Checklist de Segurança de Site para Donos de Pequenas Empresas

Um checklist de segurança de site é o caminho mais curto entre "acho que está tudo bem" e "sei exatamente o que está exposto". Se você tem o site de uma pequena empresa e não tem um time de segurança, você não precisa de um programa corporativo de segurança — precisa de uma lista repetível com aquilo que os atacantes realmente exploram, percorrida de cima a baixo e revisitada com frequência definida.

Este guia é essa lista. Dez itens, em ordem de prioridade, escritos para um dono de empresa e não para um engenheiro. Cada item explica o que verificar, por que importa e como é o "concluído". A maior parte disso pode ser repassada para quem cuida do seu site.

A versão curta

Se você fizer apenas os quatro primeiros itens, já terá fechado a maioria das portas que os ataques automatizados usam:

1. Exija senhas fortes e únicas e autenticação multifator em todas as contas administrativas
2. Atualize plataforma, plugins, temas e dependências com periodicidade definida
3. Force HTTPS em todo o site e configure os cabeçalhos de segurança
4. Remova o que não usa mais — plugins antigos, subdomínios esquecidos, contas de admin abandonadas
5. Proteja os dados de clientes que você coleta
6. Mantenha segredos fora do código-fonte
7. Mapeie toda a sua superfície de ataque, incluindo subdomínios
8. Faça backup e teste a restauração de verdade
9. Monitore continuamente e envie os alertas para onde alguém realmente lê
10. Escreva o que acontece quando algo dá errado

1. Controle acessos e autenticação

Ataques a credenciais continuam sendo uma das formas mais comuns de invadir o site de uma pequena empresa, e são quase totalmente automatizados. Robôs testam combinações de usuário e senha vazadas em formulários de login em escala — por isso uma senha reaproveitada de outro serviço que sofreu vazamento é um risco ativo mesmo que o seu site nunca tenha sido atacado.

Verifique:

• Toda conta administrativa usa senha única, guardada em um gerenciador de senhas, sem reuso em nenhum outro lugar
• A autenticação multifator (MFA) está ativa no painel do site, no painel da hospedagem, no registrador do domínio e no provedor de DNS — registrador e DNS são os mais esquecidos e os mais graves de se perder
• As contas têm papéis definidos: quem publica conteúdo não precisa ser administrador
• Ex-funcionários, ex-prestadores e contas de agências antigas foram removidos, não apenas desativados
• O usuário padrão (admin, administrador) foi alterado onde a plataforma permite
• Tentativas de login têm limite de taxa ou bloqueio automático

Concluído é: uma lista atualizada de todas as contas com acesso ao site, hospedagem, domínio e DNS, cada uma com um responsável nomeado.

2. Mantenha tudo atualizado

A grande maioria dos ataques bem-sucedidos contra sites de pequenas empresas explora uma vulnerabilidade que já tinha correção disponível. O Data Breach Investigations Report da Verizon aponta repetidamente a exploração de vulnerabilidades conhecidas como um dos principais vetores de acesso inicial, e a janela entre a divulgação pública de uma falha e a exploração automatizada em massa hoje se mede em dias.

Verifique:

• O núcleo do seu gerenciador de conteúdo está em versão suportada e atual
• Todo plugin, tema, extensão e módulo está atualizado — e o que não está em uso foi excluído, não apenas desativado
• Software de servidor, runtime (PHP, Node, Python) e banco de dados estão dentro do período de suporte
• As bibliotecas de terceiros do seu código são conferidas contra bases de vulnerabilidades
• Existe uma cadência definida: correções críticas em dias, o restante mensalmente

Concluído é: um compromisso mensal recorrente na agenda, com responsável nomeado, e um canal para ser avisado de falhas críticas no intervalo.

3. Criptografe o tráfego corretamente

HTTPS é o mínimo, não a linha de chegada. Um certificado válido prova que o tráfego entre o visitante e o seu servidor está criptografado. Ele não diz nada sobre injeção de SQL na aplicação, sobre a senha do admin ser Verao2026 ou sobre o banco de dados estar acessível pela internet.

