Como Fazer um Site Seguro: Guia Prático 2026

Como fazer um site seguro: guia prático 2026

Fazer um site seguro significa proteger três coisas: a ligação entre o visitante e o servidor, o acesso ao painel de administração e os dados pessoais que o site recolhe. Na prática, resume-se a oito medidas concretas — certificado SSL com HTTPS forçado, alojamento com segurança incluída, atualizações regulares, palavras-passe fortes com autenticação de dois fatores, permissões limitadas, cópias de segurança automáticas, uma firewall aplicacional e formulários protegidos.

Nenhuma delas exige que seja programador. Quase tudo é configuração, hábito e escolha de fornecedor.

Este guia explica cada passo pela ordem em que faz sentido tratá-los, e também o que a lei portuguesa lhe exige quando o site recolhe dados de clientes — a parte que a maioria dos guias sobre este tema simplesmente ignora.

O que é um site seguro?

Um site seguro é um website que cifra a ligação com o visitante através de HTTPS, mantém o software atualizado, controla quem tem acesso ao painel de administração e guarda cópias de segurança que permitem repor tudo depois de um incidente.

Repare no que esta definição não diz. Não basta o cadeado na barra de endereço.

O certificado SSL protege os dados enquanto viajam entre o browser e o servidor, mas não impede que alguém entre no painel com uma palavra-passe fraca, nem que um plugin desatualizado abra a porta a software malicioso. Segurança é um conjunto de camadas, e a maior parte dos sites de pequenas empresas tem apenas a primeira.

Porque é que isto é um problema real em Portugal

Não se trata de uma preocupação abstrata. Em junho de 2026, cada organização portuguesa enfrentou em média 2.639 tentativas de ataque por semana — um aumento de 29% face ao ano anterior, segundo os dados da Check Point Research noticiados pela imprensa nacional. Portugal está sistematicamente acima da média europeia neste indicador, mês após mês.

Para o tecido empresarial, o número que interessa é outro. O Hiscox Cyber Readiness Report 2025 indica que 54% das PME portuguesas sofreram pelo menos um ciberataque nos doze meses anteriores, e que mais de um terço das afetadas perdeu dados não cifrados — informação de clientes e de colaboradores incluída.

A razão é simples e desconfortável: os ataques a sites pequenos são automáticos. Ninguém escolhe o seu negócio a dedo.

Existem programas que percorrem a internet a testar palavras-passe comuns e versões antigas de plugins, e o seu site aparece nessa lista por ter uma vulnerabilidade conhecida, não por ser importante. É exatamente por isso que as medidas básicas funcionam tão bem: eliminam-no do grupo dos alvos fáceis.

Porque quase todos estes ataques exploram falhas conhecidas e não descuidos exóticos, a defesa segue uma ordem lógica. Comece pelo que é rápido e permanente, e só depois passe ao que exige manutenção.

Como fazer um site seguro: 8 passos

Antes de entrar no detalhe, vale a pena ver os oito passos arrumados por tipo de esforço. Quatro configuram-se uma vez e ficam feitos; os outros quatro são rotina, e são quase sempre esses que falham.

1. Instale um certificado SSL e force o HTTPS

O certificado SSL cifra tudo o que passa entre o visitante e o seu site: formulários de contacto, dados de login, pagamentos. Sem ele, o Chrome mostra um aviso de "não seguro" antes de a página sequer carregar.

Hoje, praticamente todos os alojamentos incluem certificados gratuitos (Let's Encrypt) que podem ser ativados com um clique. Instalar não chega, porém: tem de forçar o redirecionamento de HTTP para HTTPS, para que quem escreva o endereço antigo seja enviado automaticamente para a versão cifrada.

Verifique também se as imagens e scripts do site carregam todos por HTTPS. Se um só ficheiro ficar em HTTP, o browser assinala conteúdo misto e o cadeado desaparece. Segundo a documentação do Google Search Central, o redirecionamento deve ser permanente e feito do lado do servidor — e as páginas em HTTPS não devem ficar bloqueadas no robots.txt, um erro comum que retira o site dos resultados de pesquisa.

2. Escolha um alojamento que já traga segurança incluída

O alojamento é a fundação: se o servidor for mal gerido, nada do que fizer por cima o compensa. Um alojamento decente para uma pequena empresa deve incluir SSL gratuito, cópias de segurança automáticas, atualizações de servidor, proteção contra ataques de negação de serviço e suporte que responda em português a horas úteis.

Poupar cinco euros por mês num alojamento partilhado sobrelotado costuma sair caro por duas vias: o site fica mais lento e fica mais exposto. Como a velocidade de carregamento também é um dos fatores que determina o que faz um site de qualidade, esta escolha afeta ao mesmo tempo a segurança, a experiência do visitante e o SEO.

