{"id":1965,"date":"2024-10-09T11:37:51","date_gmt":"2024-10-09T03:37:51","guid":{"rendered":"https:\/\/www.openbyt.com\/after-all-is-said-and-done-more-is-said-than-done-2"},"modified":"2024-10-17T19:51:04","modified_gmt":"2024-10-17T11:51:04","slug":"after-all-is-said-and-done-more-is-said-than-done-2","status":"publish","type":"post","link":"https:\/\/www.openbyt.com\/pt\/depois-de-tudo-o-que-foi-dito-e-feito-e-mais-dito-do-que-feito-2","title":{"rendered":"Guia completo para o desenvolvimento seguro de plug-ins para WordPress"},"content":{"rendered":"

A seguran\u00e7a deve estar na vanguarda da sua mente quando cria plugins WordPress. Os plug-ins do WordPress s\u00e3o frequentemente um alvo principal para os atacantes devido \u00e0 sua utiliza\u00e7\u00e3o generalizada e ao potencial acesso a dados sens\u00edveis. Uma \u00fanica vulnerabilidade num plug-in pode comprometer todo um s\u00edtio Web, conduzindo a viola\u00e7\u00f5es de dados, desfigura\u00e7\u00e3o ou outros impactos graves. Um plug-in seguro mant\u00e9m os dados dos utilizadores seguros e protege-os contra ataques comuns, garantindo uma experi\u00eancia fi\u00e1vel e de confian\u00e7a. Abaixo, vamos percorrer algumas das melhores pr\u00e1ticas essenciais para criar plug-ins WordPress seguros e partilharei alguns exemplos pr\u00e1ticos.<\/p>

\"\"<\/figure>

1. Utilize Nonces para seguran\u00e7a de formul\u00e1rios e URLs<\/strong><\/p>

Os nonces s\u00e3o vitais para a prote\u00e7\u00e3o contra ataques de falsifica\u00e7\u00e3o de pedidos entre s\u00edtios (CSRF). Eles ajudam a verificar a autenticidade dos pedidos, especialmente para formul\u00e1rios e URLs que realizam opera\u00e7\u00f5es sens\u00edveis. Sempre que criar um formul\u00e1rio ou URL, gere um nonce usando wp_nonce_field() ou wp_create_nonce() do WordPress. No lado do servidor, deve validar o nonce com check_admin_referer() ou check_ajax_referer().<\/p>

se (isset($_POST['my_nonce']) && wp_verify_nonce($_POST['my_nonce'], 'my_action')) {\n    \/\/ Seguro para prosseguir com a a\u00e7\u00e3o\n}<\/code><\/pre>
\"\"<\/figure>
Este tipo de prote\u00e7\u00e3o tamb\u00e9m pode ser aplicado a pedidos AJAX para garantir que s\u00e3o provenientes de utilizadores autorizados:<\/p>
add_action('wp_ajax_my_secure_action', 'my_secure_ajax_handler');\nfunction my_secure_ajax_handler() {\n    check_ajax_referer('my_secure_nonce', 'security');\n    \/\/ Trate o pedido\n    wp_die();\n}<\/code><\/pre>
\"\"<\/figure>
2. Limpe e valide as entradas do utilizador<\/strong><\/p>
Uma das formas mais f\u00e1ceis de um atacante comprometer o seu plugin \u00e9 injectando dados maliciosos. \u00c9 por isso que a higieniza\u00e7\u00e3o e valida\u00e7\u00e3o de cada entrada do utilizador \u00e9 fundamental. O WordPress oferece v\u00e1rias fun\u00e7\u00f5es incorporadas para o ajudar a fazer isto:<\/p>
  • sanitize_text_field()<\/strong><\/code>: Para campos de texto simples.<\/li>\n\n
  • sanitize_email()<\/strong><\/code>: Para endere\u00e7os de correio eletr\u00f3nico.<\/li>\n\n
  • esc_url()<\/strong><\/code>: Para URLs.<\/li><\/ul>
    Estas fun\u00e7\u00f5es s\u00e3o \u00f3ptimas para cen\u00e1rios b\u00e1sicos. No entanto, pode utilizar a fun\u00e7\u00e3o filter_var() do PHP para casos mais espec\u00edficos. Por exemplo, para validar um n\u00famero inteiro:<\/p>
