O seu site está lento, o painel de administração abre de forma intermitente e, nos registos, dezenas de tentativas de adivinhação de palavras-passe por minuto. O seu fornecedor de alojamento escreve: «Limite de CPU excedido.» Parece-lhe familiar?

O WordPress, o CMS mais popular do mundo, e é exatamente por isso que é o principal alvo de ataques. Todos os dias, scanners de vulnerabilidades percorrem milhões de sites à procura de um plugin com falhas ou de uma palavra-passe fraca. Sem uma firewall, um site depende da boa-fé.

Abaixo, nove plugins de firewall para WordPress que realmente protegem: desde soluções leves do tipo «instalar e esquecer» até pacotes empresariais com WAF na cloud. Cada um foi testado na prática, cada um tem as suas desvantagens honestas. No final, uma matriz: o que escolher para a sua tarefa.

💡 Visão geral rápida:

• Verifique se o seu site está comprometido neste momento: o Wordfence e o AIOS fazem-no gratuitamente em minutos.
• Se o seu servidor vai abaixo regularmente sob carga, instale uma firewall na cloud (Cloudflare ou Sucuri): o tráfego é filtrado antes de chegar ao seu alojamento.
• Se não quer lidar com configurações, o BBQ Firewall protege imediatamente após a ativação, sem uma única caixa de seleção.
• Para proteção máxima, combine: firewall de endpoint (Wordfence) + WAF na cloud (Cloudflare) + filtro de pedidos leve (BBQ).

Tabela comparativa

1. Wordfence Security

Wordfence, o plugin de segurança mais popular para WordPress: mais de 5 milhões de instalações ativas e a sua própria equipa de investigação de ameaças. Isto não é apenas uma firewall, mas um pacote de proteção completo com firewall de endpoint, scanner de malware e autenticação de dois fatores.

A principal vantagem do Wordfence sobre os concorrentes na cloud é a arquitetura de endpoint. A firewall funciona dentro do WordPress, não num servidor proxy externo. Isto significa que não pode «quebrar» a encriptação, não pode ser contornada e não pode «vazar» dados. O preço a pagar por isto é a carga no servidor: em alojamentos fracos, o scanner pode consumir CPU.

Na prática, o Wordfence é o padrão de ouro para quem precisa da máxima proteção pronta a usar. A versão gratuita inclui firewall de endpoint, scanner de malware (com um atraso de 30 dias nas regras em relação ao Premium) e proteção contra força bruta. O Premium oferece atualizações de regras em tempo real, bloqueio por país e suporte prioritário com resposta em uma hora.

• Vantagens: equipa própria de investigação de segurança, regras em tempo real (Premium), integração profunda com o WordPress, não quebra a encriptação, 2FA pronto a usar.
• Desvantagens: sobrecarrega alojamentos fracos, regras em tempo real apenas no Premium, a versão gratuita recebe assinaturas com 30 dias de atraso.
• Preço: Versão gratuita no catálogo do WordPress.org, Premium a partir de $149 por ano.
• Download: 🔗 Wordfence no WordPress.org | 🔗 Wordfence Premium

2. All-In-One Security (AIOS)

All-In-One Security (AIOS), um plugin da equipa do UpdraftPlus, que constrói a proteção em torno de uma ideia simples: o site tem uma pontuação de segurança. Ativa uma funcionalidade, a pontuação aumenta. Três níveis: Iniciante, Intermédio e Avançado. Um iniciante não se vai perder em cem definições, e um administrador experiente encontrará ferramentas finas como a alteração do prefixo da BD e a rotação de salts.

Após o rebranding (anteriormente All In One WP Security & Firewall), o plugin manteve a principal vantagem: transparência. Vê qual a definição e quanto aumenta a proteção. A firewall usa regras 6G da Perishable Press, as mesmas do BBQ, além das suas próprias regras PHP e proteção no .htaccess.

O AIOS tem mais de um milhão de instalações ativas e uma classificação de 4,7 no WordPress.org. O suporte responde em 24 horas, mesmo para tickets gratuitos, o que é raro para um plugin gratuito.

• Vantagens: sistema de pontuação, claro até para iniciantes, equipa forte (a mesma que faz o UpdraftPlus), firewall 6G, suporte gratuito honesto.
• Desvantagens: versão Premium menos rica em comparação com o Wordfence Premium, sem WAF na cloud, scanner de malware apenas no Premium.
• Preço: Grátis no catálogo do WordPress.org, Premium a partir de $70 por ano.
• Download: 🔗 AIOS no WordPress.org | 🔗 AIOS Premium

3. Cloudflare

O Cloudflare não é apenas um plugin, mas uma rede global de distribuição de conteúdos (CDN) com firewall na cloud integrada. O tráfego é filtrado ao nível do DNS, antes de chegar ao servidor. Para sites com muito tráfego, isto é um duplo benefício: proteção contra DDoS e aceleração através de caching.

