Um site fica mais seguro quando tem menos portas, não quando ganha mais trancas. Por isso, em vez de instalar proteção, a Caju tira do site tudo o que ele não precisa: banco de dados, tela de login, plugins e formulário. O que sobra continua pedindo cuidado, e no fim deste post tem cinco perguntas para você conferir o seu.
As portas de um site comum
O site feito sobre uma plataforma, como WordPress ou Joomla, costuma ter quatro portas:
- Banco de dados. É onde o site guarda textos, cadastros e senhas. Quem entra nele alcança tudo isso.
- Tela de login. O painel de administração fica no próprio endereço do site, e tem robô tentando a senha nele o dia inteiro.
- Plugins. Cada função vem de um fabricante diferente, cada um com a sua atualização. Em 2025, 91% das falhas novas do ecossistema WordPress estavam em plugins (Patchstack).
- Formulário. Tudo o que o visitante digita passa pelo site e, muitas vezes, fica guardado nele. E formulário aberto atrai robô de spam.
Com a IA barateando o ataque automatizado, banco de dados e formulário viraram as portas mais visadas de qualquer site.
O que a Caju tira, e o que fica no lugar
- Sem banco de dados: o site é gerado antes de ir ao ar, e o servidor só entrega os arquivos dele. Não há banco para roubar.
- Sem tela de login no site: com o conteúdo passando pela Caju, não existe painel de administração na internet. Não há senha para adivinhar.
- Sem plugin: o que o site faz vem da base própria da Caju, testada a cada publicação. Não há plugin esquecido.
- Sem formulário no site: o contato vai direto para o seu WhatsApp. Quando um formulário faz sentido, ele fica num serviço especializado, fora do site.
As portas que continuam
Tirar portas não deixa o site impossível de invadir. Quatro continuam existindo em qualquer site: o domínio, a hospedagem, o certificado de segurança (o cadeado ao lado do endereço) e as senhas de quem publica.
Para essas, a Caju tem um teste que visita cada site no ar todo dia 1º. Ele confere o certificado, se o endereço responde certo e os registros do e-mail profissional. Se algo estiver errado, a Caju fica sabendo antes de você.
Um ajuste recente
Até outubro, o guia visual de cada site ia ao ar junto com ele. É uma página interna, com as cores, as letras e os botões do site, sem dado nenhum, e ficava escondida do Google. Mesmo assim, a regra mudou: hoje o guia nem vai para o servidor, e um teste confere que o endereço dá erro. Página interna não se esconde, se tira do ar.
Faça o teste no seu site
Cinco perguntas que você responde sem chamar ninguém:
- O navegador mostra “não seguro” ao lado do endereço do seu site? Sem o cadeado, o que o visitante digita viaja sem proteção, e o navegador avisa isso a quem chega.
- Quando vence o domínio, e quem recebe o aviso? Domínio vencido pode derrubar o site e o e-mail no mesmo dia.
- Quem tem as senhas do site e da hospedagem? Se alguém que já saiu da empresa, ou a agência antiga, ainda tem acesso, é hora de trocar.
- O seu site tem tela de login no próprio endereço? Teste o endereço com /wp-admin (WordPress) ou /administrator (Joomla) no fim. Se aparecer uma tela de login, é uma porta: senha forte e verificação em duas etapas, no mínimo.
- Quando os plugins foram atualizados pela última vez, e por quem? Atualizar é o mínimo, e às vezes nem basta: em 2025, quase metade das falhas novas do ecossistema WordPress não tinha correção pronta quando veio a público (Patchstack).
