Checklist de segurança que toda empresa deveria exigir do site novo
Quando uma empresa contrata um site novo, a conversa quase sempre gira em torno de design, prazo e preço. Segurança raramente entra na pauta — até acontecer um problema.
O detalhe é que um site inseguro não é só um risco técnico. É um risco de negócio: dados de clientes expostos, site fora do ar em pleno horário comercial, formulários sequestrados por spam ou phishing, e — cada vez mais comum — sites invadidos e usados pra distribuir malware sem o dono nem perceber.
Este é o checklist mínimo que recomendamos verificar antes de aceitar a entrega de qualquer site.
1. Certificado SSL/HTTPS configurado corretamente
Não basta ter o cadeado no navegador. É preciso verificar se todas as páginas forçam HTTPS, se não há conteúdo misto (recursos carregando via HTTP dentro de uma página HTTPS) e se o certificado é renovado automaticamente.
Quer saber se esse problema também acontece com a sua empresa?
Fazer diagnóstico gratuito →2. Formulários protegidos contra spam e injeção
Todo formulário de contato, diagnóstico ou orçamento precisa de validação no servidor (não só no navegador) e proteção contra envio automatizado. Formulário sem essa camada vira porta de entrada pra spam e, em casos piores, pra ataques de injeção.
3. Atualizações e dependências sob controle
Se o site usa CMS, plugins ou bibliotecas de terceiros, alguém precisa ser responsável por mantê-los atualizados. A maioria das invasões de site não explora falha sofisticada — explora plugin desatualizado que ninguém lembrou de atualizar.
4. Backup automático e testado
Não adianta ter backup se ninguém nunca testou restaurá-lo. O checklist correto inclui: backup automático, com frequência definida, guardado fora do mesmo servidor, e com um teste de restauração já realizado pelo menos uma vez.
5. Controle de acesso e autenticação
Quem tem acesso ao painel administrativo do site? Existe autenticação em duas etapas? Senhas compartilhadas entre várias pessoas ou reaproveitadas de outros sistemas são uma das causas mais comuns de invasão.
6. Política de dados e conformidade com a LGPD
Todo site que coleta dados (formulário de contato, newsletter, diagnóstico) precisa deixar claro o que é coletado, por quê, e por quanto tempo é guardado — e ter uma base legal pra isso. Isso não é burocracia: é proteção jurídica pra empresa.
7. Monitoramento contínuo, não só entrega pontual
Segurança não é uma caixa que se marca uma vez na entrega do site. É um processo. Vale perguntar ao fornecedor: quem monitora o site depois que ele vai ao ar? O que acontece se algo for comprometido?
O ponto central
A maioria dos problemas de segurança em sites de empresas médias não vem de ataques sofisticados — vem de negligência básica que ninguém cobrou na hora da entrega. Um checklist como esse não é luxo técnico, é o mínimo que se deveria exigir de qualquer fornecedor.
É por isso que segurança é um dos três pilares do Site Triplo A, junto com GEO e design — tratada como parte da fundação do site, não como item opcional de contrato.