    $input = filter_var($_POST['user_input'], FILTER_VALIDATE_INT);\nSe ($input !== false) {\n    \/\/ A entrada \u00e9 v\u00e1lida\n}<\/code><\/pre>
    Para cen\u00e1rios mais complexos, como quando precisa de validar entradas de escolha m\u00faltipla, considere utilizar a valida\u00e7\u00e3o personalizada:<\/p>
    $valid_options = ['option_1', 'option_2', 'option_3'];\nSe (in_array($_POST['op\u00e7\u00e3o_seleccionada'], $valid_options, true)) {\n    \/\/ A entrada \u00e9 v\u00e1lida\n}<\/code><\/pre>
    Isto garante que apenas os valores esperados s\u00e3o processados, reduzindo o risco de problemas inesperados.<\/p>
    \"\"<\/figure>
    3. Sa\u00eddas de escape<\/strong><\/p>
    O escape de sa\u00edda \u00e9 crucial para evitar ataques de Cross-Site Scripting (XSS). Sempre que estiver a apresentar dados aos utilizadores, utilize as fun\u00e7\u00f5es de escape do WordPress, como:<\/p>
    • esc_html()<\/strong><\/code>: Para escapar ao conte\u00fado HTML.<\/li>\n\n
    • esc_attr()<\/strong><\/code>: Para valores de atributos.<\/li>\n\n
    • esc_url()<\/strong><\/code>: Para URLs.<\/li><\/ul>
      Eis um exemplo:<\/p>
      echo esc_html($user_input);<\/code><\/pre>
      Isto impede que c\u00f3digo potencialmente perigoso seja executado no browser, mantendo os seus utilizadores seguros.<\/p>
      \"\"<\/figure>
      4. Consultas seguras a bases de dados<\/strong><\/p>
      Para evitar a inje\u00e7\u00e3o de SQL, utilize sempre o $wpdb<\/code> da classe de instru\u00e7\u00f5es preparadas. Evite concatenar as entradas do utilizador diretamente nas consultas SQL. Em vez disso, utilize marcadores de posi\u00e7\u00e3o:<\/p>
      $results = $wpdb->get_results($wpdb->prepare(\"SELECT * FROM {$wpdb->prefix}my_table WHERE id = %d\", $id));<\/code><\/pre>
      A prepara\u00e7\u00e3o de instru\u00e7\u00f5es garante que as entradas do utilizador s\u00e3o adequadamente escapadas e tratadas como dados e n\u00e3o como c\u00f3digo SQL execut\u00e1vel.<\/p>
      \"\"<\/figure>
      5. Tratar corretamente as fun\u00e7\u00f5es e capacidades dos utilizadores<\/strong><\/p>
      Ao criar funcionalidades que envolvem diferentes n\u00edveis de permiss\u00f5es de utilizador, utilize current_user_can() para garantir que apenas os utilizadores com as capacidades adequadas podem executar ac\u00e7\u00f5es espec\u00edficas:<\/p>
      se (actual_user_can('manage_options')) {\n    \/\/ Apenas permita que os administradores executem este c\u00f3digo\n}<\/code><\/pre>
      Para uma gest\u00e3o avan\u00e7ada de fun\u00e7\u00f5es, pode definir capacidades personalizadas e atribu\u00ed-las a fun\u00e7\u00f5es espec\u00edficas, o que o ajuda a manter um controlo apertado sobre quem pode aceder a partes sens\u00edveis do seu plugin.<\/p>
      \"\"<\/figure>
      6. Proteja-se contra XSS (Cross-Site Scripting)<\/strong><\/p>
      Os ataques XSS s\u00e3o uma das vulnerabilidades mais comuns que existem. Limpe sempre as entradas do utilizador e escape \u00e0 sa\u00edda, como mencionado anteriormente. Se precisar de permitir etiquetas HTML espec\u00edficas, utilize wp_kses() para as filtrar com seguran\u00e7a:<\/p>
      $allowed_tags = [\n    'a' => [\n        'href' => [],\n        'title' => []\n    ],\n    'b' => [],\n    'em' => []\n];\n$safe_html = wp_kses($user_input, $allowed_tags);<\/code><\/pre>
