Guia ·
Checklist de segurança e RGPD para o site da sua empresa (WordPress)
A maioria das PME em Portugal tem o site em WordPress — e a maioria desses sites tem pelo menos uma falha fácil de corrigir. A boa notícia: não é preciso ser técnico para perceber os pontos mais importantes. Esta é uma checklist prática, em linguagem simples, para reduzir o risco e ficar mais perto de cumprir o RGPD.
Segurança do WordPress
- Atualize tudo. Núcleo do WordPress, tema e plugins. A maioria dos ataques explora versões antigas com falhas já conhecidas e corrigidas.
- Reduza os plugins. Cada plugin é uma porta. Desinstale os que não usa (não basta desativar).
- Palavras-passe fortes e 2FA. Ative a autenticação em dois passos nas contas de administração. Evite o utilizador "admin".
- Limite as tentativas de login. Trava ataques de força bruta.
- Cópias de segurança automáticas. E, sobretudo, teste o restauro — uma cópia que nunca foi testada pode não servir quando precisar.
- HTTPS em todo o site. Certificado válido e redirecionamento de http para https.
Exposição que não devia estar à vista
- Página de login protegida (limitar acessos, ocultar a versão do WordPress).
- Ficheiros e pastas sensíveis sem acesso público (backups,
.sql,wp-config). - Email que pode ser falsificado. Configure SPF, DKIM e DMARC no seu domínio para dificultar que alguém envie emails a fingir que é a sua empresa.
RGPD no site — o essencial
- Banner de cookies a sério. Nada de carregar cookies de marketing antes do consentimento. O utilizador tem de poder recusar tão facilmente como aceitar.
- Política de privacidade clara: que dados recolhe (formulários, newsletter), para quê, por quanto tempo e como exercer direitos.
- Formulários minimalistas: peça só os dados de que precisa. Menos dados, menos risco.
- Consentimento explícito para newsletter e contactos de marketing.
- Subcontratantes: se usa serviços externos (alojamento, email, analytics), deve ter contratos de tratamento de dados e saber onde os dados ficam guardados.
Erros comuns que vemos
- Plugins desatualizados há meses.
- Formulários de contacto sem consentimento nem política ligada.
- Banners de cookies que só têm botão "Aceitar".
- Backups guardados no próprio servidor (se o servidor cai, caem com ele).
- Contas de administração partilhadas por várias pessoas.
Como a Kourian ajuda
Fazemos um diagnóstico passivo do seu site — o que está exposto, desatualizado ou mal configurado, do ponto de vista de segurança e de RGPD — e entregamos um plano claro e priorizado para corrigir. Sem alarmismo e sem jargão.
Quer saber como está o seu site? Peça um diagnóstico.
Nota: este artigo é informativo e não substitui aconselhamento jurídico sobre RGPD.