Segurança de senhas no WordPress: por que a sua senha é o maior risco

Quando um site WordPress é invadido, a suspeita recai por reflexo sobre a técnica que falta: nenhum plugin de segurança, nenhum firewall, nenhum verificador de malware. A verdade incômoda é outra. Na prática, o maior ponto fraco de quase todo site WordPress é bem mais banal: senhas de usuário fracas, reutilizadas ou adivinháveis. Um atacante que entra com credenciais válidas não dispara alarme algum de firewall. Ele simplesmente está dentro.

Este artigo explica por que as senhas são a porta de entrada nº 1, desfaz os mitos mais persistentes e mostra um método para montar senhas realmente fortes que ainda assim dá para memorizar. E como o tema é tão importante, construímos para isso uma ferramenta gratuita que tira o trabalho das suas mãos.

Por que as senhas são a porta de entrada nº 1

Os logins do WordPress não são atacados por indivíduos entediados, e sim por redes de bots que trabalham de forma automatizada 24 horas por dia. Dois padrões de ataque dominam:

Força bruta e ataques de dicionário: bots testam de forma sistemática milhões de combinações, a começar pelos clássicos como 123456, senha ou o nome do site com um ano. Senhas curtas ou óbvias não caem em semanas, caem em segundos ou minutos. Os alvos preferidos são wp-login.php e a interface muitas vezes esquecida xmlrpc.php: pela função system.multicall dela dá para empacotar centenas de tentativas de senha em uma única requisição, o que contorna com elegância os limites clássicos de login. Quem não precisa do XML-RPC, por exemplo para a conexão com o Jetpack ou para aplicativos antigos, deveria desativar essa interface.

Credential stuffing: mais eficiente ainda é não adivinhar nada. De vazamentos em outros serviços circulam bilhões de combinações reais de e-mail e senha. Os bots simplesmente testam essas listas nos logins do WordPress. Quem usa a mesma senha para a loja online, a conta de e-mail e o painel do WordPress fica comprometido em todos os lugares ao mesmo tempo depois do próximo vazamento em qualquer um desses serviços. Reutilizar senha não é um detalhe estético, é o fio direto entre o vazamento de terceiros e a sua área administrativa.

Um plugin de segurança consegue interceptar e retardar muitas dessas tentativas, e isso vale. Mas contra uma senha válida, roubada ou adivinhada não ajuda firewall nenhum do mundo. Por isso a higiene de senhas vem antes de qualquer decisão sobre plugins.

Os três maiores mitos sobre senhas

Em torno das senhas sobrevivem regras que há vinte anos tinham boa intenção e que hoje comprovadamente atrapalham mais do que ajudam. O próprio NIST americano e o BSI alemão reorientaram as suas recomendações nesse sentido.

Mito 1: a confusão de símbolos vence o comprimento

A curta P@ssw0rd! parece segura, mas não é: justamente essas substituições (a por @, o por 0, ponto de exclamação no fim) estão há muito tempo em qualquer ataque de dicionário. Uma senha com oito caracteres crípticos é, na conta, bem mais fraca do que uma com vinte caracteres simples. O comprimento vence a complexidade, e não por pouco, mas por ordens de grandeza. Cada caractere a mais multiplica o esforço do atacante em vez de apenas somá-lo.

Mito 2: senhas precisam ser trocadas com regularidade

Trocas forçadas a cada 90 dias levam na prática a um padrão previsível: de Verao2025! vira Outono2025!. Essas rotações baixam a segurança real, porque as pessoas montam sistemas memorizáveis que os atacantes conhecem igualmente bem. A recomendação moderna é: uma senha forte fica até haver um motivo concreto, por exemplo um vazamento no serviço ou a suspeita de que alguém andou lendo. Aí a troca é imediata, não por calendário.

Mito 3: "o meu blog é pequeno demais para ser atacado"

Bots não enxergam alcance. Eles varrem faixas de IP e listas de domínios inteiras, e um pequeno blog de jardinagem interessa a eles tanto quanto uma grande revista: como disparador de spam, hospedagem de phishing, fazenda de links para SEO ou trampolim para novos ataques. A pergunta não é se a sua página de login está sendo atacada de forma automatizada. Já está, provavelmente várias vezes por dia. A única pergunta é se as tentativas caem no vazio.

O que ajuda de verdade: comprimento, acaso, exclusividade

A força de uma senha cabe em um único termo: entropia, ou seja, a quantidade de acaso real que ela carrega. De forma simplificada: quantas possibilidades um atacante precisa percorrer até encontrar a sua senha com certeza? Cada caractere aleatório a mais multiplica esse número. Uma senha aleatória de 12 caracteres com letras, números e símbolos já oferece mais combinações do que todos os computadores do mundo conseguiriam testar em séculos, e uma de 16 a 20 caracteres é, em prazo previsível, praticamente impossível de quebrar.

