Revisão técnica: 08/09/2026.
Uma política de segurança para sites define o que precisa ser protegido, quem responde por cada tarefa e como agir quando algo dá errado. Ela deve refletir a tecnologia e a operação atuais. Uma lista antiga de ferramentas, portas ou fornecedores perde valor rapidamente e pode transmitir uma proteção que já não existe.
Comece pelo inventário e pelas responsabilidades
Liste domínios, hospedagens, aplicações, bancos de dados, contas administrativas, integrações e serviços de terceiros. Para cada item, indique um responsável técnico e outro contato capaz de tomar decisões. Registre também onde ficam contratos, credenciais de recuperação e procedimentos de emergência.
Separe as responsabilidades da empresa, do provedor e de quem mantém o site. Hospedagem protegida não corrige um CMS desatualizado, enquanto uma aplicação bem mantida ainda depende de DNS, e-mail e infraestrutura disponíveis.
Defina controles mínimos
- use contas individuais, senhas exclusivas e autenticação em dois fatores;
- conceda apenas os acessos necessários e remova usuários inativos;
- mantenha sistema, temas, extensões e dependências atualizados;
- proteja o tráfego com HTTPS e renove certificados a tempo;
- restrinja alterações administrativas e registre atividades relevantes.
A Cartilha de Segurança para Internet do CERT.br reúne recomendações sobre autenticação, atualização e proteção de dados. Adapte os controles ao risco de cada conta, em vez de aplicar uma regra sem considerar o contexto.
Planeje backups que possam ser restaurados
Defina o que copiar, com que frequência, por quanto tempo e em qual local. Mantenha mais de uma cópia e evite que todas dependam da mesma credencial ou servidor. Proteja dados sensíveis, automatize alertas de falha e teste periodicamente uma restauração. Um backup existente, mas incompleto ou infectado, não garante recuperação.
Monitore e prepare a resposta
Escolha sinais que merecem alerta: alterações inesperadas, novos administradores, falhas repetidas de login, páginas desconhecidas, envio anormal de e-mail e uso incomum de recursos. Documente como preservar registros, conter o incidente, avisar responsáveis e restaurar o serviço.
Se houver suspeita concreta, siga o guia sobre como identificar e recuperar um site invadido. Uma notificação de abuse na hospedagem também pode ser o primeiro indício de comprometimento.
Revise a política em ciclos definidos
Atualize o documento quando mudar a plataforma, a equipe, o provedor ou o tratamento de dados. Registre a data, o responsável e as mudanças aprovadas. Testes de acesso, restauração e resposta a incidentes mostram se a política funciona na prática. Segurança é um processo contínuo, não uma promessa de invulnerabilidade.