      Desta forma, pode permitir alguma formata\u00e7\u00e3o b\u00e1sica, mantendo os utilizadores protegidos.<\/p>
      \"\"<\/figure>
      7. Tenha cuidado com o tratamento de ficheiros<\/strong><\/p>
      Os carregamentos de ficheiros podem ser um enorme risco de seguran\u00e7a se n\u00e3o forem tratados corretamente. Para reduzir estes riscos, permita apenas tipos de ficheiros espec\u00edficos, verifique os tipos MIME e carregue os ficheiros para uma localiza\u00e7\u00e3o segura:<\/p>
      $allowed_file_types = ['jpg', 'jpeg', 'png', 'pdf'];\n$file_type = wp_check_filetype(basename($_FILES['file']['name']));\nSe (in_array($file_type['ext'], $allowed_file_types)) {\n    \/\/ Prossiga com o carregamento\n}<\/code><\/pre>
      Pode utilizar wp_handle_upload()<\/code> para gerir com seguran\u00e7a os carregamentos de acordo com as diretrizes do WordPress:<\/p>
      $uploaded_file = wp_handle_upload($_FILES['file'], ['test_form' => false]);\nSe ($uploaded_file && !isset($uploaded_file['error'])) {\n    \/\/ Ficheiro carregado com sucesso\n}<\/code><\/pre>
      \u00c9 tamb\u00e9m uma boa pr\u00e1tica limitar o tamanho dos ficheiros carregados e efetuar verifica\u00e7\u00f5es de seguran\u00e7a adicionais, como a an\u00e1lise de v\u00edrus ou a verifica\u00e7\u00e3o da integridade do ficheiro utilizando uma fun\u00e7\u00e3o hash.<\/p>
      \"\"<\/figure>
      8. Pedidos AJAX seguros<\/strong><\/p>
      O AJAX \u00e9 uma excelente forma de tornar o seu plugin mais din\u00e2mico, mas \u00e9 essencial proteg\u00ea-lo corretamente. Certifique-se de que todos os pedidos AJAX validam um nonce e verificam as capacidades do utilizador:<\/p>
      add_action('wp_ajax_my_action', 'my_ajax_handler');\nfunction my_ajax_handler() {\n    check_ajax_referer('my_nonce', 'security');\n    se (current_user_can('edit_posts')) {\n        \/\/ Trate o pedido\n    }\n    wp_die();\n}<\/code><\/pre>
      Para manter o seu plugin seguro, lembre-se de proteger tanto as ac\u00e7\u00f5es AJAX autenticadas (wp_ajax_) como as n\u00e3o autenticadas (wp_ajax_nopriv_).<\/p>
      \"\"<\/figure>
      9. Mantenha os dados sens\u00edveis seguros<\/strong><\/p>
      Nunca codifique dados sens\u00edveis, como chaves de API, diretamente no seu plugin. Em vez disso, armazene-os de forma segura usando a API de op\u00e7\u00f5es do WordPress ou em vari\u00e1veis de ambiente:<\/p>
      update_option('my_plugin_api_key', sanitize_text_field($api_key));<\/code><\/pre>
      Desta forma, as informa\u00e7\u00f5es sens\u00edveis permanecem ocultas e menos acess\u00edveis a potenciais atacantes.<\/p>
      \"\"<\/figure>
      10. Siga o princ\u00edpio do menor privil\u00e9gio<\/strong><\/p>
      D\u00ea aos utilizadores e processos apenas as permiss\u00f5es de que necessitam. Se uma tarefa n\u00e3o necessitar de privil\u00e9gios de administrador, n\u00e3o os utilize. Este princ\u00edpio ajuda a limitar os danos que uma conta de utilizador comprometida pode causar.<\/p>
      \"\"<\/figure>
      11. Proteja-se contra ataques de for\u00e7a bruta<\/strong><\/p>
      Os ataques de for\u00e7a bruta s\u00e3o comuns, especialmente nos formul\u00e1rios de in\u00edcio de sess\u00e3o. Pode utilizar plugins como o Wordfence ou implementar a sua pr\u00f3pria fun\u00e7\u00e3o de limita\u00e7\u00e3o de taxas:<\/p>