A palavra decisiva é aleatória. O começo da letra de uma música com 20 caracteres não é aleatório, ele está nas mesmas listas dos dicionários. Daí saem três regras simples:

1. Comprimento: no mínimo 16 caracteres, de preferência mais. 2. Acaso: as peças precisam ser sorteadas, não inventadas, porque pessoas são péssimos geradores de acaso. 3. Exclusividade: cada serviço recebe a sua própria senha, para que um vazamento no serviço A não abra o serviço B. Quem cumpre as três regras resolveu o problema das senhas no essencial. Resta só uma pergunta: como memorizar algo assim?

O método da história: senhas a partir de imagens

O nosso cérebro é ruim com sopa de caracteres e excelente com imagens e histórias. É exatamente isso que o método da história aproveita: em vez de gravar Un1c0rn10!Id314#B4nh31r4-4711 como sequência, você grava uma imagem absurda: "O unicórnio tem uma ideia na banheira" 🦄💡🛁. Dessa frase a senha é derivada por regras fixas e simples: tomar as palavras marcantes, trocar algumas letras por números, acrescentar separadores e um número. A imagem é esquisita o bastante para grudar, e a senha derivada é longa, misturada e não aparece em dicionário nenhum.

O ponto fraco das frases inventadas por conta própria: as pessoas pensam em frases previsíveis. Por isso a história deveria ser sorteada, não escolhida. Justamente para isso construímos uma pequena ferramenta.

Importante para situar bem: o método da história serve para as poucas senhas que você precisa mesmo carregar na cabeça. Para as demais existe uma solução melhor, e já chegamos lá. Um guia mais detalhado do método, com exemplo de cálculo, está no nosso artigo Criar uma senha segura.

Medidas concretas para quem administra um WordPress

Uma senha própria e forte é metade do caminho. A outra metade: garantir que nenhuma das demais contas do seu site seja uma porta de entrada. Estas cinco medidas cobrem a prática:

1. Política de senhas forte para todos os perfis

A senha de administrador mais forte serve de pouco se uma conta de redação estiver protegida com verao123. Também as contas com menos permissões são presa valiosa, por exemplo para conteúdo de spam ou como ponto de partida para escalar privilégios. O WordPress mostra um indicador de força na escolha da senha, mas aceita senhas fracas mediante simples confirmação. Uma força mínima obrigatória para todos os perfis, por plugin ou por política de equipe, fecha essa brecha. Tem responsabilidade especial quem opera uma área de membros: ali penduram-se rapidamente centenas ou milhares de contas de usuário no seu site, e os dados de acesso delas você protege junto. Quem planeja ou opera algo assim deveria escolher uma solução que pense em segurança desde o início, como o nosso MemberJet, com segurança por concepção. Quanto custam as versões pagas está na página de preços, e a versão gratuita continua gratuita.

2. Ativar a autenticação em dois fatores

Um segundo fator (aplicativo autenticador ou chave de segurança) torna inútil uma senha roubada. Para contas de administração e de redação, a autenticação em dois fatores deveria ser obrigatória, não opcional. A configuração leva poucos minutos por conta e é, de longe, o complemento mais eficaz a uma senha forte.

3. Limitar as tentativas de login

Por padrão o WordPress permite tentativas de login ilimitadas, um presente para qualquer bot de força bruta. Um limite com bloqueio ou tempo de espera em seguida freia drasticamente os ataques automatizados. Muitos dos plugins de segurança usuais trazem essa função, e como descrito acima o xmlrpc.php entra no limite também, senão o ataque simplesmente continua pela porta dos fundos.

4. Senhas de aplicativo em vez da senha principal para as APIs

Quando serviços externos, aplicativos ou scripts acessam o seu site pela API REST, a sua senha principal não tem lugar ali. O WordPress traz desde a versão 5.6 as senhas de aplicativo: códigos de acesso próprios e gerados ao acaso por aplicação, que você revoga um a um sem mudar a sua senha de verdade. Se um serviço comprometer um desses códigos, você recolhe justamente aquele e o resto fica intocado.

5. Nenhum nome de usuário "admin"

O nome de usuário é metade da combinação de acesso, e admin é a primeira metade que todo bot testa. Um nome de usuário individual não é proteção forte por si só, mas descarta de antemão os 90 por cento mais bobos das tentativas automatizadas. Se a sua conta de administração ainda roda em admin: crie uma conta nova com nome próprio, transfira os direitos e apague a conta antiga.

Para todo o resto: o gerenciador de senhas

O método da história é pensado de propósito para poucas senhas: as duas ou três de cabeça que você não pode consultar em lugar nenhum, ou seja, a senha mestra do seu gerenciador de senhas e o login dos seus aparelhos. Para as demais contas, o gerenciador de senhas é a recomendação padrão, sem meio termo: ele gera para cada serviço uma senha longa, aleatória e exclusiva e a guarda por você. Com isso a regra da exclusividade se cumpre sozinha, e o credential stuffing cai no vazio no seu caso.

A divisão de trabalho é simples: uma senha mestra forte, montada pelo método da história, protege o gerenciador de senhas; o gerenciador protege todo o resto; e a autenticação em dois fatores garante ainda as contas mais importantes. Quem combina esses três blocos fez mais pela segurança do seu site WordPress do que com qualquer plugin de segurança sozinho, por melhor configurado que esteja.

Perguntas frequentes