Aconteceu comigo e também em muitos outros blogs e sites que usam o WordPress como sistema de publicação. Injeção de código malicioso, ataques, anúncios inesperados e indesejados. Com a ajuda dos magos do código e do servidor, fui resolvendo e me sentindo perseguida. Não é o caso. Esta semana, o blog da PortoFacil, avisa que a nossa vida de blogueiros está, sim, mais difícil. E não deve melhorar tão cedo. Nas palavras do Jânio:
O que está prestes a acontecer (na verdade, dizem que já está acontecendo) é que uma botnet* com 90.000 (isso mesmo, noventa mil) máquinas está programada para fazer ataques de força bruta contra blogs WordPress. As máquinas da botnet tentam invadir o WP utilizando o usuário admin, a partir do que podem inserir códigos maldosos nas contas de hospedagem, vindo a criar uma rede não de PCs zumbis, mas de servidores zumbis, o que é muito mais preocupante porque servidores costumam ter poderosas conexões de rede, e não raro hardware de sobra para as necessidades dos sites rodando neles.
Além disso, como o WordPress é a mais popular plataforma de blogs em uso, flexível, bacana, poderoso – mais o código aberto, facilidade de programar e estender suas funções – o torna um similar ao Windows como sistema operacional. E, do mesmo jeito, alvo para o povo que faz dos vírus e malware seu modo de vida.
As dicas de proteção para o seu WordPress
- Nunca tenha um usuário ADMIN. Sim, é fundamental acabar com ele. Crie outro, pelo amor.
-
Senha FORTE (números, letras, símbolos).
- Tem no mínimo oito caracteres (mais é melhor)
- Esquisita
- Usa pelo menos letras e números. Incluir maiúsculas e minúsculas aumenta a segurança. Símbolos elevam ainda mais o grau.
- Difícil inventar? Sabe aquela frase que você gosta muito? Desenhe a mesma no teclado usando números, símbolos e tudo o que houver… costuma dar muito certo.
- Ainda não conseguiu inventar sua senha forte? Use o Gerador de Senhas da Via Hospedagem. E se vira pra decorar.
- Oculte a área administrativa. Quem conhece o WordPress sabe onde está a porta de entrada. Mude o lugar e seja feliz.
- MANTENHA O WORDPRESS ATUALIZADO. (preciso gritar mais alto?)
- Atualize todos os plug-ins! Sempre.
- Plugin mágico: Better WP Security. Sim, uso em todos os sites e recomendo. Quem ensinou foi o Becher, lá no blog da ViaHospedagem: Protegendo a casa com o Better WP Security.
- Nunca use o mesmo navegador para atualizar os sites e navegar. Sim, a partir de agora, revezamento entre Chrome e Safari, Chrome e Firefox, Chrome e Opera…
- Anti-vírus e firewall atualizadíssimos. Scan na sua máquina local com frequência (senão, de que vale pagar anti-vírus e ter a ferramenta?).
Daí, você (como eu) faz tudo isso e… pimba! Invasão aconteceu.
Calma! Repito: calma! Depois de repetir tudo por muitas vezes (mesmo), você cansa – mesmo com a ajuda dos santos Becher e Jânio e Fabio Lobo. E desesperança também. Não tema. Há uma saída: super Manoel Netto – que, sim, também já foi vítima destes canalhas – descobriu como fechar o corpo do WordPress.
Ele muda muita coisa, uma parte do trabalho fica BEM mais difícil, mas… funciona.
Vou além: para quem lê inglês, duas páginas do WordPress.org que foram altamente instrutivas para mim, durante o processo de escrita deste post:
Hardening WordPress (endurecendo o WP, tradução tosca)
FAQ: My site was hacked – FAQ dos sites hackeados
Lembrete importante: neste cenário, mais do que nunca, é importante ter backups do seu site (fazer toda semana, mesmo). As dicas de como fazer estão lá, no velho e bom códex do WP…A Denise Rangel também tem um ótimo tutorial.
Cuidem-se. E vamos seguir tentando fazer da internet um bom lugar…
A imagem do cadeado foi devidamente surrupiada do Manoel Netto.
[Post publicado originalmente no Ladybug Brasil, reproduzido aqui devido à gravidade da situação]