Quatro números antes de qualquer argumento.
Em um único ano, foram identificadas 11.334 novas vulnerabilidades no ecossistema WordPress. Aumento de 42% sobre o ano anterior, que já tinha sido recorde.
Nove em cada dez dessas falhas estavam em plugins. A instalação média roda entre vinte e trinta deles.
Quando uma falha grave vem a público, metade dos ataques acontece nas primeiras 24 horas. As mais visadas começam a ser exploradas em cerca de cinco horas.
E nos testes conduzidos pelos pesquisadores, as proteções das empresas de hospedagem bloquearam 12% das vulnerabilidades ativamente exploradas. Doze.
Agora podemos conversar.
Semanas atrás, pesquisadores publicaram os detalhes de uma falha que quebra o argumento favorito do mercado. Sempre que aparece um problema em WordPress, a resposta padrão é que a culpa foi de uma extensão mal feita de terceiro, e que o sistema em si é sólido.
A falha estava no próprio núcleo. No código que vem instalado por padrão em qualquer site WordPress do planeta, sem que ninguém precise adicionar nada.
O resultado era o pior cenário possível: alguém sem senha, sem conta e sem qualquer acesso prévio conseguia enviar uma sequência de requisições e terminar com controle do servidor. Não do painel de administração. Do servidor, junto com os dados de clientes, os e-mails, os backups e qualquer outro sistema hospedado ali.
Existe correção disponível. Mas entre a correção existir e ela estar aplicada no seu site mora um abismo, e é dentro desse abismo que boa parte das empresas brasileiras vive. Não são pessoas escolhendo alvos, são robôs varrendo a internet inteira atrás de qualquer endereço que ainda não atualizou. Seu site não precisa ser interessante, precisa apenas estar acessível.
Site fora do ar é o cenário mais rápido de resolver.
O caro é o silencioso. O invasor mantém tudo funcionando normalmente e usa seu servidor para hospedar páginas de fraude. Seu domínio entra em listas de bloqueio, seus e-mails comerciais passam a cair em spam, o navegador do cliente exibe um aviso vermelho antes de deixar ele entrar e o posicionamento orgânico que levou dois anos para construir some em duas semanas. Se havia dados pessoais de clientes no servidor, e quase sempre há, você também tem um incidente de LGPD para comunicar.
Sobre a limpeza, os pesquisadores foram diretos em um ponto que costuma ser omitido do cliente: quando o comprometimento chega nesse nível, a recomendação não é limpar, é descartar a máquina e reconstruir. A partir do momento em que alguém executou código com privilégio no seu servidor, ninguém consegue afirmar com honestidade o que ficou para trás.
Um site WordPress custa pouco para nascer e custa caro para viver. Manutenção real é acompanhar boletins de segurança, testar atualizações antes de aplicar, monitorar integridade de arquivos, manter backups fora do servidor principal e ter alguém competente disponível às três da manhã de um sábado.
Quando esse custo não está no contrato, ele não sumiu. Foi transferido para você sem aviso, e será cobrado de uma vez só no pior dia possível.
Em quinze anos de mercado, perdi a conta de quantas vezes fomos chamados para socorrer um site que "sempre funcionou bem". Sempre funcionou bem é descrição de sorte, não de arquitetura.
A alternativa não é trocar o WordPress por outro sistema de blog. É mudar a natureza do que sustenta a presença digital da empresa.
Na Ecofy, o site é construído sobre a mesma base dos sistemas de gestão que nossos clientes usam para tocar a operação. Código que nós escrevemos e mantemos, rodando em infraestrutura que nós administramos, com atualizações testadas antes de chegar em produção. Quando aparece uma falha crítica, o ciclo de correção acontece do nosso lado, sem que ninguém precise abrir chamado. Isso não é serviço adicional que vendemos, é a condição para o resto existir.
E tem a consequência que costuma pesar mais na decisão do que a segurança em si: quando o site é parte do mesmo ecossistema que o CRM, o RH e o financeiro, um formulário preenchido às onze da noite vira oportunidade no funil comercial na mesma hora. O site deixa de ser vitrine parada e vira porta de entrada da operação. Isso não se faz com plugin.
Seria desonesto dizer que todo mundo precisa migrar amanhã. Se não é prioridade neste trimestre, três perguntas valem uma reunião interna ainda esta semana.
Quem, com nome e sobrenome, aplica as atualizações de segurança do seu site? Onde estão os backups e quando alguém testou restaurar um de verdade pela última vez? Quantos plugins estão instalados e quantos ainda recebem atualização do autor?
Se a resposta de qualquer uma delas for "preciso verificar", você acabou de medir sua exposição.
O WordPress popularizou a web e cumpriu seu papel. Mas foi desenhado para um mundo em que o site era um panfleto digital, não a espinha dorsal comercial de um negócio. Se o seu hoje recebe dados de clientes e representa a empresa diante de quem está decidindo se compra de você, talvez valha revisitar uma decisão tomada lá atrás, provavelmente por outra pessoa e com outro orçamento.
Não precisa ser hoje. Convém ser antes do e-mail avisando que tem algo estranho acontecendo com o seu domínio.