Na prática, o Cloudflare é instalado em conjunto com uma firewall de endpoint. O Wordfence ou o AIOS protegem ao nível do WordPress, e o Cloudflare corta os ataques antes de chegarem: bots, scanners de vulnerabilidades e tráfego DDoS não alcançam o alojamento. O plano gratuito inclui WAF básico e CDN. O plano Pro, de acordo com os preços do Cloudflare, a partir de $20/mês, acrescenta a Web Application Firewall com regras OWASP e regras personalizadas.

Nuance importante: a WAF do plano gratuito do Cloudflare é básica, sem possibilidade de escrever regras próprias. Para proteção total de aplicações, precisa de, pelo menos, o plano Pro. Os hostnames ficam ocultos atrás do Cloudflare, o que cria uma camada adicional de anonimato.

• Vantagens: filtragem ANTES do servidor (poupança de CPU), CDN global acelera o site, proteção DDoS poderosa, plano gratuito funcional.
• Desvantagens: WAF completa apenas no plano Pro ($20/mês), não protege ao nível do WordPress (é necessário um segundo plugin), o DNS tem de ser delegado ao Cloudflare.
• Preço: Gratuito (proteção básica + CDN), Pro a partir de $20/mês, Business a partir de $200/mês.
• Transferência: 🔗 Cloudflare no WordPress.org | 🔗 Cloudflare Pro

4. BBQ Firewall

BBQ Firewall, campeão em simplicidade. O plugin pesa menos de 10 kilobytes e começa a funcionar imediatamente após a ativação. Sem configurações: instalou, a proteção está ativa. BBQ significa Block Bad Queries, verifica cada pedido recebido (GET, POST, PUT, DELETE) e bloqueia padrões maliciosos: eval(), base64_, directory traversal, XSS e strings excessivamente longas.

O BBQ é construído com base nas regras 7G/8G de Jeff Starr, um dos especialistas em segurança WordPress mais conceituados. Estas mesmas regras são usadas no AIOS, mas o BBQ faz exatamente uma tarefa e fá-la instantaneamente. Em alojamentos fracos, onde o Wordfence se engasga durante um scan completo, o BBQ funciona como um relógio.

O BBQ Pro, de acordo com dados do programador, por $25 adiciona regras personalizadas, notificações por email e a capacidade de banir IPs. A versão gratuita é suficiente como segundo escalão: firewall de aplicação + BBQ = dupla filtragem sem sobrecarga.

• Vantagens: ultra-leve (menos de 10 KB), plug-and-play sem configurações, regras 7G/8G de Jeff Starr, compatível com quaisquer outros plugins de segurança.
• Desvantagens: sem scanner de malware, sem registo de ataques na versão gratuita, sem interface para edição de regras.
• Preço: Gratuito no catálogo do WordPress.org, Pro $25.
• Transferência: 🔗 BBQ no WordPress.org | 🔗 BBQ Pro

5. Sucuri Security

A Sucuri, uma plataforma de segurança na cloud, é conhecida pelo seu serviço chave-na-mão de remoção de malware. Ao contrário do Wordfence, que atua ao nível do WordPress, o tráfego na Sucuri passa por servidores proxy: cada pedido é analisado e os maliciosos são bloqueados antes de chegar ao alojamento.

O plugin gratuito Sucuri Scanner não inclui WAF na cloud; oferece gratuitamente auditoria de segurança, monitorização da integridade dos ficheiros, verificação de listas negras e reforço da segurança. O WAF na cloud e a limpeza do site estão nos planos pagos. A principal diferença entre a Sucuri e os concorrentes: se o site já estiver comprometido, eles limpam-no (nos planos Platform e superiores). Nem o Wordfence nem o AIOS fornecem esse serviço.

Na prática, a Sucuri é a escolha de quem já foi afetado. Se o site esteve em baixo ou foi pirateado, o WAF na cloud com proxy de tráfego e o serviço de limpeza cobrem completamente os riscos.

• Vantagens: WAF na cloud + limpeza de malware incluídos no plano, filtragem antes do servidor, CDN acelera o site, equipa de resposta própria.
• Desvantagens: o plugin gratuito é apenas um scanner (sem WAF), o preço do WAF começa nos $199,99/ano, o tráfego passa por um proxy externo (não adequado para todos).
• Preço: Scanner gratuito no WordPress.org, Platform a partir de $199,99/ano.
• Transferência: 🔗 Sucuri no WordPress.org | 🔗 Plataforma Sucuri

6. Jetpack

O Jetpack, um combinado modular da Automattic (a equipa do WordPress.com): segurança, desempenho, marketing e design num só plugin. A firewall aqui é uma entre muitas funções, não a característica principal. Mas para quem quer resolver todas as necessidades do site com um só plugin, o Jetpack é uma escolha sensata.

