Backup e segurança do site: o mínimo que sua empresa precisa

Quase toda empresa acha que o site tem backup. Poucas sabem onde ele está, de quando é e se funciona. A dúvida só aparece no pior dia: o site some, abre uma página estranha ou a hospedagem suspende a conta, e alguém pergunta “dá para voltar como estava ontem?”.

Backup e segurança não aparecem na tela. Por isso ficam fora do orçamento e fora do contrato. Neste guia eu mostro, com dados de 2026, o mínimo que o site da sua empresa precisa ter e as perguntas para fazer a quem cuida dele.

Por que o risco do site aumentou em 2026

O site comum de empresa é feito em WordPress, com tema pronto e uma pilha de plugins. Cada plugin é um software de outro fornecedor, com as próprias falhas e o próprio calendário de correção.

O relatório State of WordPress Security in 2026, da Patchstack, atualizado em fevereiro de 2026, traz os números de 2025:

• 11.334 falhas novas foram encontradas no ecossistema WordPress, 42% a mais que em 2024;
• 91% estavam em plugins e 9% em temas; o núcleo do WordPress teve só 6, todas de baixo risco;
• 46% não tinham correção no momento em que a falha foi divulgada;
• nas falhas mais exploradas, o tempo mediano entre a divulgação e o ataque em massa foi de 5 horas.

Leia de novo o último dado. Entre a falha virar pública e robôs começarem a testar milhares de sites, passam horas, não semanas. Atualizar “quando der” já não protege.

E a hospedagem não segura tudo. No teste da própria Patchstack com empresas de hospedagem conhecidas, só 26% dos ataques a essas falhas foram bloqueados pelo servidor. O resto chegou ao site.

O que é um backup de verdade

Backup não é “a hospedagem guarda uma cópia”. É uma rotina que você consegue conferir. A CISA, agência de segurança digital do governo dos Estados Unidos, resume o mínimo para pequenas empresas na regra 3-2-1, no guia Back Up Business Data:

• 3 cópias dos arquivos importantes;
• 2 tipos de armazenamento diferentes, como um disco e a nuvem;
• 1 cópia fora do local da empresa.

Para um site, isso vira três regras práticas:

1. Backup automático. A CISA pede uma rotina que rode “automaticamente e regularmente”. Backup que depende de alguém lembrar não existe.
2. Uma cópia fora da hospedagem. Se a conta for suspensa, invadida ou cancelada por falta de pagamento, o backup guardado no mesmo lugar some junto.
3. Histórico de vários dias. A CISA recomenda conseguir voltar os dados em pelo menos sete dias. Invasão quase nunca é percebida no mesmo dia; se o backup guarda só a última noite, você restaura o site já infectado.

O teste que quase ninguém faz

O ponto mais esquecido é testar. A CISA orienta testar a restauração para garantir que a equipe consegue recuperar os dados por inteiro e em partes, e marcar esses testes com data.

Na prática, um backup que nunca foi restaurado é uma aposta. O arquivo pode estar corrompido, incompleto ou sem o banco de dados. Só se descobre na hora de usar, que é a pior hora.

O teste é simples: subir a cópia num ambiente separado, abrir o site e conferir páginas, formulários e imagens. Uma vez por trimestre já muda o jogo.

O mínimo de segurança para o site da empresa

Backup é o que salva depois. Segurança é o que evita o problema. Para um site de empresa, o mínimo é este:

• Atualizar com frequência fixa. Plataforma, plugins e tema atualizados toda semana, testados numa cópia antes de ir ao ar. Com ataques começando horas depois da divulgação, a frequência importa mais que o esforço.
• Ter poucos plugins. Cada plugin removido é uma porta a menos. Se 91% das falhas estão neles, cortar o que não é usado é a medida mais barata que existe.
• Fugir de plugin abandonado. Plugin sem atualização há mais de um ano não vai receber correção quando a falha aparecer.
• Senhas fortes e dois fatores. No painel do site, na hospedagem, no domínio e no e-mail. Uma senha vazada na hospedagem vale mais para o invasor que qualquer falha de plugin.
• Um login por pessoa. Nada de senha de administrador compartilhada no grupo da equipe. Quem sai da empresa perde o acesso no mesmo dia.
• Acessos em nome da empresa. Domínio, hospedagem e painel registrados no CNPJ e no e-mail da empresa, não no do freelancer. Se isso já virou problema, mostrei o caminho em como recuperar o domínio e a hospedagem do site.
• Certificado de segurança com renovação automática. E alguém que confira se a renovação rodou.

Nenhum item exige ferramenta cara. Exige rotina e alguém responsável por ela.

Site em código próprio muda a conta

Boa parte do risco vem do formato do site. Um WordPress com 30 plugins tem 30 fornecedores diferentes para acompanhar. Um site em código próprio, sem painel exposto e sem plugins de terceiros, tem muito menos peças para atualizar.

O backup também fica mais simples. O código mora num repositório com histórico de cada versão, então voltar para ontem é um comando. O que precisa de cópia são os dados: formulários, contatos e arquivos enviados.

É o caso dos sites que fazemos em código próprio e mantemos no nosso servidor, como o amandanutri.com.br, site de nutricionista com atendimento 100% online e agendamento pelo WhatsApp, e o conversaovisual.com.br, página de vendas de curso que marcou 99 de 100 no Lighthouse do Google em outubro de 2026.

Não quer dizer que todo WordPress deva ser jogado fora. Quer dizer que, na hora de comparar orçamentos, o custo de manter seguro precisa entrar na conta. Detalhei esse custo em quanto custa manutenção de site por mês.

Perguntas para fazer a quem cuida do seu site

Mande estas perguntas por escrito para a agência, o freelancer ou a hospedagem. As respostas dizem mais que qualquer proposta.

1. Qual é a data do último backup do site?
2. Onde ficam as cópias? Alguma está fora da hospedagem?
3. Quantos dias para trás eu consigo voltar?
4. Quando foi o último teste de restauração, e o que foi conferido?
5. De quanto em quanto tempo plataforma e plugins são atualizados?
6. Quantos plugins o site tem, e algum está sem atualização há mais de um ano?
7. O domínio, a hospedagem e o painel estão no nome da minha empresa?
8. Quem me avisa se o site cair, e em quanto tempo?

Se metade das respostas vier com “acho que sim”, o site está desprotegido. E se o pior já aconteceu, comece pelo roteiro de o que fazer quando o site é hackeado.

Como fazemos no Studio

No Studio, backup e segurança entram na conversa antes de o site ir ao ar, não depois do primeiro susto. O preço é fechado depois do diagnóstico, e o prazo vai escrito no contrato. O código, os arquivos e os acessos, incluindo domínio e hospedagem, ficam em nome do cliente. A equipe de devs é nossa, e usamos Claude Code e Figma no design e no build.

Os sites que fazemos em código próprio rodam no nosso servidor com SEO e GEO desde o primeiro dia. E todo sistema que entregamos sai com um agente de IA que roda todo dia, aponta falhas, sugere melhorias e confere se os dados fazem sentido.

Se você não sabe responder às oito perguntas acima sobre o seu site, esse é o trabalho do nosso serviço de manutenção e evolução.