que não são raramente tem a ver com a notoriedade do site. Quase sempre tem a ver com as medidas de segurança em vigor.
O que pode acontecer a um site inseguro?
As falhas de segurança de um site nem sempre são dramáticas. Muitas vezes passam despercebidas ao dono do site, enquanto causam danos significativos aos visitantes, à reputação e ao desempenho nas pesquisas.
Roubo de dados
- Se o teu site recolhe qualquer informação de visitantes, incluindo envios de formulários de contacto, endereços de email ou dados de pagamento, um site inseguro põe esses dados em risco
- Uma violação que exponha dados de visitantes cria responsabilidade legal, sobretudo em regiões onde as leis de proteção de dados exigem um tratamento seguro da informação pessoal
- Os visitantes que descobrem que os seus dados foram expostos através do teu site dificilmente voltam
Injeção de malware
- Os atacantes que obtêm acesso a um site podem injetar código malicioso que corre em silêncio em segundo plano
- Este código pode redirecionar visitantes para páginas fraudulentas, mostrar anúncios indesejados, roubar credenciais de login ou usar o site para atacar outros
- O dono do site muitas vezes não sabe que isto está a acontecer até um visitante o comunicar ou um scanner de segurança o assinalar
Adulteração do conteúdo
- Alguns ataques substituem o conteúdo de um site pela mensagem, imagens ou ligações do atacante
- A adulteração é imediatamente visível e prejudica a credibilidade e a confiança
- Para qualquer site que dependa da sua presença web para atrair ou reter visitantes, recuperar de um incidente de adulteração pode exigir muito tempo e esforço
Indisponibilidade
- Ataques concebidos para sobrecarregar um servidor com tráfego podem deixar um site completamente offline
- Cada hora em que um site está em baixo é visibilidade perdida, contactos perdidos e receita perdida
- A recuperação de um ataque grave pode demorar dias se não houver cópias de segurança
Como afeta a segurança do site o posicionamento nas pesquisas?
Os motores de pesquisa monitorizam ativamente os problemas de segurança e têm-nos em conta no posicionamento e na visibilidade nas pesquisas.
Avisos de malware nos resultados de pesquisa
- Quando um motor de pesquisa deteta malware num site, acrescenta uma etiqueta de aviso à listagem nos resultados de pesquisa
- Os visitantes que veem um aviso antes de clicar raramente avançam
- As taxas de cliques caem para quase zero quando são mostrados avisos de segurança, independentemente do posicionamento da página
Avisos de segurança do browser
- Os browsers mostram um aviso em ecrã inteiro quando um visitante tenta aceder a um site assinalado como perigoso ou a um site sem HTTPS
- Os visitantes têm de escolher ativamente avançar para além destes avisos, e a maioria não o faz
- Um site que provoca avisos do browser perde tráfego de todos os visitantes que vejam um
O HTTPS como sinal de posicionamento
- O HTTPS, a versão segura do protocolo HTTP, é um sinal de posicionamento confirmado
- Os sites que servem páginas por HTTP em vez de HTTPS ficam em desvantagem de posicionamento em relação a páginas equivalentes servidas em segurança
- Os browsers também marcam os sites HTTP como “Não seguro” na barra de endereços, o que reduz a confiança dos visitantes antes de qualquer interação
Para uma explicação completa de como o HTTPS funciona e do que protege, vê o artigo sobre o que é o HTTPS e como protege o teu site.
Quais são as ameaças de segurança mais comuns nos sites?
Ataques de força bruta
- Ferramentas automáticas tentam milhares de combinações de nome de utilizador e palavra-passe para obter acesso aos painéis de administração dos sites
- Palavras-passe fracas e tentativas de login ilimitadas tornam os ataques de força bruta simples de executar
- A autenticação de dois fatores e os limites de tentativas de login reduzem significativamente este risco
Injeção de SQL
- Os atacantes inserem código malicioso em campos de formulários ou parâmetros de URL para manipular consultas à base de dados
- Uma injeção de SQL bem-sucedida pode expor ou apagar o conteúdo da base de dados, incluindo dados de clientes
- Esta ameaça é particularmente relevante para sites com campos de pesquisa, formulários de login ou formulários de contacto que interagem com uma base de dados
Cross-site scripting
- São injetados scripts maliciosos numa página que outros visitantes depois carregam nos seus browsers
- Estes scripts podem roubar cookies de sessão, redirecionar visitantes ou capturar o que é escrito nos formulários
- O cross-site scripting é uma das vulnerabilidades mais comuns nas aplicações web
Malware e ransomware
- Quando um atacante tem acesso a um site, pode instalar malware que corre em segundo plano, recolhe dados ou encripta ficheiros
- O ransomware impede os donos de aceder aos seus próprios sites e exige um pagamento para restaurar o acesso
- As cópias de segurança regulares são a principal defesa contra o ransomware, já que restaurar a partir de uma cópia limpa tira poder de negociação ao atacante
Software desatualizado
- As vulnerabilidades conhecidas no software, nos plugins e nos temas dos sites são divulgadas publicamente quando as correções são lançadas
- Os sites que correm versões desatualizadas ficam vulneráveis a ataques que exploram estas vulnerabilidades divulgadas
- Manter o software atualizado é uma das medidas de segurança de sites mais simples que existem
Quais são as medidas de segurança de base que todos os sites devem ter?
HTTPS e um certificado SSL
- Todos os sites devem servir páginas por HTTPS, que encripta os dados em trânsito entre o browser do visitante e o servidor
- Um certificado SSL é o que permite o HTTPS. Sem um, os dados são transmitidos em texto simples e podem ser intercetados
- Os browsers marcam os sites sem HTTPS como “Não seguro”. Dificilmente os visitantes enviam formulários ou fazem compras num site com essa etiqueta
Para uma explicação completa de como funcionam os certificados SSL e de como obter um, vê o artigo sobre o que é um certificado SSL e como funciona.