Na parte de segurança, o Jetpack oferece uma firewall de endpoint (como o Wordfence), proteção contra força bruta, monitorização de tempo de inatividade e backups automáticos. O plano pago Pessoal, de acordo com o site do Jetpack, a partir de $4,95/mês, acrescenta backups diários e filtro de spam. A principal desvantagem é o consumo de recursos: o Jetpack é mais pesado do que a maioria dos equivalentes e carrega código não relacionado com segurança.

Na prática, o Jetpack é bom se o site já utiliza outros módulos do Jetpack (CDN para imagens, estatísticas, Artigos Relacionados). Mas instalá-lo apenas para a firewall é como comprar um canivete suíço só para o saca-rolhas.

• Vantagens: um plugin para tudo (firewall, backups, spam, estatísticas), desenvolvimento oficial da Automattic, firewall de endpoint como o Wordfence.
• Desvantagens: pesado, a firewall não é a função principal, o plano gratuito oferece apenas proteção básica contra força bruta, os backups têm custo adicional.
• Preço: Grátis (proteção básica), Pessoal a partir de $4,95/mês (acrescenta backups e filtro de spam).
• Transferência: 🔗 Jetpack no WordPress.org | 🔗 Planos Jetpack

7. Security Ninja

O Security Ninja começou como um auditor de segurança: mais de 50 testes que detetam pontos fracos num site num minuto. Agora é um plugin completo com firewall 8G, scanner de vulnerabilidades e WAF avançado na versão Pro.

A versão gratuita inclui a firewall 8G básica (a mesma abordagem do BBQ, mas com interface visual), scanner do núcleo do WordPress e registo de eventos. A versão Pro, segundo a informação do programador, por $49 adiciona firewall na cloud com uma base de dados de mais de 600 milhões de IPs maliciosos, autenticação de dois fatores e scanner de malware.

Entre as funcionalidades únicas, o AI Security Advisor (WordPress 7+): o plugin gera uma auditoria de segurança legível por humanos através de um fornecedor de LLM ligado. Não são caixas de verificação e números, mas passos concretos em linguagem simples.

• Vantagens: mais de 50 testes de segurança com um clique, firewall 8G na versão gratuita, auditoria por IA (WordPress 7), WAF na cloud na versão Pro.
• Desvantagens: WAF na cloud e 2FA apenas na versão Pro, o assistente de IA requer o WordPress 7 e a sua própria chave de API de LLM, sem ferramentas gratuitas de limpeza de malware.
• Preço: Gratuito no catálogo do WordPress.org, Pro a partir de $49.
• Transferência: 🔗 Security Ninja no WordPress.org | 🔗 Security Ninja Pro

8. Astra Web Security

O Astra Web Security, uma WAF na cloud que protege um site em tempo real contra mais de 100 tipos de ciberataques. Ao contrário dos plugins que funcionam dentro do WordPress, o Astra é instalado como uma extensão e não requer a alteração das definições de DNS, sendo adequado para quem não quer delegar um domínio a um serviço de terceiros.

O Astra não tem versão gratuita, é uma decisão consciente. O preço, de acordo com o site do Astra, começa nos $25/mês, e por este valor o cliente obtém proteção 24/7 com equipa de resposta, bloqueio por país e lista branca, bem como perfil de IP: pode rastrear de onde e como atacam o site.

O produto, conforme indicado no site, é utilizado por empresas como a Ford e a Gillette. Mas para o proprietário de um blogue modesto, $25/mês é um exagero quando existem o Wordfence e o BBQ gratuitamente.

• Vantagens: proteção em tempo real, mais de 100 tipos de ataques, instalação sem alteração de DNS, equipa 24/7.
• Desvantagens: sem qualquer versão gratuita, excessivo para sites simples, preço a partir de $25/mês.
• Preço: a partir de $25/mês, pacote completo.
• Transferência: 🔗 Astra Web Security

9. Kadence Security

O Kadence Security, herdeiro do lendário iThemes Security. Em 2024, o plugin mudou de nome e proprietário (agora é um produto da Nexcess, tal como o tema Kadence), mas manteve os melhores desenvolvimentos: mais de 30 medidas de segurança, proteção contra força bruta, autenticação de dois fatores e registo de auditoria.

