🧹 Faxina de primavera no WordPress: como plugins e temas esquecidos abrem brecha pra hacker
Oi! Aqui é a Sensei, da GeHost 🥋 Vou te contar um segredo que pouca gente sabe: o maior risco de segurança do seu site geralmente não é um ataque sofisticado — é aquele plugin que você instalou há 2 anos pra testar uma coisa, esqueceu, e nunca mais atualizou. Ele fica lá, paradão, acumulando falhas conhecidas que qualquer bot mal-intencionado sabe explorar.
Vamos juntos, passo a passo, encontrar e remover esse "peso morto" do seu WordPress. Não precisa ser técnico pra fazer isso — só seguir a receita com calma. 😊
Por que isso importa? Todo plugin ou tema instalado é uma "porta" a mais no seu site. Se ele está ativo (ou até só instalado, sem uso) e nunca é atualizado, as falhas de segurança que forem descobertas nele com o tempo continuam abertas — mesmo que você não o esteja usando de verdade.
Passo 1 — Entre no painel do WordPress
Acesse o wp-admin do seu site (normalmente seudominio.com.br/wp-admin) com seu usuário e senha de administrador.
Passo 2 — Faça um backup antes de mexer em qualquer coisa
Regra de ouro do Sensei: nunca remova nada sem uma rede de segurança. Antes de excluir qualquer plugin ou tema, tire um backup completo do site pelo cPanel. Assim, se algo der errado, dá pra voltar tudo rapidinho.
No cPanel, procure a seção Backup e gere um "Backup Completo" (ou pelo menos do diretório do site e do banco de dados). Guarde o arquivo baixado no seu computador.
Passo 3 — Liste todos os plugins instalados
No menu lateral do WordPress, vá em Plugins → Plugins Instalados. Você vai ver uma lista com todos os plugins, ativos e inativos.
- Ativos aparecem com fundo azul/destacado e o link "Desativar".
- Inativos aparecem sem destaque, com o link "Ativar".
Preste atenção especial nos dois grupos abaixo — são os mais arriscados:
- Plugins inativos — se você não usa, não precisa dele instalado. Mesmo desativado, o código dele continua no servidor e, em alguns casos, ainda pode ser explorado.
- Plugins ativos sem atualização há muito tempo — o próprio WordPress avisa quando existe uma versão nova disponível. Se o aviso "Atualização disponível" aparece direto e nunca é aplicado, é sinal de plugin abandonado (ou que o desenvolvedor parou de mantê-lo).
Como saber se um plugin ainda é confiável?
Clique em "Mais Detalhes" do plugin (ou pesquise o nome dele no repositório oficial do WordPress). Fique de olho em:
- Data da última atualização — se faz mais de 1-2 anos, é sinal de alerta 🚩.
- Se o plugin está marcado como "não testado nas últimas versões do WordPress".
- Se ele foi removido do repositório oficial por questão de segurança (isso é o pior sinal — remova na hora).
Passo 4 — Faça o mesmo com os temas
Vá em Aparência → Temas. Você vai ver o tema que está ativo no site e, embaixo, os temas que ficaram instalados mas não são usados.
Um tema inativo é exatamente igual a um plugin inativo: continua ocupando espaço e pode ter falhas exploráveis, mesmo sem estar "no ar" visualmente no site.
Mantenha só: o tema que você usa de verdade +, se quiser, um tema padrão bem simples (tipo os temas oficiais do WordPress) como reserva. Todo o resto pode ir embora.
Passo 5 — Remova (desative primeiro, depois delete)
Pra cada plugin ou tema que você decidiu não usar mais:
- Desative primeiro (clique em "Desativar"). Espere alguns dias observando se nada quebrou no site.
- Se estiver tudo certo, volte na lista e clique em "Excluir" pra remover o código de vez do servidor.
Isso vale tanto pra Plugins quanto pra Temas — o caminho é o mesmo: desativar → confirmar que está tudo bem → excluir.
Prefere ver os arquivos diretamente? (opcional, pra quem gosta de conferir)
Se quiser dar uma olhada em quais pastas de plugins e temas existem "por trás" do painel, você pode acessar o Gerenciador de Arquivos no cPanel e navegar até public_html/wp-content/plugins ou public_html/wp-content/themes.
Atenção: esse é um passo só pra conferência visual. Prefira sempre excluir plugins e temas pelo próprio painel do WordPress (Passo 5), porque assim o WordPress limpa direitinho as configurações relacionadas — apagar arquivos direto pelo Gerenciador de Arquivos pode deixar "resíduos" no banco de dados.
Passo 6 — Vire esse hábito uma rotina
Segurança não é uma faxina única, é manutenção contínua. O Sensei recomenda:
- A cada poucos meses, revise a lista de plugins e temas e repita o Passo 3 e 4.
- Antes de instalar um plugin novo pra "testar uma coisa", já pense: vou lembrar de remover depois?
- Mantenha sempre os plugins e temas que você usa atualizados — isso sozinho já evita boa parte dos problemas.
💙 Lembrete gostoso: todo serviço entregue pela GeHost já vem com 30 dias de suporte grátis após a entrega. Se você tiver dúvida sobre qual plugin é seguro remover ou travar em algum passo, é só chamar a gente pelo painel (painel.gehost.com.br) ou abrir um chamado de suporte — a gente te ajuda com todo carinho.
Prontinho! Com essa faxina, seu site fica mais leve, mais rápido e — o mais importante — com muito menos porta aberta pra quem anda por aí procurando brecha. Um abraço da Sensei 🥋✨