Sites criados em WordPress estão entre os alvos preferidos de ataques de negação de serviço distribuído, conhecidos como DDoS. A plataforma movimenta mais de 40% de todos os sites da internet, o que a transforma em um alvo atrativo para quem deseja tirar páginas do ar. Quando isso acontece, o resultado é queda de faturamento, perda de posição em buscadores e abalo na confiança de quem visita a página.
Diferente de uma invasão que busca roubar dados, o ataque DDoS tem um único objetivo: travar o site com um volume artificial de acessos até ele parar de responder ou cair por completo.
Por que o WordPress é alvo tão comum de ataque DDoS?
A popularidade da plataforma é também sua maior fragilidade. Como a estrutura do WordPress é praticamente padronizada, invasores sabem de antemão quais arquivos e funções costumam existir em qualquer instalação.
Alguns fatores tornam os sites mais vulneráveis:
- Arquivos previsíveis, como xmlrpc.php, wp-login.php e admin-ajax.php, estão presentes em quase todas as instalações e servem como porta de entrada para ataques.
- A maioria dos sites utiliza mais de 20 plugins em média, e cada um deles amplia a superfície vulnerável.
- Muitos sites rodam em hospedagem compartilhada ou planos de baixo custo, sem capacidade para absorver picos repentinos de tráfego.
- O WordPress gera páginas dinamicamente, consultando o banco de dados a cada requisição, o que facilita ataques da chamada Camada 7.
- Recursos como busca interna, filtros de categoria e endpoints da API REST exigem processamento pesado, o que barateia o esforço do invasor para travar o sistema.
Com essas características somadas, até uma rede pequena de computadores infectados (botnet) consegue derrubar um site sem proteção adequada.
Como identificar um ataque DDoS em andamento?
Nem sempre o ataque se anuncia de forma óbvia. Em muitos casos, o primeiro sinal é apenas lentidão incomum. Alguns indícios ajudam a diferenciar tráfego malicioso de um pico natural de visitas:
- O site fica lento ou simplesmente para de responder, sem motivo aparente.
- Visitantes relatam erros de tempo esgotado ou mensagens de erro 502 e 503.
- Uso de processador, memória ou banda de internet dispara sem relação com aumento real de visitantes.
- As ferramentas de análise mostram número normal ou baixo de visitantes, enquanto os registros do servidor acusam volume alto de requisições.
- Um mesmo endereço, como wp-login.php, xmlrpc.php ou uma URL de busca específica, recebe repetidos acessos vindos de diversos IPs diferentes.
Quais tipos de ataque DDoS afetam o WordPress?
Existem dois tipos principais de ataque relevantes para quem administra um site em WordPress. Os ataques de camada de rede (Camadas 3 e 4) inundam a conexão do servidor com pacotes de dados brutos, como inundações UDP, SYN e ICMP. Esse tipo costuma ser barrado antes de chegar ao WordPress, geralmente pela própria hospedagem ou por um firewall em nuvem.
Já os ataques de camada de aplicação (Camada 7) são o principal problema para sites WordPress. Em vez de sobrecarregar a rede, eles disparam requisições HTTP que imitam o comportamento de visitantes reais, como carregamento de páginas, buscas, tentativas de login e chamadas via XML-RPC. O servidor precisa processar cada uma dessas solicitações, acessando banco de dados e carregando plugins, o que torna possível derrubar um site de porte médio com poucas centenas de requisições por segundo.
Como proteger o WordPress contra ataques DDoS?
Não é possível impedir que alguém tente um ataque. O caminho é tornar o site resistente o bastante para que o esforço não compense. Algumas medidas se mostram mais eficazes:
- Colocar um firewall de aplicação web (WAF) em nuvem e uma rede de distribuição de conteúdo (CDN) na frente do site, filtrando tráfego malicioso antes que ele chegue ao servidor de origem.
- Desativar ou restringir o acesso ao arquivo xmlrpc.php, um recurso legado frequentemente usado para amplificar ataques, já que uma única requisição pode disparar centenas de operações internas.
- Desligar pingbacks e trackbacks nas configurações de discussão, já que esse recurso é explorado por invasores para coordenar ataques entre milhares de sites WordPress comprometidos.
- Aplicar limite de requisições em wp-login.php e admin-ajax.php, pontos comumente usados em tentativas de força bruta e sobrecarga.
- Manter núcleo, plugins e temas sempre atualizados, já que falhas conhecidas em versões desatualizadas costumam ser usadas como porta de entrada para ataques.
- Ocultar o IP de origem do servidor, configurando a hospedagem para aceitar tráfego apenas vindo do firewall, e nunca publicar esse endereço em registros DNS, cabeçalhos de e-mail ou páginas de erro.
- Buscar uma hospedagem com escalonamento automático para picos de tráfego, filtragem de ataques em nível de rede e recursos isolados, em vez de ambientes compartilhados sobrecarregados.
- Monitorar o tráfego constantemente, observando picos repentinos, padrões geográficos incomuns e repetição de acessos a um mesmo endereço.
O que fazer se o site já estiver sob ataque?
Quando o site já está fora do ar ou extremamente lento, a prioridade deixa de ser prevenção e passa a ser contenção. A sequência recomendada é:
- Confirmar que se trata realmente de um ataque DDoS, analisando registros do servidor e padrões de tráfego, não apenas a percepção de lentidão.
- Direcionar o tráfego por um firewall de aplicação web, caso ainda não esteja em uso.
- Bloquear padrões evidentes, como faixas de IP conhecidas por abuso, agentes de usuário suspeitos ou caminhos de requisição específicos.
- Contatar a hospedagem, que pode bloquear o tráfego malicioso diretamente na rede.
- Preservar evidências, como registros, horários e amostras de requisições, para uma análise posterior do incidente.
Como escolher uma proteção adequada para o WordPress?
Nem todo serviço de proteção contra DDoS é pensado para o WordPress. Na hora de avaliar uma solução, vale considerar se ela oferece especialização em ataques de Camada 7, já que é nessa camada que a maioria dos problemas do WordPress acontece, e se permite ativação de emergência rápida, já que alguns provedores levam horas para colocar a proteção em funcionamento, tempo que pode ser decisivo durante um ataque já em curso.
Diante do volume de sites WordPress em operação, investir em prevenção ainda é o caminho mais barato. Esperar o ataque acontecer para só então buscar solução custa tempo, visitantes e credibilidade.
Com informações de blog.sucuri.net.
