Segurança de sites: guia para quem tem e para quem visita

Guia das duas pontas da segurança: o que o dono do site precisa proteger, o que fazer numa invasão e como o visitante reconhece um site suspeito.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 17 de outubro de 2026 · 7 min de leitura

Segurança de sites tem duas pontas: quem tem o site precisa mantê-lo atualizado, com acesso protegido e backup testado, e quem visita precisa checar o endereço, os dados da empresa e o que a página pede antes de digitar qualquer coisa.

As duas pontas da segurança de sites

Quando um site é invadido, o prejuízo chega aos dois lados. O dono perde vendas, reputação e tempo. O visitante pode ter senha, documento ou dado de cartão usado por golpistas. Por isso este guia fala com os dois públicos, na mesma página.

Se você é dono de site, siga a primeira metade. Se você só quer navegar e comprar com mais cuidado, pule para a seção do visitante. Quem tem loja virtual deveria ler tudo: enxergar o site pelos olhos do cliente ajuda a descobrir o que deixaria qualquer um desconfiado.

Este texto não repete a lista completa de medidas do dono nem o roteiro de conferência do Verificar Segurança de Sites: 7 Passos Práticos. Aqui o foco é o quadro completo e o que fazer quando algo dá errado.

Para quem tem um site: o que proteger

As medidas de proteção do dono estão detalhadas em Segurança para sites: 10 medidas essenciais. Aqui vai só o mapa, para você saber onde olhar. O certificado, por exemplo, cifra o trânsito dos dados, mas não corrige plugin vulnerável nem senha fraca: veja O Que É Certificado SSL? Entenda Para Que Serve.

• HTTPS com certificado dentro da validade em todas as páginas.
• CMS, temas e plugins atualizados, sem componente abandonado.
• Senhas longas e diferentes, com verificação em duas etapas no painel.
• Firewall ou WAF como filtro, sem substituir atualização e senha forte.
• Permissões mínimas, logs consultados e backup restaurado ao menos uma vez (Backup de site: como fazer backup completo e seguro).

Exemplo prático: uma loja de roupas usa um plugin de galeria que o autor parou de atualizar. O site funciona, então ninguém lembra dele. Trocar por uma alternativa mantida fecha uma porta que já é conhecida por quem ataca.

Vai administrar o próprio servidor? Numa VPS a configuração de firewall, as atualizações e os acessos ficam sob sua responsabilidade. Ver planos de VPS

O site foi invadido: o que fazer, em ordem

Sinais de invasão: páginas que você não criou, redirecionamento para outro endereço, aviso do navegador ou do buscador de que o site é perigoso, usuários novos no painel, e-mails de spam saindo do seu domínio. Se algo disso apareceu, aja nesta ordem.

1. Isole o problema. Coloque o site em manutenção ou tire-o do ar, para parar de atingir visitantes.
2. Guarde evidências. Copie logs e arquivos suspeitos antes de qualquer troca ou limpeza. Eles mostram por onde o invasor entrou.
3. Troque as credenciais. Painel do site, banco de dados, FTP/SFTP, painel de hospedagem e e-mail do administrador. Faça isso de um computador que você sabe estar limpo.
4. Descubra a porta de entrada. Procure plugin desatualizado, usuário desconhecido e arquivos alterados recentemente. Limpar sem fechar a porta só adia a próxima invasão.
5. Restaure uma cópia limpa. Use um backup anterior à invasão, atualize tudo logo em seguida e troque de novo as senhas de usuários que vieram do backup, antes de recolocar o site no ar.
6. Revise o que foi exposto. Se havia dados de clientes, procure orientação jurídica sobre a LGPD, que define quem deve ser avisado. O caso concreto pede um profissional.

Depois da limpeza, faça uma revisão de brechas com calma, em vez de confiar que o problema acabou.

Para quem visita: como desconfiar do site certo

Leia o endereço com calma

Golpes de site falso apostam na pressa. Confira letra por letra: trocas como "rn" no lugar de "m", um hífen a mais, uma extensão diferente da que você conhece. Prefira digitar o endereço ou usar um favorito, em vez de clicar em link recebido por mensagem ou anúncio.