Autenticação forte
- As contas de administração devem usar palavras-passe fortes e únicas e autenticação de dois fatores
- Limita as tentativas de login para bloquear as ferramentas automáticas de força bruta
- Remove as contas de administração que não usas. Cada conta ativa com credenciais fracas é um possível ponto de entrada
Cópias de segurança regulares
- As cópias de segurança permitem restaurar um site para um estado limpo depois de um ataque, sem pagar um resgate nem reconstruir tudo de raiz
- As cópias de segurança devem ser guardadas separadamente do próprio site. Uma cópia guardada no mesmo servidor perde-se se o servidor for comprometido
- Testa as restaurações periodicamente para confirmar que as cópias de segurança funcionam como esperado
Atualizações de software
- Aplica as atualizações à plataforma do site, aos plugins, aos temas e a quaisquer integrações de terceiros assim que estiverem disponíveis
- As atualizações incluem frequentemente correções de segurança que fecham vulnerabilidades descobertas desde a versão anterior
Uma firewall de aplicações web
- Uma firewall de aplicações web fica entre o tráfego de entrada e o site e filtra os pedidos maliciosos conhecidos antes de chegarem ao servidor
- As firewalls podem bloquear automaticamente tentativas de injeção de SQL, cross-site scripting, tráfego de bots e outros padrões de ataque comuns
Para um guia completo sobre como proteger o teu site de acessos não autorizados e ataques, vê o artigo sobre como proteger o teu site de hackers. Para saber como configurar cópias de segurança regulares, vê o artigo sobre como fazer uma cópia de segurança do teu site.
Como a WEMASY trata da segurança do site
O criador de websites da WEMASY inclui certificados SSL em todos os planos, por isso todos os sites são servidos por HTTPS por defeito. Não é preciso configuração nem compra separada. A infraestrutura de alojamento inclui proteção por firewall e mitigação de DDoS ao nível da rede, o que reduz a exposição a ataques automáticos comuns sem qualquer configuração por parte do dono do site.
O software que corre na plataforma WEMASY é mantido e atualizado pela equipa da plataforma, por isso os donos dos sites não são responsáveis por aplicar correções de segurança ao sistema subjacente. As cópias de segurança estão incluídas e são geridas automaticamente, com opções de restauro disponíveis através do painel.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
Porque é importante a segurança de um site?
A segurança de um site protege ao mesmo tempo os visitantes, os dados do site e a visibilidade nas pesquisas. Um site inseguro pode ser usado para roubar dados de visitantes, espalhar malware a quem o visita ou ser deixado completamente offline. Os motores de pesquisa assinalam os sites inseguros nos resultados e os browsers avisam os visitantes antes de entrarem, e ambos reduzem drasticamente o tráfego. Um incidente de segurança pode danificar de forma permanente a confiança e a visibilidade que um site construiu. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu site.
Todos os sites precisam de segurança?
Sim. Os ataques automáticos analisam a internet continuamente à procura de vulnerabilidades e não escolhem sites com base na dimensão ou no tráfego. Qualquer site acessível ao público é um alvo possível. As consequências de uma violação, incluindo perda de dados, avisos de malware nos resultados de pesquisa, indisponibilidade e responsabilidade legal, são as mesmas, seja qual for a dimensão ou a finalidade do site.
A segurança do site afeta o SEO?
Sim, diretamente. O HTTPS é um sinal de posicionamento confirmado, o que significa que os sites servidos em segurança têm uma vantagem de posicionamento sobre os sites HTTP. Além disso, os sites assinalados com malware pelos motores de pesquisa recebem etiquetas de aviso nos resultados, que reduzem as taxas de cliques para quase zero. Os avisos de segurança do browser bloqueiam os visitantes antes de chegarem à página. Um incidente de segurança pode retirar um site por completo dos resultados de pesquisa até o problema ser resolvido e revisto.
Qual é a medida de segurança de site mais importante?
O HTTPS através de um certificado SSL é o mínimo de base. Sem ele, os dados enviados através de formulários viajam em texto simples e os browsers marcam o site como não seguro. Além disso, a autenticação forte nas contas de administração e manter todo o software atualizado são as duas medidas que previnem a maioria dos ataques comuns. As cópias de segurança regulares são o recurso que limita os danos quando as outras medidas falham.
Como sei se o meu site foi hackeado?
Os sinais comuns incluem visitantes a comunicar redirecionamentos inesperados para outros sites, resultados de pesquisa com páginas desconhecidas ou avisos, o site a carregar muito mais devagar do que o habitual, conteúdo a aparecer que não foi acrescentado pelo dono do site ou ficares sem acesso ao painel de administração. Muitos ataques são concebidos para serem invisíveis ao dono do site enquanto afetam os visitantes, por isso verificar regularmente os relatórios de análise de segurança e monitorizar o desempenho nas pesquisas à procura de quedas invulgares são hábitos importantes.
Qual é a diferença entre a segurança do site e a segurança do alojamento web?
A segurança do alojamento web refere-se às proteções aplicadas ao nível da infraestrutura, incluindo o servidor, a rede e o centro de dados. A segurança do site refere-se às proteções aplicadas ao nível do site, incluindo o código da aplicação, os sistemas de autenticação e a configuração. Ambas importam. Um ambiente de alojamento seguro não protege um site com palavras-passe fracas ou software desatualizado, e uma segurança forte ao nível do site não compensa um fornecedor de alojamento com más práticas de infraestrutura.