Backup e segurança do site: o que a hospedagem faz e o que é sua responsabilidade

O backup automático da hospedagem ajuda, mas não deve ser a sua única proteção: o provedor cuida do servidor e da rede, enquanto a segurança do seu site (senhas, plugins, temas, código) e a guarda de uma cópia confiável são responsabilidade sua. A regra mais usada é a 3-2-1: três cópias dos dados, em dois tipos de mídia ou locais diferentes, com uma delas fora do servidor principal. E, acima de tudo, um backup só vale se já foi testado em uma restauração. Este guia mostra o que verificar e quais medidas de segurança são mínimas.

Quem cuida de quê

A leitura do contrato é essencial: muitos termos dizem que o backup do provedor é de cortesia, sem garantia de restauração. Então tenha sempre a sua cópia.

O que precisa estar no backup

1. Arquivos do site: código, temas, plugins, uploads.
2. Banco de dados: onde ficam posts, pedidos, usuários e configurações.
3. Configurações: arquivos de configuração, regras de servidor, tarefas agendadas.
4. E-mails, se estiverem na hospedagem.
5. Registros DNS: uma cópia em texto de todos os registros do domínio.

Um backup só de arquivos, sem o banco, não recupera um WordPress ou uma loja.

A regra 3-2-1 na prática

• 3 cópias: a versão ativa mais duas cópias.
• 2 locais ou mídias diferentes: por exemplo, o backup do provedor e um armazenamento em nuvem separado.
• 1 cópia fora do servidor principal: em outro provedor, para sobreviver a falha geral, invasão ou erro de cobrança que suspenda a conta.

Exemplo simples para um site pequeno: backup diário do provedor (retido por poucos dias), backup semanal automático enviado para um serviço de armazenamento externo, e uma cópia manual mensal baixada para um disco seu. A frequência deve acompanhar a frequência de mudança do site: uma loja que recebe pedidos todo dia precisa de backup do banco com mais frequência que um site institucional estático.

Perguntas para fazer ao provedor

1. Com que frequência é feito o backup e por quantos dias é retido?
2. Onde ele fica armazenado, no mesmo servidor ou em outro local?
3. Posso restaurar sozinho pelo painel? Há custo por restauração?
4. A restauração inclui banco de dados e e-mails?
5. Quanto tempo leva uma restauração completa?
6. Há garantia contratual de que o backup funcione?

Teste de restauração: a etapa que quase todos pulam

Pelo menos uma vez, e depois periodicamente:

1. Baixe uma cópia recente.
2. Restaure em um ambiente de testes (uma pasta local ou um subdomínio) e abra o site.
3. Verifique se as páginas, imagens, usuários e pedidos aparecem.
4. Anote o tempo e os passos, para ter um roteiro em caso de emergência real.

Backups corrompidos, incompletos ou com senha esquecida só são descobertos nesse teste. Faça antes de precisar.

Segurança mínima para qualquer site

1. Senhas únicas e longas, guardadas em gerenciador de senhas.
2. Autenticação em dois fatores no painel da hospedagem, no Registro.br, no e-mail e no administrador do site.
3. Atualizações em dia: núcleo do sistema, temas e plugins. Falhas conhecidas em versões antigas são a causa mais comum de invasão.
4. Plugins e temas de fontes confiáveis, removendo os que não usa. Evite versões "crackeadas", que costumam trazer malware.
5. Princípio do menor privilégio: crie usuários com o nível de acesso necessário, e não use sempre o administrador.
6. Certificado SSL ativo e HTTPS forçado. Veja SSL e HTTPS.
7. Firewall e varredura de malware, se o plano oferecer ou por plugin de reputação.
8. Limitar tentativas de login e esconder ou proteger a página de administração.
9. Monitoramento de disponibilidade e de mudanças em arquivos.
10. Plano de resposta: saber quem chamar e o que fazer se o site for invadido.

O CERT.br publica cartilhas de segurança em português com orientações detalhadas.

O que fazer se o site foi invadido

1. Não entre em pânico nem apague tudo. Preserve evidências, como logs, se possível.
2. Coloque o site em manutenção ou tire do ar para evitar dano a visitantes.
3. Troque todas as senhas (painel, banco, FTP/SFTP, administrador, e-mail).
4. Restaure um backup limpo anterior à invasão e atualize tudo imediatamente.
5. Procure a origem (plugin vulnerável, senha vazada) e corrija, ou a invasão se repetirá.
6. Avise o provedor, que pode ajudar com logs e varredura.
7. Se houve vazamento de dados pessoais, avalie as obrigações de comunicação previstas na LGPD, junto à ANPD e aos titulares, quando houver risco ou dano relevante. Procure orientação jurídica sobre prazos e conteúdo da comunicação.

Segurança do domínio e do DNS

Perder o controle do domínio é tão grave quanto perder o site. Proteja a conta no Registro.br com senha forte e 2FA, mantenha o e-mail de contato seguro e desconfie de mensagens que pedem dados ou pagamento por links suspeitos. Guarde uma cópia dos registros DNS, o que facilita recriar a zona rapidamente.

Exemplo de rotina mensal de 20 minutos

Para sites grandes, o tempo e a frequência aumentam, mas ter uma rotina simples já elimina muitos riscos. Use o checklist de contratação como base de conferência.

Perguntas frequentes

O backup da hospedagem é suficiente?

Para sites simples, é um bom começo, mas não deve ser o único. Mantenha uma cópia externa e teste a restauração.

Com que frequência devo fazer backup?

Depende de quanto o site muda. Sites que recebem pedidos ou comentários diários pedem backup diário; sites estáticos podem ter backup semanal ou a cada alteração.

Plugin de segurança resolve tudo?

Ajuda, mas não substitui atualizações, senhas fortes e backups. Segurança é um conjunto de práticas.

Quem é responsável se meu site for invadido?

Em geral, o dono do site, por plugins, senhas e código. O provedor responde pela infraestrutura. Contratos e circunstâncias variam, então leia os termos.

Fontes oficiais

• CERT.br — cartilhas e alertas de segurança.
• ANPD — incidentes de segurança e proteção de dados pessoais.
• Registro.br — segurança da conta e do domínio.