Procuras uma alternativa ao Wordfence? Estas seis perguntas decidem

Raramente se troca de plugin de segurança por curiosidade. Normalmente há um motivo: o site ficou lento, a caixa de correio encheu-se de alertas, ou numa auditoria de proteção de dados surgiu a pergunta sobre o que o plugin envia, afinal, para fora. Este texto organiza os motivos habituais e indica, para cada um, a pergunta a que uma alternativa tem de responder.

Motivo 1: demasiados alertas, poucos verdadeiros

A razão mais frequente, e a mais perigosa: quem todas as semanas descarta com um clique três deteções inofensivas acaba, um dia, por descartar também a verdadeira. A pergunta a fazer a qualquer alternativa não é, por isso, «quantos padrões tem», mas sim como lida com falsos positivos.

Como o reconheces: a ferramenta diz O QUE procura? É possível aprovar uma deteção — e a aprovação caduca quando o ficheiro muda? O Kakapo Security associa cada aprovação à soma de verificação do conteúdo lido: assim que algo é alterado no ficheiro, a deteção volta a aparecer. É incómodo e está certo.

Um botão de ação em massa «aprovar tudo» é um sinal de alarme, não uma facilidade. É uma amnistia geral com um clique — precisamente para os casos que se deviam ter analisado um a um.

Motivo 2: o site ficou lento

Uma varredura a dezenas de milhares de ficheiros exige tempo de processamento. O decisivo é se o usa quando não está ninguém ou a meio das visitas. Pergunta à alternativa: a passagem corre em pequenas porções com orçamento de tempo, pode ser interrompida e, no arranque seguinte, retoma onde tinha ficado?

Segunda pergunta, muitas vezes esquecida: o que acontece em cada acesso a uma página? Há uma firewall que também verifica. Quanto mais regras, mais trabalho por pedido — e mais importante é que as regras sejam concisas e testadas, em vez de numerosas.

Motivo 3: nada deve sair para fora

Um plugin de segurança vê tentativas de login com nomes de utilizador, endereços IP, listas de ficheiros e conteúdos da base de dados. Se alguma coisa disto for para um serviço, esse serviço tem de constar do teu registo das atividades de tratamento. Pergunta à alternativa: o que sai do servidor, e pode ser desligado?

No Kakapo Security, os padrões da firewall, os padrões de pesquisa e a lógica de verificação estão no plugin. Para fora só vai o que tu próprio configuras: as somas de verificação do core do WordPress, de api.wordpress.org, e — se indicares uma — a tua própria fonte de vulnerabilidades. Por predefinição, esta última está vazia.

Motivo 4: o login é o verdadeiro ponto fraco

A maioria das tomadas de controlo não acontece através de uma falha no código, mas de uma palavra-passe. Por isso, verifica o que a alternativa oferece em torno do login — e para além da limitação de tentativas falhadas: mudar o endereço de login, impor palavras-passe fortes, ver e terminar sessões ativas, uma janela horária para logins, uma restrição por país de origem.

E a pergunta incómoda sobre os dois fatores: basta um código por e-mail, ou precisam de uma aplicação de autenticação? O Kakapo Security só fornece códigos por e-mail e também o diz assim na interface. Para muitas redações, isso chega. Quem precisa de TOTP tem de perguntar antes de mudar.

Motivo 5: numa emergência, faltou a informação

Depois de um incidente, não conta o que foi travado, mas o que se consegue provar: quem iniciou sessão e quando, que ficheiros foram alterados, quem mudou que configuração. Pergunta à alternativa: há um registo — e notam-se nele alterações posteriores?

O Kakapo Security encadeia as suas entradas de atividade e calcula a cadeia com base num valor do teu wp-config.php. Quem altera ou remove uma entrada quebra a cadeia de forma visível. Não é um cofre, mas distingue um registo de uma lista que se pode editar em silêncio.

Motivo 6: cinco plugins para cinco tarefas

Segurança, cookies, backup, velocidade — cada tema um plugin, cada um com a sua interface, o seu login, a sua fatura. Se o motivo é esse, a pergunta não é «que plugin de segurança», mas se os restantes componentes vêm do mesmo fornecedor e se se usam da mesma forma.

A lista de verificação em resumo

O que nenhuma alternativa consegue fazer

Nenhum plugin no WordPress substitui uma firewall à frente do servidor web, porque só corre quando o PHP já arrancou. Nenhum substitui atualizações em dia. E nenhuma varredura encontra todo o código malicioso — encontra o que se assemelha aos seus padrões. Quem tiver estas três frases em mente escolhe de outra forma e com mais calma.

Regista o estado de referência dos teus ficheiros enquanto o site estiver comprovadamente limpo. Um estado registado só depois de uma infeção declara o código malicioso como estado normal — e, a partir daí, ele nunca mais dá nas vistas.

Perguntas frequentes