Checklist de segurança de sites para pequenas empresas
Resposta curta: use HTTPS em tudo, mantenha o software atualizado, tenha backups testados fora do servidor, ative a verificação em duas etapas nas contas do site, da hospedagem, do domínio e do e-mail, adicione cabeçalhos de segurança, publique SPF e DMARC, proteja seu domínio contra vencimento e transferência, e verifique o site de novo com frequência. Cada item abaixo leva a uma correção passo a passo.
Contas e acesso
- Verificação em duas etapas no painel do site, no painel da hospedagem, no registrador do domínio, no e-mail e no provedor de pagamentos.
- Um gerenciador de senhas e uma senha única para cada conta.
- Remova contas antigas de funcionários, agências e testes. Dê a cada pessoa só a função de que ela precisa.
Software
- CMS, plugins e temas atualizados, com atualizações automáticas onde for seguro. Encontre plugins desatualizados.
- Apague plugins e temas sem uso e cópias antigas do site (pastas de staging, backups dentro da pasta pública).
- Siga o checklist de proteção do WordPress se você usa WordPress.
Backups
- Backups diários automáticos dos arquivos e do banco de dados, guardados fora do servidor.
- Pelo menos uma cópia que o próprio site não consegue apagar (para que um ransomware ou invasor não possa removê-la).
- Teste uma restauração a cada poucos meses. Backup que você nunca restaurou é uma esperança, não um plano.
HTTPS e cabeçalhos
- Certificado válido com renovação automática, só TLS 1.2 ou superior, redirecionamento de HTTP para HTTPS. Verificação de SSL em 6 pontos.
- HSTS, X-Content-Type-Options, proteção contra incorporação em frames e Referrer-Policy. Cabeçalhos para copiar e colar.
- Uma Content-Security-Policy, pelo menos nas páginas de checkout. Guia de CSP.
- Secure, HttpOnly e SameSite nos cookies. Guia dos atributos de cookies.
- Nenhum número de versão do servidor, do PHP ou do CMS à mostra. Como escondê-los.
E-mail e domínio
- SPF, DKIM e DMARC para o seu domínio. Registros para copiar.
- Domínio com renovação automática, bloqueio no registrador e verificação em duas etapas no registrador.
- Um arquivo security.txt para que as pessoas possam relatar problemas a você.
Pagamentos
- Prefira páginas ou campos de pagamento hospedados pelo seu provedor, para que os números de cartão nunca passem pelo seu servidor.
- Fique de olho nos scripts do seu checkout. Impeça o roubo de cartões no checkout.
Monitoramento e resposta
- Verifique o site de novo depois de cada mudança e pelo menos uma vez por mês.
- Anote para quem ligar se o site for invadido: sua hospedagem, seu desenvolvedor, seu provedor de pagamentos.
- Conheça os sinais de invasão. Como saber se o WordPress foi invadido.
Perguntas frequentes
Qual é o item mais importante desta lista?
Manter o software atualizado, seguido de perto pela verificação em duas etapas e por backups testados. A maioria das invasões de sites pequenos explora vulnerabilidades conhecidas e já corrigidas, ou senhas reutilizadas.
Preciso de um plugin de segurança?
Ele pode ajudar a proteger o login e monitorar arquivos, mas não substitui atualizações, backups e verificação em duas etapas.
Quanto tempo leva este checklist?
A maioria dos sites pequenos consegue fazer os itens de contas, atualizações e cabeçalhos em uma tarde. Registros de e-mail e backups podem exigir a ajuda da hospedagem ou do provedor de e-mail.