      fun\u00e7\u00e3o limit_login_attempts() {\n    $ip_address = $_SERVER['REMOTE_ADDR'];\n    $attempts = get_transient('login_attempts_' . $ip_address);\n\n    se ($attempts >= 5) {\n        wp_die('Demasiadas tentativas de in\u00edcio de sess\u00e3o. Por favor, tente novamente mais tarde.');\n    }\n\n    set_transient('login_attempts_' . $ip_address, $attempts + 1, 60 * 15); \/\/ Limite a 5 tentativas por 15 minutos\n}\nadd_action('wp_login_failed', 'limit_login_attempts');<\/code><\/pre>
      Esta estrat\u00e9gia simples pode ajudar a proteger o seu plugin de ataques de for\u00e7a bruta.<\/p>
      \"\"<\/figure>
      12. Registe as ac\u00e7\u00f5es sens\u00edveis<\/strong><\/p>
      O registo \u00e9 essencial para seguir actividades suspeitas. Se um utilizador alterar as defini\u00e7\u00f5es do plug-in ou falhar demasiadas tentativas de in\u00edcio de sess\u00e3o, deve registar estes eventos para an\u00e1lise futura:<\/p>
      function log_action($message) {\n    $log_file = WP_CONTENT_DIR . '\/plugin_logs.txt';\n    $current_time = current_time('mysql');\n    file_put_contents($log_file, \"[$current_time] $message\\n\", FILE_APPEND);\n}\n\nlog_action('Defini\u00e7\u00f5es do plugin alteradas pelo ID do utilizador ' . get_current_user_id());<\/code><\/pre>
      \"\"<\/figure>
      13. Plug-ins de seguran\u00e7a recomendados<\/strong><\/p>
      Para aumentar ainda mais a seguran\u00e7a do seu plugin, recomende alguns plugins de grande confian\u00e7a. Wordfence<\/strong> e Sucuri<\/strong> s\u00e3o \u00f3ptimas op\u00e7\u00f5es. Oferecem funcionalidades como prote\u00e7\u00e3o por firewall, verifica\u00e7\u00e3o de malware e seguran\u00e7a de in\u00edcio de sess\u00e3o que podem proporcionar uma camada adicional de defesa.<\/p>
      • Wordfence<\/strong>: Firewall de ponto de extremidade e verifica\u00e7\u00e3o de malware.<\/li>\n\n
      • Sucuri<\/strong>: Auditoria de seguran\u00e7a, dete\u00e7\u00e3o de malware e prote\u00e7\u00e3o DDoS.<\/li><\/ul>
        A sua utiliza\u00e7\u00e3o, juntamente com as funcionalidades de seguran\u00e7a incorporadas no seu plug-in, cria um sistema de defesa robusto.<\/p>
        \"\"<\/figure>
        14. Integra\u00e7\u00e3o segura com o WooCommerce<\/p>
        O WooCommerce \u00e9 extremamente popular nos EUA e na Europa, por isso, se o seu plug-in estiver integrado, trate todos os dados corretamente. Valide e desinfecte todas as entradas, especialmente quando se trata de encomendas ou informa\u00e7\u00f5es de pagamento. Tamb\u00e9m pode utilizar as fun\u00e7\u00f5es integradas do WooCommerce para tratar os dados de pagamento de forma segura.<\/p>
        Por exemplo:<\/p>
        $order = wc_get_order($order_id);\nse ($order) {\n    $total = $order->get_total();\n    \/\/ Efectue opera\u00e7\u00f5es seguras com a encomenda\n}<\/code><\/pre>
        Respeite as pr\u00e1ticas de seguran\u00e7a do WooCommerce e garanta a seguran\u00e7a de todos os dados dos clientes que manuseia.<\/p>
        \"\"<\/figure>
        15. Utilize a autentica\u00e7\u00e3o multi-fator (MFA)<\/strong><\/p>
        Ativar a autentica\u00e7\u00e3o multi-fator (MFA) \u00e9 uma excelente forma de adicionar uma camada extra de seguran\u00e7a, especialmente para contas de administrador. Muitos plug-ins, como o Duo<\/strong> ou Google Authenticator<\/strong>permitem-lhe adicionar facilmente o MFA \u00e0 sua instala\u00e7\u00e3o do WordPress, dificultando o acesso n\u00e3o autorizado dos atacantes.<\/p>