O cadeado não aprova o site

Qualquer pessoa pode obter um certificado para o domínio que controla, inclusive quem aplica golpes. O cadeado mostra que a conexão é cifrada. Ele não diz quem está do outro lado. Trate-o como requisito mínimo, não como selo de confiança.

Procure quem está por trás

• Razão social, CNPJ e endereço visíveis, que você consiga conferir em fontes oficiais.
• Canais de contato reais e política de troca e privacidade escritas.
• Meios de pagamento conhecidos, sem pedir transferência para conta de pessoa física numa loja que se diz empresa.
• Textos sem erros grosseiros e fotos que não aparecem idênticas em outros sites.

Exemplo prático: você vê um anúncio de celular com preço bem abaixo do mercado, em uma loja que você nunca ouviu falar. Antes de comprar, procure o CNPJ, veja se o endereço existe e pesquise o nome da loja junto com a palavra "reclamações". Se o desconto parece bom demais e a loja só aceita um jeito de pagar, pare.

Também existem ferramentas públicas de reputação de sites, que informam se um endereço já foi apontado como golpe ou fonte de vírus. Elas ajudam, mas não são infalíveis: um site novo pode não constar em nenhuma lista. Combine a consulta com as checagens acima.

Cuidado com o que a página pede

Desconfie de site que pede mais dados do que o necessário: senha de e-mail para "validar" uma compra, foto de documento sem motivo claro, código recebido por SMS. Códigos de verificação são seus e não devem ser repassados a ninguém. Se algo pareceu errado depois de digitar, troque a senha daquela conta logo e avise o banco, se houve dado de cartão.

Já pagou ou digitou dados num site falso?

Aja na hora, sem vergonha: qualquer pessoa pode cair em um site falso.

• Fale com o banco ou a administradora do cartão pelo canal oficial, informe o ocorrido e peça orientação sobre bloqueio e contestação.
• Troque a senha da conta que você digitou e de qualquer outra em que use a mesma senha. Ative a verificação em duas etapas.
• Guarde provas: prints da página, endereço, comprovante de pagamento e conversas.
• Registre um boletim de ocorrência. O registro pode ser feito na delegacia ou, conforme o estado, on-line; confirme como funciona no seu estado.
• Avise quem possa ter sido atingido, como contatos que receberam o mesmo link.

Exemplo prático: você pagou por Pix numa loja que sumiu. Reúna o comprovante e o endereço do site e acione o banco logo, porque a orientação depende do meio de pagamento e do que ele oferece.

Um plano para começar hoje, por perfil

Dono de site: escolha uma hora e faça isto: ative a verificação em duas etapas no painel, atualize o que estiver defasado, remova plugins sem uso e confira se existe um backup que você já restaurou ao menos uma vez. Se ainda não tem nada disso, comece pelo backup, porque ele reduz o estrago de todos os outros erros.

Visitante: adote o hábito de ler o endereço, procurar o CNPJ e desconfiar da pressa. Esses três gestos reduzem o risco de cair em site falso.

Dúvida sobre qual servidor combina com o seu projeto? Fale com a equipe e conte o que você precisa. Falar com a equipe

Perguntas frequentes

O cadeado no navegador significa que o site é seguro?

Significa que a conexão com o site é cifrada. Não prova que a empresa é real nem que o site esteja livre de golpe. Confira também o endereço e os dados da empresa.

Qual o primeiro passo se meu site foi invadido?

Tire o site do ar ou ative a manutenção, guarde os logs e troque todas as senhas. Só depois restaure uma cópia limpa e atualize tudo.

Preciso de VPS para ter um site seguro?

Não. A segurança depende das práticas, não de um tipo de servidor. Numa VPS você tem mais controle, e também mais responsabilidade, porque administra o servidor.

Como saber se uma loja online é confiável?

Procure CNPJ, endereço e contato verificáveis, leia a política de troca, desconfie de preço bem abaixo do mercado e pesquise relatos de outros clientes antes de pagar.