Quem me acompanha sabe que eu repito bastante: segurança no WordPress não depende de uma única ferramenta mágica, e sim de vários cuidados simples feitos com constância. Por isso fiquei feliz em ver a nova versão do WordPress Security Checklist, um checklist de segurança WordPress gratuito e de código aberto, criado pelo Rafael Funchal, desenvolvedor web e Happiness Engineer na Automattic.
O checklist está em wpsecuritychecklist.org e reúne, em forma de lista, as ações práticas para deixar um site WordPress mais protegido. É o tipo de material que eu indico para clientes, agências e para quem está começando.
O que mudou na nova versão
Segundo o post do Rafael anunciando a atualização, o projeto ganhou um visual mais moderno e várias melhorias de uso. As que mais chamaram minha atenção:
- Seu progresso fica salvo. Você marca o que já fez, e o navegador lembra na próxima visita. Há uma barra de progresso geral e contadores por seção.
- Exportação em PDF, com o nome do projeto no cabeçalho. É ótimo para entregar a um cliente ou guardar como registro do que foi verificado em cada site.
- Modo claro e escuro, que segue o tema do seu sistema.
- Recomendações revisadas para o WordPress atual, com a data da última revisão na página inicial.
- Novas dicas para evitar a descoberta de nomes de usuário (a chamada enumeração de autores), um passo que muitos ataques de força bruta usam para descobrir qual login tentar.
- Itens de hospedagem, como o XML-RPC, agora ficam numa seção própria. Isso ajuda a separar o que é responsabilidade de quem cuida do servidor.
- Em português, além de inglês, espanhol e japonês.
- Mais acessível, com melhor navegação por teclado e leitores de tela.
E tem uma celebração com confetes quando você completa a lista. Dá vontade de ir até o fim. 🙂
Como eu usaria esse checklist de segurança WordPress no dia a dia
- No primeiro contato com um site novo: passe pela lista para ter uma visão rápida do que já está feito e do que falta.
- Depois de uma limpeza de vírus: use como roteiro para conferir se as portas de entrada mais comuns foram fechadas.
- Em agências: gere o PDF de cada projeto e guarde junto com a documentação do cliente.
- Periodicamente: volte à lista a cada poucos meses. Plugins, usuários e configurações mudam com o tempo.
Um lembrete importante: o checklist é um ótimo ponto de partida, mas não substitui atualizações em dia, backup fora do servidor e acompanhamento do ambiente. Ele mostra o que fazer. Em alguns itens, especialmente os de servidor, pode ser preciso ajuda técnica para fazer do jeito certo.
Por que manter uma rotina de verificação
Os alertas recentes mostram bem por que uma lista dessas faz diferença. Em novembro de 2026, uma falha no núcleo do WordPress (CVE-2026-119977) passou a ser explorada por atacantes, e uma vulnerabilidade no Contact Form 7 exigiu atualização urgente de um dos plugins mais usados. Em casos assim, quem já tem o hábito de revisar backups, usuários e plugins reage muito mais rápido.
Se você prefere deixar essa rotina com alguém, conheça as minhas especialidades em segurança e manutenção de sites WordPress.
Comunidade fazendo a diferença
Outro detalhe bonito é a origem dessa atualização. O Rafael conta que o checklist foi citado no Manual de Cibersegurança e Privacidade de Dados para Museus, Bibliotecas, Arquivos e Galerias, da Ana Cecília, e isso o motivou a revisar o projeto inteiro. É a comunidade WordPress funcionando como deve: alguém compartilha conhecimento, outra pessoa usa e cita, e o projeto melhora para todo mundo.
O projeto aceita sugestões de texto e traduções no repositório do GitHub. Se você encontrar algo a melhorar, vale contribuir.
Quer ajuda para aplicar o checklist no seu site ou nos sites dos seus clientes? Fale comigo.
Fonte: Rafael Funchal, “Novo visual e melhorias no WordPress Security Checklist“, publicado em 18/04/2026 e atualizado em 15/05/2026.
Links citados:
- WordPress Security Checklist: https://wpsecuritychecklist.org
- Repositório no GitHub: https://github.com/rafaelfunchal/wordpress-security-checklist
- Manual da Ana Cecília: https://anacecilia.digital/manual-de-ciberseguranca-e-privacidade-de-dados-para-museus-bibliotecas-arquivos-e-galerias/