Sites e lojas da PME: atualizações e backups essenciais
Manter um site ou loja virtual de pé não exige equipe grande: exige duas rotinas cumpridas com disciplina — atualizações e backups. Instalar as correções de software assim que o fabricante as libera e manter cópias testadas dos dados que sustentam a operação é o que decide se um plugin vulnerável, uma falha no servidor ou um ataque de ransomware vira um incidente de uma tarde ou semanas de loja fechada. Para definir o escopo da cópia, o guia do NCSC recomenda fazer uma cópia (backup) de todos os dados de que o negócio precisa para operar, incluindo o website, e-mails e dados de clientes, guardada em armazenamento online ou em dispositivo externo. Este guia cobre sites institucionais e lojas virtuais de PME; não trata de infraestrutura crítica, sistemas sob medida complexos nem conformidade regulatória completa. Revisão editorial: novembro de 2026, Equipe Editorial atalaiasec.
Atualizações: o que priorizar
Todo site e loja virtual roda sobre camadas de software: o CMS (WordPress, Magento ou plataforma similar), plugins e temas, o servidor e o painel de hospedagem. A ordem de correção deve seguir a exposição: comece pelo que está voltado para a internet e é alvo frequente — o core do CMS, o plugin de pagamento, formulários públicos —, siga para temas e extensões secundárias e deixe por último as ferramentas internas sem acesso externo. Duas regras evitam a maior parte dos problemas: remova plugins e temas que não usa, porque componentes abandonados param de receber correção, e faça atualização grande primeiro em ambiente de teste, nunca direto na loja em horário de pico.
Para decidir a urgência de cada correção, um critério objetivo é a exploração real: para falhas já usadas em ataques, a CISA recomenda aplicar mitigações conforme as vendor instructions do fornecedor, em conformidade com o guia BOD 26-04 Prioritizing Security Updates Based on Risk. A diretiva vale formalmente para agências federais dos Estados Unidos, mas serve de referência de priorização para qualquer organização: falha com exploração confirmada entra na fila da mesma semana, não do próximo trimestre. Registre a data de cada atualização aplicada; essa lista simples encurta qualquer investigação posterior.
Backups que funcionam de verdade
Um backup só merece o nome depois de um teste de restauro bem-sucedido: cópia que nunca foi restaurada é uma aposta, não uma proteção. O guia do NCSC sugere manter duas cópias independentes — uma em armazenamento online e outra em dispositivo externo — e proteger a conta do backup online com verificação em duas etapas (2SV), para que um invasor da conta de e-mail não apague também a última cópia dos dados.
| Item | O que copiar | Frequência sugerida |
|---|---|---|
| Banco de dados da loja | Pedidos, clientes, catálogo, configurações | Diária, automática |
| Arquivos de mídia | Imagens de produtos e materiais publicados | Diária ou a cada publicação |
| Configuração do site | Versões de plugins e temas, arquivo de configuração | Semanal e antes de cada atualização |
| Contas e integrações | Usuários administrativos, integrações ativas, chaves de API em uso | Mensal |
O teste de restauro trimestral merece um procedimento fixo:
- Escolha um backup com mais de trinta dias, não o mais recente.
- Restaure em ambiente separado do site em produção.
- Confira um pedido de exemplo, uma imagem de produto e um login administrativo.
- Anote o tempo gasto e qualquer erro; esse registro vira a meta de recuperação da loja.
O principal adversário dessa rotina é o ransomware, que cifra dados e pede resgate. Sobre isso, o documento de boas práticas do CERT.br descreve como acontece um ataque de ransomware e reúne boas práticas para proteção, detecção e resposta a esses ataques; a leitura ajuda a equipe a entender por que atualização, cópia separada e teste de restauro aparecem sempre juntos nos guias oficiais.
Loja virtual: riscos específicos
Lojas virtuais carregam riscos que um site institucional não tem. O checkout concentra dados de clientes e integrações com meios de pagamento; por isso, o plugin de pagamento e qualquer script de terceiro carregado no checkout devem ser os primeiros itens da fila de atualização e da revisão mensal. Contas de administrador são o outro ponto crítico: todas devem ter autenticação multifator ativa, e nenhuma conta compartilhada deve existir — sem dono definido, ninguém responde por uma alteração suspeita no catálogo ou no preço.
Dados de clientes merecem atenção própria: além do prejuízo comercial, o vazamento de dados pessoais pode gerar obrigações legais de comunicação às autoridades e aos titulares. Faça backup antes de qualquer atualização grande, nunca durante campanhas de promoção, e monitore mudanças não planejadas na página de pagamento — scripts novos inseridos sem registro são o sinal mais comum de comprometimento silencioso.
Checklist mensal de manutenção
Uma hora por mês, sempre no mesmo dia, com registro do resultado:
- Instalar atualizações pendentes do CMS, plugins e temas, começando pelo plugin de pagamento.
- Conferir a última execução, o tamanho e a data de cada backup automático.
- Executar um teste de restauro parcial em ambiente separado.
- Revisar contas administrativas ativas e remover acessos de quem saiu, seguindo o processo de desligamento de funcionário que já detalhamos.
- Revisar registros de eventos do site para identificar erros e acessos incomuns — nosso guia sobre registros de eventos mostra o que guardar e por quanto tempo.
- Remover plugins, temas e contas de serviço sem uso.
Se essa rotina não cabe na agenda da equipe, é possível terceirizar a vigilância: a atalaiasec faz diagnóstico inicial e acompanhamento contínuo de segurança para PME — entre em contato para avaliar o ponto de partida do seu site ou loja.