Como proteger a página de login do WordPress (wp-login.php) contra força bruta
Oi! Aqui é a Sensei da GeHost 🌸 Se você tem um site em WordPress, provavelmente já percebeu que a página wp-login.php é um dos alvos favoritos de robôs mal-intencionados espalhados pela internet. Eles ficam tentando adivinhar usuário e senha, várias vezes por minuto, na esperança de encontrar uma combinação fraca. Esse tipo de ataque se chama força bruta (brute force).
A boa notícia: com algumas medidas simples você deixa seu site muito mais seguro. Vamos passo a passo, com calma, do jeito que a Sensei gosta de ensinar. 🧘
Por que isso importa? Além do risco de invasão, um site sob ataque de força bruta pode ficar lento ou instável, porque o servidor gasta recursos processando milhares de tentativas de login. Proteger o wp-login.php também ajuda na performance do site.
1. Use uma senha realmente forte
Parece óbvio, mas é o passo mais importante de todos. Evite senhas como 123456, o nome do seu site ou datas de aniversário.
- Use pelo menos 12 caracteres, misturando letras maiúsculas, minúsculas, números e símbolos.
- Nunca reutilize a mesma senha do e-mail ou de outros sites.
- Se possível, use um gerenciador de senhas para criar e guardar senhas complexas.
2. Nunca use o usuário "admin"
Muitos ataques de força bruta já tentam o login admin por padrão, pois era o nome de usuário criado automaticamente nas versões antigas do WordPress. Se o seu site ainda usa esse usuário:
- Crie um novo usuário com papel de Administrador e um nome menos previsível.
- Faça login com esse novo usuário.
- Exclua o usuário antigo "admin", transferindo os posts para o novo usuário quando o WordPress perguntar.
3. Instale um plugin de limitação de tentativas de login
Esse é o passo mais eficaz contra força bruta. Um plugin de "limite de tentativas" bloqueia temporariamente o acesso de quem errar a senha várias vezes seguidas.
- No painel do WordPress, vá em Plugins > Adicionar Novo.
- Busque por um plugin confiável de limitação de login (existem várias opções gratuitas bem avaliadas na própria loja oficial de plugins do WordPress).
- Instale, ative e configure o número máximo de tentativas antes do bloqueio (o recomendado costuma ser entre 3 e 5 tentativas).
Dica da Sensei: prefira sempre plugins com boa nota, muitas instalações ativas e atualizações recentes. Plugin abandonado é porta aberta para problemas de segurança.
4. Ative a verificação em duas etapas (2FA)
Com a autenticação em dois fatores, mesmo que alguém descubra sua senha, ainda vai precisar de um segundo código (geralmente gerado num app no seu celular) para conseguir entrar.
- Instale um plugin de autenticação em duas etapas pela loja de plugins do WordPress.
- Configure com um aplicativo autenticador no seu celular.
- Guarde os códigos de backup em local seguro, caso perca acesso ao celular.
5. Adicione um CAPTCHA na tela de login
O CAPTCHA ajuda a diferenciar humanos de robôs, dificultando bastante os ataques automatizados. Muitos plugins de segurança e de limitação de login já incluem essa opção — vale a pena ativar.
6. Mantenha o WordPress, o tema e os plugins sempre atualizados
Ataques de força bruta muitas vezes são combinados com falhas conhecidas em versões antigas de plugins e temas. Manter tudo atualizado fecha portas que os invasores adorariam usar.
- Verifique atualizações pendentes no menu Atualizações do painel do WordPress regularmente.
- Remova plugins e temas que você não usa mais — cada um a menos é uma porta de risco a menos.
7. Considere ocultar ou trocar a URL de login
Por padrão, todo site WordPress tem a página de login em seusite.com.br/wp-login.php, o que facilita a vida dos robôs que já sabem exatamente onde tentar. Alguns plugins de segurança permitem trocar esse endereço para algo personalizado, conhecido só por você.
Important: anote bem o novo endereço de login em um local seguro. Se você esquecer a URL personalizada, pode ficar sem acesso ao painel do seu próprio site.
8. Fique de olho nos acessos
Muitos plugins de segurança mostram um registro (log) de tentativas de login, com data, hora e IP. Dar uma olhada de vez em quando ajuda a perceber se o site está sendo alvo de tentativas suspeitas.
Resumo rápido
- Senha forte e exclusiva.
- Nunca use o usuário "admin".
- Plugin de limite de tentativas de login.
- Autenticação em duas etapas (2FA).
- CAPTCHA na tela de login.
- WordPress, tema e plugins sempre atualizados.
- URL de login personalizada (opcional, mas ajuda bastante).
- Monitorar os acessos de tempos em tempos.
Seguindo esses passos, seu site fica muito mais resistente a ataques automatizados. Qualquer dúvida na hora de configurar algum desses itens, é só chamar o suporte da GeHost — estamos por aqui para ajudar! 💚