Publicou um artigo e, uma semana depois, o texto já está no site de outra pessoa. Mudam os links para os deles, configuram redirecionamentos e recolhem o seu tráfego. O botão «Ver código-fonte» no navegador torna o roubo de conteúdo uma questão de alguns cliques: Ctrl+U e todo o HTML com texto fica exposto.

Mas o problema é mais vasto do que a simples cópia. Através do «Ver código-fonte», um atacante vê a versão do WordPress, os nomes dos plugins instalados e os seus diretórios, e isso já é um vetor de ataque pronto. Um scanner de vulnerabilidades encontra um exploit em minutos se souber o que e onde procurar.

O WordPress em si não fornece um interruptor integrado para «desativar a visualização de código». Precisa de um plugin, e não há muitos se contarmos os que realmente funcionam. Abaixo, analisamos duas ferramentas que bloqueiam o «Ver código-fonte», além de um método bónus para mascarar os vestígios do WordPress.

💡 Visão geral rápida:

• Ficará a saber que informações o «Ver código-fonte» revela e porque são perigosas
• Vamos percorrer a instalação do WPShield Content Protector com 16 módulos de proteção
• Vamos configurar o WP Content Copy Protection para desativar o código-fonte
• Vamos esconder o facto de usar WordPress dos bots e scanners de vulnerabilidades

O que o «Ver código-fonte» revela e porque é perigoso

O código-fonte da página não é apenas marcação HTML. Ele mostra:

• Versão exata do WordPress. Os scanners de hackers recolhem automaticamente a versão do CMS e selecionam exploits para vulnerabilidades conhecidas.
• Nomes e caminhos dos plugins. Cada wp-content/plugins/<slug> no código informa quais as extensões instaladas no site, e cada uma delas pode ter o seu próprio CVE.
• Estrutura do tema. Nomes de ficheiros de template, tipos de posts personalizados, campos meta, tudo isto facilita a engenharia reversa.
• Comentários do programador. <!-- TODO: fix auth --> ou chaves de API comentadas no HTML ainda são encontradas, e o «Ver código-fonte» torna-as públicas.

Fechar o código-fonte não é paranoia, mas uma camada padrão de defesa em profundidade, que complementa as medidas básicas: palavras-passe fortes, autenticação de dois fatores, atualizações atempadas e uma firewall ao nível do servidor web.

1. WPShield Content Protector, suite de proteção premium

O WPShield Content Protector (anteriormente Content Protector Pack da BetterStudio) cresceu de um plugin de proteção de código para um kit completo de 16 módulos. Cada módulo é um interruptor separado para um vetor de ataque específico:

• View Source Protector, desativa a abertura do código-fonte via Ctrl+U, clique direito e F12.
• Developer Tools Protector, bloqueia as DevTools não só por F12, mas também por Ctrl+Shift+I, Ctrl+Shift+J e Ctrl+Shift+C.
• Right Click Menu Disabler, desativa totalmente o menu de contexto, incluindo «Guardar imagem» e «Imprimir».
• Right Click Menu Limiter (pro), o menu é mostrado, mas os itens «Copiar» e «Ver código» ficam indisponíveis.
• Feeds Protector, remove os feeds RSS/Atom que os blogs automáticos usam para análise.
• Hotlinking Protector, proíbe a incorporação direta das suas imagens noutros sites.

O plugin é pago. O preço depende do número de sites, a licença inclui atualizações e suporte. Ao comprar, obtém acesso a todos os 16 módulos de uma vez, sem custos ocultos para funcionalidades individuais.

Instalação e ativação da proteção

• Descarregue o arquivo zip do plugin na sua área pessoal em wpshield.com.
• No admin do WordPress: Plugins → Adicionar Novo → Enviar Plugin.
• Selecione o arquivo e clique em «Instalar», depois em «Ativar».

• Após a ativação, aparece uma secção WPShield no menu esquerdo. Vá a Content Protector.

• Encontre o módulo View Source Protector e mude o interruptor para Enabled.
• Guarde as alterações.

A partir deste momento, o Ctrl+U, o clique direito e «Ver código» não funcionam para utilizadores não autenticados. Os motores de busca veem o conteúdo na íntegra, o plugin não interfere com a renderização do lado do servidor, apenas com o lado do cliente.

2. WP Content Copy Protection, forma gratuita de fechar o código

O WP Content Copy Protection da Tyche Softwares funciona com base no princípio de «ligar e esquecer»: sem páginas de configurações, após a ativação a proteção é ativada imediatamente.

O que é bloqueado na versão gratuita: visualização do código-fonte via Ctrl+U, clique direito e tecla F, seleção de texto com o rato e arrastar e largar, guardar imagens através do menu de contexto, combinações Ctrl+A, Ctrl+C, Ctrl+X, Ctrl+S, Ctrl+P, acesso direto ao diretório /wp-content/uploads/.

Sem janelas pop-up, a proteção funciona silenciosamente sem degradar a experiência do utilizador. O plugin é compatível com WooCommerce e a maioria dos temas.

Nuance importante: a última atualização foi lançada em junho de 2023, e a ficha no WordPress.org mostra um aviso «não testado com as últimas três versões principais do WP». Em versões recentes do WordPress o plugin funciona, mas não são adicionadas novas funcionalidades, o programador está focado em produtos comerciais. Se precisar de compatibilidade futura garantida, opte pelo WPShield.

