O site ficou pronto, foi ao ar e ninguém mais mexeu nele. É uma história comum, e costuma terminar mal. Um site WordPress é como um carro: funciona muito bem, desde que receba revisão.
A seguir, por que o WordPress é alvo constante, o que acontece com um site sem manutenção, o que uma boa rotina inclui e com que frequência cada coisa precisa ser feita.
Por que o WordPress é alvo
Segundo o W3Techs, que acompanha as tecnologias usadas na web, o WordPress move cerca de 40% de todos os sites do mundo. Essa popularidade é uma vantagem, com milhares de temas, plugins e profissionais, e também um risco: quem cria um ataque automatizado contra uma falha do WordPress tem milhões de alvos possíveis.
E o ponto fraco quase nunca é o WordPress em si. O relatório anual da Patchstack, empresa especializada em segurança de WordPress, contou 11.334 vulnerabilidades novas no ecossistema em 2025. Delas, 91% estavam em plugins e 9% em temas; no núcleo do WordPress, foram só seis, todas de baixa prioridade. Por isso, um site com plugins desatualizados é o caminho mais curto para uma invasão.
O que acontece sem manutenção
- Invasão: o site passa a redirecionar para golpes ou a exibir propaganda que você não colocou.
- Alerta do Google: o site invadido pode ser marcado como perigoso, e os visitantes passam a ver um aviso vermelho antes de entrar.
- Site quebrado: uma atualização feita sem cuidado derruba o layout ou uma função importante.
- Lentidão: com o tempo, o site acumula peso e fica mais lento.
- Falhas silenciosas: o formulário de contato para de enviar e ninguém percebe, até notar que os pedidos sumiram.
O que a manutenção inclui
Atualizações com cuidado
O núcleo do WordPress, o tema e os plugins precisam ser atualizados, conferindo depois se tudo continua funcionando. O ideal é testar antes numa cópia do site e atualizar o site no ar com um backup recente à mão.
Backups que funcionam
Cópias automáticas e frequentes, guardadas fora do servidor do site, e testadas de vez em quando. Backup que nunca foi restaurado é só uma esperança. Guarde mais de uma cópia, de dias diferentes: se a invasão aconteceu há duas semanas, o backup de ontem já está contaminado.
Segurança
Senhas fortes, verificação em duas etapas, limite de tentativas de login, remoção de plugins e temas sem uso e um firewall de aplicação. Cada plugin desativado que continua instalado ainda pode ser explorado.
Monitoramento
Um sistema que avisa na hora quando o site sai do ar, em vez de você descobrir pelo cliente. O ideal é que ele confira o site a cada poucos minutos e avise por e-mail ou mensagem: um site fora do ar na madrugada de sábado pode passar despercebido até segunda.
Desempenho e verificações
Velocidade, certificado de segurança, o cadeado do navegador, formulários e links. A velocidade, aliás, pesa nas vendas e no Google, como mostramos em site lento custa caro.
Sinais de que algo já está errado
Nem toda invasão é escandalosa. Muitas ficam escondidas por meses, usando o site para enviar spam ou para redirecionar só os visitantes que chegam pelo Google, enquanto o dono, que digita o endereço direto, vê tudo normal. Desconfie se aparecerem usuários administradores que ninguém criou, páginas estranhas nos resultados de busca com o seu domínio, um aviso no Google Search Console ou uma queda súbita de visitas. Pesquisar “site:” seguido do seu domínio no Google é um bom primeiro teste: se aparecem páginas em outro idioma ou de produtos que você não vende, é hora de chamar ajuda.
Quem deve cuidar
Manutenção não é tarefa para quem tem um tempinho livre. Ela precisa de alguém com responsabilidade definida, acesso ao painel, à hospedagem e aos backups, e conhecimento para resolver quando uma atualização dá problema. Pode ser alguém da equipe, se houver quem saiba, ou um serviço contratado. O importante é que exista um nome, e que esse nome saiba onde estão os acessos e os backups no dia em que algo der errado.
Com que frequência
Atualizações e backups pedem atenção semanal; atualizações de segurança urgentes, no mesmo dia em que saem. O monitoramento precisa ser contínuo, e uma revisão geral, com teste de formulários, links e restauração de backup, cabe uma vez por mês.
O custo de não fazer
Recuperar um site invadido custa muito mais do que mantê-lo em dia, sem contar os clientes perdidos e o estrago na reputação. A manutenção é um dos custos que vêm depois do lançamento, como explicamos em quanto custa um site profissional.
Uma conferência de cinco minutos
Entre no painel do seu WordPress e olhe a tela de atualizações. Quantos plugins estão desatualizados? Há plugins desativados que ninguém usa? Quando foi o último backup, e onde ele está guardado? Se você não souber responder à última pergunta, é por ela que começa.
Para ir além
- 7 sinais de que o site da sua empresa está perdendo clientes: alguns deles são falta de manutenção.
- 7 detalhes de design que fazem o visitante confiar no seu site: o aviso de site perigoso destrói tudo isso de uma vez.
Seu site em boas mãos
Na PubliCode, cuidamos da manutenção dos sites que desenvolvemos e também de sites WordPress que já estão no ar.
Agende uma consultoria sem compromisso e descubra como está a saúde do seu site.