Antes de lançar um site, muitas empresas focam na aparência das páginas e na integridade do conteúdo, deixando a segurança para depois. Na realidade, após o lançamento, o site fica continuamente exposto ao ambiente público da internet. Se a configuração básica de segurança não for feita corretamente, a manutenção subsequente será frequentemente reativa. Aqui está uma lista de verificação de segurança básica adequada para sites empresariais, organizada em três etapas: preparação, execução e revisão.
1. Fase de Preparação: Mapeie Ativos e Permissões
Antes de iniciar a verificação, identifique claramente todos os pontos de acesso e contas do site. Isso geralmente inclui o painel administrativo, o painel de controle do servidor, ferramentas de gerenciamento de banco de dados, login FTP ou SSH, entre outros. Liste o endereço, método de login e permissões atuais de cada ponto de acesso em uma tabela para facilitar a verificação item por item.
Em relação às permissões de conta, é necessário distinguir funções como administrador, editor, uploader, etc., atribuindo apenas as permissões necessárias para cada cargo. Por exemplo, um editor comum não precisa de acesso ao painel do servidor, e um atendente não precisa de permissões de operação no banco de dados. Se ex-funcionários ou terceirizados tiveram acesso ao sistema, suas contas devem ser removidas ou redefinidas antes do lançamento.
2. Fase de Execução: Verifique Itens de Segurança Críticos
2.1. Endereço do Painel e Proteção de Login
Não use o caminho padrão para o login do painel (como /admin); altere para um caminho difícil de adivinhar. Verifique também se o captcha ou a autenticação de dois fatores estão habilitados para evitar ataques de força bruta. Se o sistema do site suportar, é recomendável limitar o número de tentativas de login, bloqueando temporariamente o IP após um certo número de falhas.
2.2. Upload de Arquivos e Permissões de Diretório
Verifique se o diretório de uploads está configurado para impedir a execução de scripts. Por exemplo, o diretório de upload de imagens deve ser somente leitura, sem permissão para executar programas como PHP ou ASP. Se o site tiver um gerenciador de arquivos, confirme que usuários comuns não conseguem acessar arquivos de configuração do sistema.
2.3. Banco de Dados e Estratégia de Backup
Não use contas como root ou admin para o banco de dados; a senha deve ser suficientemente complexa. Confirme também o plano de backup: há backup automático configurado? Os arquivos de backup estão armazenados fora do diretório do site? Recomenda-se manter pelo menos os backups dos últimos 7 dias e testar regularmente o processo de restauração.
2.4. Verificação de Vulnerabilidades Comuns
Verifique se o site utiliza plugins ou componentes com vulnerabilidades conhecidas, especialmente CMS de código aberto (como WordPress, DedeCMS, etc.). Atualize para as versões mais recentes e remova plugins e temas não utilizados. Além disso, verifique se há vulnerabilidades de SQL Injection e XSS, testando formulários com caracteres especiais, mas tome cuidado para não afetar dados reais.
2.5. HTTPS e Proteção de Informações Sensíveis
Garanta que o site esteja usando HTTPS, especialmente nas páginas de login e pagamento. Verifique se o login do painel força o uso de HTTPS para evitar a transmissão de senhas em texto claro. Revise o código-fonte do site para garantir que informações sensíveis, como credenciais de banco de dados e chaves de API, não estejam expostas.
3. Fase de Revisão: Confirme a Eficácia das Verificações e Backups
Após concluir as verificações, é necessário testar na prática. Por exemplo, faça login no painel com uma conta não administradora para confirmar que apenas as funções permitidas são visíveis; tente acessar o endereço do painel para confirmar que é bloqueado ou requer verificação. Além disso, execute manualmente um teste de restauração de backup para garantir que os arquivos de backup são utilizáveis e que o processo de restauração é claro.
A segurança não é um trabalho único; deve ser revista regularmente após o lançamento. Recomenda-se verificar as permissões de conta e o status dos backups trimestralmente, e após cada atualização do sistema do site, reavaliar as permissões de arquivos e as vulnerabilidades. Se o site lida com dados de usuários ou transações, o investimento em segurança deve ser maior; se necessário, contrate uma equipe profissional de segurança para realizar testes de penetração.
A lista acima é adequada para a maioria dos sites institucionais. Se o site envolver transações online ou coleta de informações privadas de usuários, requisitos mais rigorosos, como a conformidade com a Lei de Proteção de Dados Pessoais, devem ser considerados; nesse caso, é recomendável consultar um provedor de serviços especializado.
