Checklist de segurança para o site da entidade

O site da associação comercial costuma ser lembrado só quando dá problema: a página inicial aparece com propaganda estranha, o navegador avisa que o endereço "não é seguro" ou um associado liga dizendo que recebeu um e-mail suspeito "em nome da entidade". Nesse momento, ninguém na equipe sabe quem tem a senha do painel, onde o site está hospedado ou quando foi feita a última cópia de segurança. A segurança do site depende muito mais de rotina e organização do que de conhecimento técnico.

Este checklist foi pensado para dirigentes e equipes de ACEs e CDLs que não são da área de tecnologia. Ele ajuda a descobrir, em uma conversa de meia hora com quem cuida do site, se a entidade está protegida ou exposta, e o que pedir para corrigir.

Por que o site da entidade é um alvo

É comum pensar que ninguém teria interesse em invadir o site de uma associação comercial de cidade pequena. Mas a maior parte dos ataques não escolhe a vítima: são programas automáticos que varrem a internet procurando sites com falhas conhecidas, senhas fracas ou sistemas desatualizados. Quando encontram, usam o site para espalhar propaganda, hospedar páginas falsas ou enviar spam.

Para a entidade, as consequências vão além do incômodo técnico:

• Imagem: associados e parceiros veem conteúdo estranho com a marca da associação.
• Buscadores: o Google pode marcar o site como perigoso, e os visitantes passam a ver avisos de alerta.
• E-mail: o domínio pode entrar em listas de bloqueio, e as mensagens da entidade começam a cair no spam.
• Dados pessoais: se o site tem formulários de filiação ou contato, informações de associados podem ficar expostas, um ponto sensível diante da LGPD (Lei 13.709/2018).

Checklist de segurança do site: acessos e responsáveis

A primeira parte do checklist não tem nada de técnico. É sobre saber quem manda no quê.

1. A entidade sabe onde o site está hospedado? Nome da empresa de hospedagem, plano contratado e data de renovação.
2. O domínio está registrado em nome da entidade? E não de um ex-funcionário, de um diretor antigo ou da agência que fez o site.
3. As senhas principais estão guardadas pela entidade? Hospedagem, registro de domínio e painel administrativo do site, em local seguro, acessível à gerência.
4. Cada pessoa que edita o site tem usuário próprio? Nada de um único login "admin" compartilhado por todo mundo.
5. Ex-funcionários, estagiários e fornecedores antigos estão sem acesso?
6. Existe um responsável técnico definido? Uma pessoa ou empresa que responde pela manutenção e que a entidade sabe como acionar.

Se a resposta para alguma dessas perguntas for "não sei", esse é o primeiro ponto a resolver. Em muitas entidades, o site foi feito há anos por alguém que já não presta serviço, e ninguém tem as senhas. Recuperar esse controle é prioridade.

Checklist técnico básico

Estes itens não precisam ser executados pela equipe da entidade, mas a gerência deve saber se estão em dia. Pergunte ao responsável técnico e peça a resposta por escrito.

Item	Pergunta para o responsável técnico
Atualizações	O sistema do site, os temas e os plugins estão na versão mais recente? Com que frequência são atualizados?
Backup	Há cópias de segurança automáticas? Onde ficam guardadas? Quando foi o último teste de restauração?
Certificado SSL	O site abre com https e o cadeado aparece no navegador em todas as páginas?
Senhas	As senhas administrativas são fortes e diferentes entre si? Há verificação em duas etapas onde for possível?
Plugins e extensões	Existem plugins instalados que não são usados? Foram removidos?
Formulários	Os formulários de contato e filiação têm proteção contra robôs e spam?
Monitoramento	Alguém é avisado se o site sair do ar ou apresentar código malicioso?

Senhas fortes, na prática

Senha forte não é "Associacao2024". É uma combinação longa e sem relação óbvia com a entidade, de preferência guardada em um gerenciador de senhas. Uma frase com várias palavras, números e símbolos, diferente para cada serviço, já é um avanço enorme em relação ao que se vê na maioria dos sites institucionais.

Sinais de que algo está errado

Mesmo sem conhecimento técnico, a equipe pode notar sinais de alerta. Se perceber algum destes, avise o responsável técnico imediatamente:

• conteúdo, links ou anúncios que ninguém da entidade publicou;
• o site redireciona para outro endereço quando acessado pelo celular ou pelo Google;
• aviso do navegador dizendo que o site é perigoso ou não seguro;
• lentidão repentina ou páginas que deixam de abrir;
• novos usuários administradores que ninguém criou;
• associados relatando e-mails estranhos enviados com o nome da entidade.

Quando há invasão, a limpeza precisa ser feita por quem entende, porque códigos maliciosos costumam deixar "portas dos fundos" para voltar. O tema é tratado em detalhes em remoção de vírus e malware em sites e portais.

Rotina de segurança ao longo do ano

Segurança não é um projeto com começo e fim. Uma rotina simples, combinada entre a gerência e o responsável técnico, mantém o site protegido:

• Mensal: confirmar com o técnico que as atualizações foram aplicadas e que os backups estão sendo feitos.
• Trimestral: revisar a lista de usuários com acesso ao painel do site e remover quem não precisa mais.
• Anual: conferir a renovação do domínio e da hospedagem, trocar as senhas principais e testar a restauração de um backup.
• A cada troca de gestão: incluir as senhas e contatos técnicos na passagem de cargo da diretoria e da gerência.

Esse último ponto evita uma situação comum: a nova gestão assume e descobre que ninguém sabe como acessar o site. Vale tratar o site como parte do patrimônio da entidade, com o mesmo cuidado dado a documentos e contas bancárias. Para quem quer entender o que envolve a manutenção contínua, o post manutenção de sites e portais institucionais explica o que costuma estar incluído nesse trabalho.

Modelo de mensagem para o responsável técnico
Olá, [nome]. Estamos revisando a segurança do site da [nome da entidade]. Pode nos confirmar, por escrito: 1) data da última atualização do sistema, tema e plugins; 2) frequência e local dos backups e data do último teste de restauração; 3) se o certificado SSL está ativo em todas as páginas; 4) lista de usuários com acesso administrativo. Obrigado.

Perguntas frequentes

Site pequeno, de associação, precisa mesmo de tudo isso?

Sim. Os ataques automáticos não escolhem pelo tamanho. Sites pequenos e esquecidos costumam ser os mais fáceis de invadir.

A hospedagem já não cuida da segurança?

Em parte. A hospedagem cuida do servidor, mas atualizações do site, senhas, plugins e usuários geralmente são responsabilidade de quem administra o site.

Quem deve guardar as senhas do site?

A entidade, por meio da gerência, em local seguro. Fornecedores podem ter acesso para trabalhar, mas o controle deve ser da associação.

Com que frequência revisar este checklist?

Pelo menos uma vez por ano, e sempre que houver troca de gestão, de fornecedor ou de hospedagem.

Site protegido, imagem protegida

O site é a vitrine da entidade para associados, candidatos, imprensa e poder público. Mantê-lo seguro é proteger a credibilidade da associação comercial ou da CDL. Com responsáveis definidos, senhas sob controle e uma rotina mínima de atualizações e backups, a maior parte dos riscos fica sob controle.

Se a sua entidade não tem quem cuide disso com regularidade, conheça os serviços de manutenção, segurança e remoção de malware para sites de entidades oferecidos pela ACE Currículos.