A versão premium adiciona proteção de Print Screen, máscaras CSS avançadas para imagens, desativação de feeds RSS e desativação seletiva da proteção para utilizadores registados.

Bónus: como esconder que o site funciona com WordPress

Desativar o «Ver código-fonte» é bom. Mas há outro nível: garantir que um scanner nem sequer percebe que está perante um site WordPress.

• Remover a meta-tag generator. No functions.php adicione: remove_action('wp_head', 'wp_generator');. A tag <meta name="generator" content="WordPress X.X"> desaparecerá do head.
• Esconder a versão do WP. Além da meta-tag, a versão é visível nos parâmetros de consulta de scripts e estilos (?ver=X.X). Snippet para remoção: add_filter('style_loader_src', 'remove_version_query', 999); add_filter('script_loader_src', 'remove_version_query', 999); function remove_version_query($src) { return remove_query_arg('ver', $src); }.
• Renomear diretórios. Os caminhos padrão wp-content, wp-includes e wp-admin denunciam o site a scanners passivos. Plugins como o Hide My WP Ghost alteram-nos para caminhos personalizados.
• Alterar a estrutura de permalinks. O padrão ?p=123 é outro marcador do WordPress. URLs amigáveis como /post-name/ resolvem este problema.

Nenhum destes métodos proporciona anonimato absoluto, um especialista experiente identificará o CMS por sinais indiretos. Mas elimina bots e scanners automáticos, e são eles que geram o principal fluxo de ataques a sites WordPress.

Vídeo: configuração completa da proteção de conteúdo

Este vídeo mostra o processo de instalação e configuração de plugins de proteção de conteúdo, desde desativar o clique direito até esconder o código-fonte. Todos os passos a partir do ecrã, num site WordPress real.

⁉️🤔 Perguntas frequentes

Desativar o «Ver código-fonte» protege contra pirataria informática?

Não, por si só não protege. Esta é uma camada de segurança por obscuridade: um atacante não vê a versão do WP e a lista de plugins, por isso não pode escolher automaticamente um exploit. Mas se o site tiver um plugin vulnerável com uma falha, encontrá-la-á por outros métodos. A proteção do «Ver código-fonte» funciona apenas em conjunto com atualizações regulares, uma firewall e um conjunto mínimo de plugins.

O bloqueio do clique direito afeta o SEO?

Não. Os bots de pesquisa obtêm o HTML diretamente do servidor, e a proteção JavaScript só funciona no navegador do utilizador. O Google, o Yandex e o Bing veem o conteúdo na íntegra. Na prática, o ranking de sites com a proteção ativada não difere do normal.

A proteção do «Ver código-fonte» pode ser contornada?

Sim. A forma mais simples é desativar o JavaScript no navegador ou usar as ferramentas de programador abertas antes de a página carregar. A proteção não foi concebida para o contorno deliberado por um especialista, a sua tarefa é eliminar a cópia em massa e os scanners automáticos de vulnerabilidades.

O que escolher: WPShield ou WP Content Copy Protection?

Se precisa de um interruptor «ligar e esquecer» sem custos, WP Content Copy Protection. Se precisa de um escudo abrangente com proteção contra Print Screen, DevTools, feeds RSS e a capacidade de configurar de forma flexível para funções de utilizador, WPShield Content Protector.

Um plugin de proteção de conteúdo torna o site mais lento?

Ambos os plugins têm um impacto mínimo na velocidade. O WP Content Copy Protection adiciona um ficheiro JS (cerca de 5 KB comprimido). O WPShield carrega scripts apenas para os módulos ativos, se ativou apenas o View Source Protector, os outros 15 módulos não carregam uma única linha de código.

Preciso de desativar a cache ao usar plugins de proteção?

Não. Os plugins de proteção de conteúdo injetam código JavaScript que é executado no navegador do visitante, independentemente da cache do servidor. Faça cache das páginas como habitualmente, isso não afeta o funcionamento da proteção. Após instalar ou atualizar o plugin, limpe a cache para que os novos scripts cheguem garantidamente a todas as páginas.

Vale a pena fechar o código-fonte e o que instalar

Desativar o «Ver código-fonte» não é uma bala de prata, mas um dos tijolos na muralha de segurança do site. Por si só, não vai parar um ataque direcionado, mas elimina a maior parte dos scanners automáticos e torna a análise de conteúdo em massa inútil.

Se o orçamento não permite soluções pagas, comece com o WP Content Copy Protection. Gratuito, ativação instantânea, configurações mínimas. Tenha apenas em mente que o plugin não é atualizado desde meados de 2023.

Se a proteção de conteúdo é crítica para si (monetização através de artigos únicos, cursos pagos, materiais fechados), adquira o WPShield Content Protector. Os 16 módulos fornecem uma cobertura que não pode ser alcançada com um conjunto de plugins gratuitos separados, e cada módulo é atualizado para as versões atuais do WordPress e dos navegadores.

E não se esqueça do mascaramento básico do WP no functions.php: cinco linhas de código da secção bónus custam zero $ e eliminam a maioria dos scanners automáticos antes mesmo de tentarem abrir o «Ver código-fonte».