O alojamento é uma das rubricas fixas de qualquer proposta, e é sempre visível quando se faz a estimativa de preço de fazer um site. Vale a pena perguntar exatamente o que está incluído antes de comparar valores.

3. Mantenha o CMS, os temas e os plugins atualizados

A grande maioria dos sites invadidos não é atacada por um génio informático. É atacada porque tinha um plugin com uma falha corrigida há meses. Quando uma vulnerabilidade é tornada pública, os atacantes começam de imediato a procurar sites que ainda não instalaram a correção.

Regras práticas: faça uma cópia de segurança antes de atualizar, atualize um plugin de cada vez para saber qual causou o problema se algo correr mal, e evite atualizar nas horas de maior tráfego. Elimine tudo o que não usa — um tema desativado continua a ser código no servidor e continua a poder ser explorado.

4. Use palavras-passe fortes e ative a autenticação de dois fatores

A autenticação de dois fatores é a medida com melhor relação esforço-resultado de toda esta lista. Mesmo que alguém descubra a sua palavra-passe, não consegue entrar sem o código gerado no seu telemóvel.

Junte-lhe o básico: uma palavra-passe longa e única para cada serviço, guardada num gestor de palavras-passe em vez de num papel ou num ficheiro do computador. E mude o nome de utilizador de administração se for "admin" — é o primeiro que qualquer ataque automático experimenta.

5. Limite acessos e permissões

Nem toda a gente que mexe no site precisa de poderes de administrador. Quem escreve artigos precisa de permissões de editor; o designer que fez o site há dois anos provavelmente já não precisa de aceder a nada.

Faça uma revisão dos utilizadores duas vezes por ano e elimine contas antigas. Cada conta ativa é uma porta, e as portas de que ninguém se lembra são as que ficam destrancadas.

6. Configure cópias de segurança automáticas — e teste-as

As cópias de segurança não evitam ataques. Evitam que um ataque destrua o seu negócio, o que é diferente e igualmente importante.

Configure cópias diárias e automáticas, guardadas fora do servidor onde o site está alojado. Se o servidor for comprometido, uma cópia guardada no mesmo sítio desaparece com ele.

E teste a reposição pelo menos uma vez. Uma cópia de segurança que nunca foi restaurada é apenas uma suposição.

7. Instale uma firewall aplicacional e proteção contra bots

Uma firewall aplicacional (WAF) filtra o tráfego antes de este chegar ao site e bloqueia padrões de ataque conhecidos, como tentativas de injeção de SQL ou milhares de tentativas de login seguidas. Muitos alojamentos e serviços de CDN incluem uma, e ativá-la costuma ser questão de minutos.

Vale a pena juntar limites de tentativas de login e monitorização que o avise por email quando algo estranho acontece. Detetar um problema no próprio dia é a diferença entre uma limpeza rápida e semanas com o site marcado como perigoso pelo Google.

8. Proteja os formulários e a recolha de dados

Os formulários são o ponto onde o seu site toca em dados de pessoas reais, e por isso são simultaneamente um risco técnico e um risco legal. Proteja-os com um sistema anti-spam, valide os campos do lado do servidor e nunca envie dados sensíveis por email sem cifra.

Peça apenas o que precisa mesmo. Cada campo desnecessário é informação que tem de guardar, proteger e justificar — o que nos leva diretamente à parte legal.

Segurança e RGPD: o que a lei exige em Portugal

Em Portugal, a proteção de dados rege-se pelo RGPD e pela Lei n.º 58/2019, com fiscalização da Comissão Nacional de Proteção de Dados (CNPD). Para o site de uma pequena empresa, três obrigações são praticamente universais.

• Consentimento de cookies — cookies de análise ou de publicidade só podem ser carregados depois de o visitante aceitar. Um banner que já vem com tudo ativado por defeito não cumpre a lei.
• Política de privacidade clara — que explique que dados recolhe, para quê, durante quanto tempo os guarda e como o visitante pode pedir para os eliminar.
• Notificação de violações em 72 horas — se houver uma fuga de dados pessoais que represente risco para as pessoas envolvidas, tem de comunicar à CNPD no prazo de 72 horas a contar do momento em que teve conhecimento.

Repare no detalhe do prazo, porque é onde a maioria das empresas se engana: as 72 horas começam quando descobre o problema, não quando o resolve. E mesmo que conclua que a notificação não é obrigatória, continua a ser obrigada a documentar internamente o incidente.

As coimas previstas no RGPD chegam aos 20 milhões de euros ou 4% do volume de negócios anual mundial. Na prática, uma pequena empresa portuguesa não enfrenta valores desta ordem, mas enfrenta um risco muito real: uma queixa de um cliente cujos dados ficaram expostos, e a reputação que se perde com ela.

Como saber se o seu site já está seguro

Antes de contratar seja o que for, faça esta verificação — leva dez minutos.