A funcionalidade única do Kadence Security são os modelos de proteção por tipo de site. Escolhe um perfil (eCommerce, blogue, portefólio, organização sem fins lucrativos, corretora ou rede) e o próprio plugin ativa as definições relevantes. Para uma loja WooCommerce, ativará mais proteção; para um blogue simples, menos. Isto poupa horas de configuração.

A versão Pro, de acordo com os preços da Kadence, a partir de $99 por ano, acrescenta integração com o Patchstack: correções virtuais para vulnerabilidades que tapam uma falha antes mesmo de o programador do plugin lançar uma atualização. Inclui ainda CAPTCHA, links de início de sessão mágicos e registo de ações dos utilizadores.

• Vantagens: modelos de proteção por tipo de site (poupa tempo), Patchstack na versão Pro (correções virtuais), herança do iThemes, base de código aperfeiçoada com milhões de instalações.
• Desvantagens: a versão Pro custa $99 por ano, as definições da versão básica são mais modestas do que as do Wordfence, sem WAF na cloud.
• Preço: Gratuito no catálogo do WordPress.org (Kadence Security), Pro a partir de $99.
• Transferência: 🔗 Kadence Security no WordPress.org | 🔗 Kadence Security Pro

Veja um pequeno vídeo sobre a configuração básica da proteção do WordPress para resolver o problema em poucos minutos:

⁉️🤔 Perguntas frequentes

Posso usar vários plugins de firewall em simultâneo?

Sim, e na prática é um padrão comum. O firewall de endpoint (Wordfence ou AIOS) protege ao nível do WordPress. A WAF na cloud (Cloudflare ou Sucuri) filtra o tráfego antes de chegar ao servidor. O BBQ, leve, funciona como um segundo circuito de filtragem de pedidos. O essencial: não instale dois firewalls de endpoint ao mesmo tempo. Os scanners e as regras podem entrar em conflito e a carga do servidor duplica.

Qual é a diferença entre um firewall de endpoint e uma WAF na cloud?

O firewall de endpoint funciona dentro do WordPress: «vê» o pedido depois de este chegar ao servidor e compreende o contexto com mais profundidade (qual o plugin vulnerável, quem está autenticado). A WAF na cloud filtra o tráfego num proxy externo, antes do alojamento. A vantagem da cloud é a proteção de dia zero sem carga no servidor. A desvantagem é que o tráfego passa pelos servidores de terceiros. A melhor proteção combina os dois níveis.

Um firewall gratuito é suficiente ou preciso de pagar?

Para um blogue pessoal ou uma landing page simples, o Wordfence Free + Cloudflare Free é suficiente. Para uma loja online ou um site que gera receita, vale a pena adquirir a versão Premium de, pelo menos, um plugin: as regras em tempo real e o suporte prioritário compensam logo na primeira tentativa de intrusão evitada.

Qual é o melhor plugin para um principiante?

O AIOS (All-In-One Security). O sistema de pontuação mostra de forma clara o nível de proteção do site e as definições estão divididas por níveis: Principiante, Intermédio, Avançado. Não é preciso adivinhar o que ativar. Em segundo lugar, o BBQ Firewall: instala-se e esquece-se, zero configurações.

Um firewall ajuda se o site já tiver sido pirateado?

Um firewall previne ataques, mas não limpa as consequências. Se o site já estiver infetado, precisa de um scanner de malware (Wordfence ou Security Ninja) para deteção e, depois, de uma limpeza manual ou automática. O Sucuri, no plano Platform e superiores, faz a limpeza chave na mão através da sua equipa. Após a limpeza, instale definitivamente um firewall para que não volte a acontecer.

O que instalar em 2026: resumo final

Percorra esta lista. Ela resolve a maioria das ameaças típicas em cinco minutos:

• Se o site estiver num alojamento barato e cada megabyte de memória contar, BBQ Firewall. Pesa menos de 10 KB e protege sem carga adicional.
• Se precisa de uma solução para «instalar e esquecer» com interface visual, AIOS. O próprio sistema de pontuação lhe dirá o que ativar.
• Se quer a máxima proteção e está disposto a pagar, Wordfence Premium como endpoint + Cloudflare Pro como WAF na cloud. Circuito duplo.
• Se o site já foi pirateado e precisa de uma limpeza garantida, Sucuri Platform. O único que faz a limpeza por si.
• Se o site for em WooCommerce, Kadence Security. O modelo de eCommerce ativa exatamente o que uma loja precisa.

Comece já com o Wordfence ou o AIOS gratuitos: uma verificação completa mostrará se existe algum problema. E partilhe nos comentários qual o plugin de firewall que já o salvou.