All-In-One Security vs. Kakapo Security: pontos ou provas?

O All-In-One Security é um plugin de segurança gratuito e popular com um sistema de pontos: cada medida ativada aumenta a pontuação de segurança. Isso motiva — e convida a mexer em interruptores cujo efeito não se conhece.

A resposta curta

O AIOS cobre a proteção de login, a blindagem, uma firewall simples e as alterações de ficheiros, é gratuito e de acesso fácil. A pontuação torna o progresso visível, mas não diz nada sobre quanto vale cada medida.

O Kakapo Security prescinde de uma pontuação e aposta em que tudo possa ser consultado: 40 padrões da firewall e 22 padrões de pesquisa estão no código-fonte distribuído, juntamente com uma lista das abordagens que, nas medições, geraram demasiados falsos positivos. O registo de atividades é encadeado e calculado com base num valor do wp-config.php.

Onde os dois se distinguem

Porque não há pontuação

Uma pontuação pressupõe que as medidas se podem somar. Não podem: atualizações atempadas e um segundo fator valem, juntos, mais do que uma dúzia de pequenos interruptores de blindagem — mas num sistema de pontos contam o mesmo.

Pior ainda é o segundo efeito: quem otimiza para os 100 pontos ativa também coisas que têm efeitos secundários no seu site. Um interruptor que dá um ponto e estraga o construtor de páginas é um mau negócio.

Se usas uma ferramenta com pontuação: não atives nada cujo efeito não consigas explicar numa frase. A pontuação não é um objetivo.

Quando o All-In-One Security é a melhor escolha

• Queres começar sem pagar
• Gostas de uma configuração guiada com progresso visível
• Só precisas de proteção de login e de uma blindagem básica

Quando o Kakapo Security é a melhor escolha

• Queres poder consultar o que é procurado
• Precisas de um registo em que se notem alterações posteriores
• Nada deve ir para um serviço de segurança
• Geres vários sites com uma única licença

Mudança: o que fazer

1. Anota o endereço de login alterado, se estiver definido — caso contrário, bloqueias o teu próprio acesso.
2. Vê que regras foram escritas no .htaccess; os plugins de segurança costumam deixar lá blocos.
3. Instala o Kakapo Security e introduz a chave de licença.
4. Põe primeiro a firewall em «Observar» (em alemão: „Beobachten“) e deixa-a a correr em paralelo durante uma semana.
5. Regista o estado de referência dos ficheiros enquanto o site estiver comprovadamente limpo.
6. Desliga o plugin antigo e depois muda para «Bloquear» (em alemão: „Blockieren“).

O que nenhum dos dois substitui

Um plugin de segurança é uma camada, não o telhado. Há três coisas que continuam a ser tarefa tua, e na prática evitam mais incidentes do que qualquer configuração de firewall.

• Atualizações. A grande maioria das intrusões bem-sucedidas explora falhas para as quais já existia uma atualização há muito tempo.
• Backups. São a única coisa que conta depois de um incidente — e a única que ajuda mesmo quando não foste atacado, mas apenas estragaste alguma coisa.
• Acessos arrumados. Cada acesso de que já ninguém precisa é uma porta que já ninguém vigia.

Estas três não custam dinheiro nem exigem conhecimentos especiais. Quem as tem ganha muito com um plugin de segurança. Quem não as tem compra, com um plugin, sobretudo uma sensação melhor.

Onde o Kakapo Security deliberadamente não faz nada

Para que as expectativas batam certo, aqui ficam os limites às claras: o login de dois fatores envia os códigos por e-mail; as aplicações de autenticação não são suportadas. Não existe uma base de dados de assinaturas de código malicioso mantida — a varredura procura padrões, não malware conhecido pelo nome. E a verificação de vulnerabilidades aceita o endereço de uma fonte, mas não traz nenhuma de origem. A isto junta-se: a firewall funciona dentro do WordPress, não à frente dele — um ataque que sobrecarrega o servidor não é travado por um plugin PHP, seja ele qual for.

O que faz em vez disso é bem delimitado e verificável: reconhecer e rejeitar padrões, comparar os ficheiros do core com as somas de verificação de api.wordpress.org, detetar alterações em ficheiros e registar cada decisão numa cadeia que não pode ser alterada posteriormente sem que se note. Quem precisa destes quatro pontos está no sítio certo. Quem procura uma base de dados de assinaturas, não.

Em qualquer plugin de segurança, verifica onde fica a firewall. À frente do servidor é mais forte contra sobrecargas; dentro do WordPress é mais precisa com pedidos ao próprio WordPress. As duas coisas ao mesmo tempo só existem se o fornecedor de alojamento colaborar.

Perguntas frequentes