1. Abra o site e confirme que o endereço começa por https:// e mostra o cadeado, em todas as páginas e não só na página inicial.
2. Escreva a versão http:// do endereço e confirme que é redirecionado automaticamente para a versão segura.
3. Entre no painel de administração e veja se há atualizações pendentes do sistema, do tema ou dos plugins.
4. Verifique a lista de utilizadores e elimine contas de pessoas que já não trabalham consigo.
5. Confirme onde está a cópia de segurança mais recente e de que dia é.
6. Abra o site no telemóvel e teste-o no PageSpeed Insights do Google — erros de segurança e problemas de desempenho aparecem muitas vezes juntos, sobretudo em sites que nunca foram feitos para funcionar bem em ecrã de telemóvel.

Se falhar em três ou mais destes pontos, o site não está seguro. Não é motivo para pânico, mas é motivo para agir esta semana.

O que fazer se o site for atacado

Mantenha a ordem, porque a tentação é começar por apagar coisas e isso destrói as pistas de como entraram.

1. Coloque o site em manutenção para deixar de expor visitantes a páginas comprometidas.
2. Mude todas as palavras-passe — painel, alojamento, FTP, base de dados, email associado.
3. Contacte o alojamento. Muitos fornecedores têm ferramentas de deteção e conseguem identificar o ficheiro infetado e o momento em que entrou.
4. Reponha uma cópia de segurança anterior ao ataque e só depois atualize tudo, para não voltar a instalar a mesma falha.
5. Avalie se houve dados pessoais afetados. Se houve, conta o prazo de 72 horas para notificar a CNPD.
6. Peça uma nova análise ao Google através da Search Console, para remover o aviso de site perigoso.

Segurança, velocidade e confiança andam juntas

Vale a pena ver isto como um todo. Um site atualizado, bem alojado e com HTTPS é ao mesmo tempo mais seguro, mais rápido e melhor posicionado no Google — são medidas que produzem os três resultados de uma vez. Um site desatualizado tende a acumular os três problemas em simultâneo.

Por isso, a segurança não é um projeto que se conclui: é parte da manutenção contínua do site, tal como as atualizações de conteúdo, o acompanhamento das visitas e a otimização técnica. É precisamente esse conjunto de tarefas recorrentes que define o que faz um gestor de um site, e que deve entrar na sua rotina logo a seguir ao lançamento, ao lado de tudo o resto que há para tratar depois de ter um site.

Como a Fazum ajuda

Na Fazum construímos sites em tecnologia moderna (Next.js), com HTTPS, alojamento otimizado e boas práticas de segurança configuradas desde o primeiro dia — não como um extra que se compra à parte depois de haver um problema. Isso significa menos superfície de ataque desde o início, porque um site sem dezenas de plugins de origem duvidosa tem simplesmente menos sítios por onde falhar.

Se já tem um site e não sabe em que estado está, podemos analisá-lo: certificado, atualizações pendentes, cópias de segurança, conformidade com o RGPD e velocidade. Fazemos também manutenção contínua, para que não seja você a lembrar-se das atualizações todos os meses. Peça um orçamento gratuito e sem compromisso — respondemos em 24 horas.

Perguntas frequentes

O meu site é pequeno. Porque é que alguém o atacaria?

Porque ninguém o escolheu. A esmagadora maioria dos ataques a sites de pequenas empresas é feita por programas automáticos que testam milhares de endereços à procura de uma versão desatualizada ou de uma palavra-passe fraca. O site não é atacado por ser valioso, é atacado por estar acessível — e, uma vez comprometido, costuma ser usado para enviar spam, alojar páginas fraudulentas ou minerar criptomoedas em nome de outra pessoa.

Um certificado SSL chega para ter um site seguro?

Não. O SSL cifra a ligação entre o visitante e o servidor, o que é indispensável, mas não protege contra palavras-passe fracas, plugins desatualizados ou falta de cópias de segurança. É a primeira camada de várias, não a solução completa.

Quanto custa tornar um site seguro?

Menos do que a maioria das pessoas imagina. O certificado SSL é gratuito na generalidade dos alojamentos, a autenticação de dois fatores não tem custo e as atualizações também não. O investimento real está no alojamento de qualidade e no tempo de manutenção regular — ou no custo de contratar quem o faça por si.

Os sites em WordPress são menos seguros?

O WordPress em si é seguro; o que costuma falhar é o que se instala por cima. Como é o sistema mais usado do mundo, é também o mais atacado, e os problemas surgem quase sempre em temas e plugins de terceiros que ficam por atualizar. Um WordPress com poucos plugins, todos atualizados, é perfeitamente seguro.

Com que frequência devo fazer cópias de segurança?

Diariamente, de forma automática, se o site tiver encomendas, marcações ou formulários. Para um site institucional que muda pouco, uma cópia semanal costuma chegar — desde que faça sempre uma cópia manual antes de qualquer atualização.