Verifique:

• O HTTPS é obrigatório em todo o site, com redirecionamento do HTTP — não apenas disponível
• O certificado é válido, não autoassinado, e renova automaticamente — certificado vencido derruba o site e destrói a confiança
• Versões antigas de TLS (1.0 e 1.1) estão desativadas
• Não há conteúdo misto: imagens, scripts e estilos carregam por HTTPS
• Cookies de sessão estão marcados como Secure e HttpOnly

4. Configure servidor e cabeçalhos corretamente

Erro de configuração de segurança é uma das categorias do OWASP Top 10 e um dos achados mais comuns em sites de pequenas empresas, justamente porque é invisível pela frente. O site parece perfeito enquanto um arquivo de configuração está publicamente legível.

Verifique:

• A listagem de diretórios está desativada
• Arquivos de backup, arquivos .env, diretórios .git e dumps de banco não são acessíveis pela web — este é um achado rotineiro e uma causa rotineira de incidente
• Painéis administrativos não estão expostos em caminhos previsíveis sem proteção adicional
• Os cabeçalhos de segurança estão configurados: Content-Security-Policy, X-Content-Type-Options, Strict-Transport-Security, Referrer-Policy e política contra enquadramento em iframe
• Mensagens de erro detalhadas estão desligadas em produção — um stack trace entrega ao atacante o que você está rodando
• As credenciais padrão de qualquer software instalado foram trocadas

5. Proteja os dados que você coleta

Cada campo que você coleta é um passivo que passa a ser sua responsabilidade defender. Sob a LGPD, isso deixa de ser apenas boa prática: a lei exige medidas de segurança adequadas, e a ANPD tem poder para aplicar sanções administrativas que chegam a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração. Também existe a obrigação de comunicar incidentes de segurança relevantes à ANPD e aos titulares afetados.

A forma mais barata de proteger dados de clientes é não guardar dados que você não precisa.

Verifique:

• Você consegue listar quais dados pessoais coleta, onde ficam armazenados e quem tem acesso
• Dados que não são mais necessários são eliminados segundo um prazo de retenção definido
• Dados de cartão são tratados por um meio de pagamento, nunca armazenados no seu servidor
• O acesso ao banco de dados é restrito à aplicação, não aberto à internet
• Backups com dados pessoais são criptografados
• Uploads de arquivos são validados por tipo e tamanho e armazenados fora da raiz web

6. Mantenha segredos fora do código

Vazamento de credenciais — chaves de API, senhas de banco e tokens de acesso enviados para um repositório de código — é uma das causas de incidente que mais cresce, e não exige que o seu site tenha qualquer vulnerabilidade. Depois que um segredo entra no repositório, ele permanece no histórico mesmo após ser apagado dos arquivos atuais.

Verifique:

• Nenhuma chave de API, token, chave privada ou senha aparece no repositório, incluindo commits antigos
• Segredos de configuração vêm de variáveis de ambiente e nunca são versionados
• O acesso ao repositório é limitado a quem precisa hoje, com MFA obrigatório
• Todo segredo que já foi exposto foi rotacionado, não apenas removido

7. Mapeie sua superfície de ataque

Atacantes não se limitam à sua home. Um servidor de homologação esquecido, um hotsite de campanha antigo ou um subdomínio apontando para um serviço que você cancelou fazem parte da sua superfície de ataque — e costumam ser os sistemas menos mantidos que você possui.

Verifique:

• Existe um inventário de todos os domínios e subdomínios da empresa
• Nada aponta para serviço desativado (isso permite o sequestro de subdomínio, em que o atacante reivindica o recurso abandonado e passa a servir conteúdo sob a sua marca)
• Ambientes de homologação e desenvolvimento não estão públicos nem contêm dados de produção
• As datas de registro e vencimento do domínio são acompanhadas — domínio vencido é perda total de controle

8. Faça backup e teste a restauração

Backup não testado é hipótese. Ransomware e ataques destrutivos são desenhados justamente para alcançar backups conectados, por isso o isolamento importa tanto quanto a frequência.

