Segurança de sites: 8 ataques comuns e como se proteger

Site de empresa pequena raramente é alvo escolhido a dedo. O que existe é um robô varrendo a internet inteira em busca das mesmas falhas conhecidas — e encontrando. A boa notícia é que a defesa contra ataque automatizado também é padronizada.

1. Força bruta no login

O robô tenta milhares de combinações de usuário e senha no painel administrativo.

Defesa: limite de tentativas por minuto, bloqueio temporário após falhas seguidas, senha longa, autenticação em duas etapas e endereço do painel fora do caminho óbvio.

2. SQL injection

O atacante insere comandos de banco de dados em um campo do site para ler ou apagar informação.

Defesa: consultas parametrizadas — o padrão em qualquer framework moderno. Só aparece em código antigo ou escrito na mão sem cuidado.

3. XSS (cross-site scripting)

Código JavaScript malicioso é injetado em um campo e executado no navegador de outro visitante, roubando sessão ou redirecionando a página.

Defesa: escapar toda saída, sanitizar HTML enviado por usuário e aplicar uma Content Security Policy restritiva.

4. Upload de arquivo malicioso

Um formulário que aceita anexo recebe um script disfarçado de imagem, que depois é executado no servidor.

Defesa: validar o tipo real do arquivo (não só a extensão), renomear no upload, guardar fora da pasta pública e nunca executar o que foi enviado.

5. Spam em formulário

O mais comum de todos. Robôs preenchem seus formulários com propaganda e links, poluindo a caixa de entrada e o banco de leads.

Defesa: desafio anti-bot (Turnstile, reCAPTCHA), campo honeypot invisível, limite de envios por IP e validação no servidor.

6. Sequestro de sessão

O cookie de sessão é interceptado e reutilizado para entrar como se fosse você.

Defesa: HTTPS em todas as páginas, cookies com as flags Secure, HttpOnly e SameSite, e regeneração do identificador de sessão após o login.

7. Plugin ou dependência desatualizada

Uma falha conhecida é publicada, e robôs saem procurando quem ainda não atualizou. É a origem da maioria dos sites invadidos em WordPress.

Defesa: rotina de atualização, remoção do que não é usado e monitoramento de vulnerabilidades das dependências.

8. Defacement e injeção de SEO spam

O invasor troca sua página inicial ou — pior, porque é silencioso — insere links escondidos apontando para sites de apostas e remédios. Você só descobre quando o Google penaliza.

Defesa: monitoramento de integridade dos arquivos, alerta do Search Console ativo e backup testado para restaurar rápido.

A base que resolve 90% dos casos

1. HTTPS em tudo, com certificado válido.
2. Software e dependências atualizados.
3. Senhas fortes, únicas e com segundo fator no painel.
4. Acesso individual por pessoa, com permissão mínima necessária.
5. Backup automático e, principalmente, testado.
6. Proteção anti-bot nos formulários.
7. Registro de auditoria: saber quem fez o quê e quando.

Se o site já foi invadido

Tire do ar ou coloque em manutenção, troque todas as senhas, restaure um backup anterior à invasão, aplique as atualizações pendentes e só então volte ao ar. Limpar o arquivo infectado sem fechar a porta de entrada garante que tudo se repita em poucos dias.

Segurança e sustentação fazem parte dos nossos contratos de manutenção. Conheça os serviços.