Verifique:

• Os backups rodam automaticamente, na frequência com que o seu conteúdo muda
• Pelo menos uma cópia fica separada do ambiente de produção
• Os backups são criptografados
• Você já executou uma restauração de verdade e sabe quanto tempo ela leva

9. Monitore continuamente e direcione os alertas

Verificação pontual mostra o estado do site no dia em que você olhou. O site muda, plugins atualizam, dependências mudam e novas vulnerabilidades são publicadas diariamente. As pesquisas da IBM sobre custo de violação de dados mostram de forma consistente que quanto mais tempo um incidente passa sem ser detectado, mais caro ele fica — e a velocidade de detecção é uma das poucas variáveis sob seu controle direto.

Verifique:

• O site é escaneado de forma contínua, não uma vez por ano
• Disponibilidade e tempo de resposta são monitorados, com alerta quando o site cai
• Os alertas chegam onde alguém lê — e-mail, Slack, Discord — e não em um painel que ninguém abre
• Há uma pessoa nomeada como responsável por triar o que chega

10. Escreva o que fazer quando algo der errado

Você não precisa de um programa formal de resposta a incidentes. Precisa de uma página que alguém consiga seguir às 2h da manhã sem improvisar.

Inclua: quem acionar, como tirar o site do ar, onde estão os backups e como restaurá-los, como rotacionar todas as credenciais, quais clientes e órgãos precisam ser comunicados (incluindo a ANPD, quando aplicável) e onde ficam os logs.

Erros comuns a evitar

• Achar que o cadeado é segurança. HTTPS criptografa a conexão. Ele não torna a aplicação segura.
• Achar que a empresa é pequena demais para ser alvo. A varredura automatizada é indiscriminada — robôs encontram sistemas expostos, não marcas.
• Rodar o checklist uma única vez. Um scan limpo em janeiro não diz nada sobre março.
• Deixar plugins sem uso instalados, apenas desativados. Código desativado muitas vezes continua acessível e vulnerável.
• Corrigir achados sem rotacionar as credenciais expostas. Apagar a chave do arquivo não invalida a chave.
• Não ter responsável nomeado. Um checklist que é de todos não é de ninguém.

Com que frequência revisar cada item

• Contínuo (automatizado): varredura de vulnerabilidades, checagem de dependências, monitoramento de disponibilidade
• Mensal: atualizações de plataforma, plugins e dependências, revisão de novos achados
• Trimestral: revisão de acessos, inventário de subdomínios e ativos, teste de restauração de backup
• Anual: o checklist completo de ponta a ponta e a revisão do plano de incidentes

Como a Volturion ajuda

Boa parte deste checklist é trabalho que não deveria ser feito à mão, e a Volturion automatiza justamente as partes que se deterioram mais rápido entre uma revisão e outra.

A Volturion escaneia seus sites e aplicações públicas cobrindo todo o OWASP Top 10 — incluindo os erros de configuração dos itens 3 e 4, arquivos expostos, cabeçalhos ausentes e falhas de injeção — e verifica CVEs conhecidas que afetam a plataforma, os plugins e os frameworks que você usa, cobrindo o item 2. Cada achado recebe uma severidade e é mapeado para categorias CWE e OWASP, para você trabalhar a lista por prioridade em vez de adivinhar.

No item 6, a Volturion analisa seus repositórios em busca de credenciais fixas no código, chaves de API e chaves privadas, e confere os manifestos de dependências contra bases de vulnerabilidades, indicando arquivo e linha exatos de cada problema.

No item 7, a Volturion descobre automaticamente os subdomínios ligados aos seus domínios e os coloca em monitoramento contínuo, acompanha dados de registro e vencimento do domínio, sinaliza mudanças não autorizadas de servidores de nome e captura capturas de tela e tecnologias detectadas — mostrando a sua superfície de ataque real, e não a que você lembra.

Nos itens 9 e 10, a Volturion monitora seus sites 24 horas por dia e envia alertas em tempo real por e-mail, Slack, Discord ou webhook assim que algo cai ou um novo risco aparece. Para cada achado, a IA da plataforma escreve a correção passo a passo para a sua stack, em linguagem clara, para que o item do checklist não fique parado esperando alguém que fale "segurança".

Dá para começar pelo plano gratuito, com 1 domínio e 2 repositórios, e percorrer este checklist com os achados na tela em vez de uma página em branco.