        \"\"<\/figure>
        16. Localize e teste em diferentes regi\u00f5es<\/strong><\/p>
        Se planeia alcan\u00e7ar um p\u00fablico internacional, \u00e9 crucial localizar o seu plugin e certificar-se de que funciona em diferentes ambientes:<\/p>
        • Suporte multilingue<\/strong>: Para tornar o seu plugin f\u00e1cil de traduzir, utilize as fun\u00e7\u00f5es de localiza\u00e7\u00e3o do WordPress, como __() e _e().<\/li>\n\n
        • Tratamento do fuso hor\u00e1rio<\/strong>: Certifique-se de que o seu plugin lida corretamente com diferentes fusos hor\u00e1rios, especialmente se envolver agendamento.<\/li><\/ul>
          Testar o seu plugin em diferentes defini\u00e7\u00f5es de idioma e fusos hor\u00e1rios do servidor ajud\u00e1-lo-\u00e1 a garantir a compatibilidade com utilizadores de todo o mundo.<\/p>
          Al\u00e9m disso, garante a conformidade com o RGPD, tratando os dados pessoais de forma respons\u00e1vel, fornecendo op\u00e7\u00f5es de consentimento claras e permitindo que os utilizadores eliminem ou exportem os seus dados mediante pedido.<\/p>
          \"\"<\/figure>
          17. Configure o WordPress para obter o m\u00e1ximo de seguran\u00e7a<\/strong><\/p>
          Para al\u00e9m de proteger o seu plugin, a configura\u00e7\u00e3o do WordPress \u00e9 essencial para uma seguran\u00e7a m\u00e1xima. Aqui ficam algumas sugest\u00f5es:<\/p>
          • Restrinja o acesso a ficheiros sens\u00edveis<\/strong>: Utilize .htaccess para restringir o acesso a ficheiros como wp-config.php.<\/li>\n\n
          • Desativar a edi\u00e7\u00e3o de ficheiros<\/strong>: Impe\u00e7a a edi\u00e7\u00e3o de ficheiros atrav\u00e9s do painel de controlo do WordPress, adicionando esta linha ao wp-config.php:<\/li><\/ul>
            defina('DISALLOW_FILE_EDIT', true);<\/code><\/pre>
            • Limite as tentativas de in\u00edcio de sess\u00e3o<\/strong>: Utilize plugins de seguran\u00e7a ou c\u00f3digo personalizado para limitar o n\u00famero de tentativas de in\u00edcio de sess\u00e3o.<\/li><\/ul>
              18. Mantenha o WordPress e os plug-ins actualizados<\/strong><\/p>
              N\u00e3o \u00e9 segredo que manter o WordPress, os temas e os plug-ins actualizados \u00e9 vital para a seguran\u00e7a. As actualiza\u00e7\u00f5es incluem frequentemente patches de seguran\u00e7a, por isso certifique-se de que tudo est\u00e1 atualizado.
              Considere a utiliza\u00e7\u00e3o de fornecedores de alojamento gerido que ofere\u00e7am actualiza\u00e7\u00f5es autom\u00e1ticas para garantir que o seu site permanece seguro.<\/p>
              \"\"<\/figure>
              19. Efectue testes de seguran\u00e7a<\/strong><\/p>
              Os testes de seguran\u00e7a regulares ajudam a identificar vulnerabilidades antes dos atacantes. Ferramentas como WPScan<\/strong> pode ser ben\u00e9fico para este fim:<\/p>
              # Exemplo de comando WPScan para verificar se h\u00e1 vulnerabilidades\nwpscan --url https:\/\/example.com --api-token YOUR_API_TOKEN<\/code><\/pre>
              Al\u00e9m disso, a realiza\u00e7\u00e3o de revis\u00f5es de c\u00f3digo e de testes de penetra\u00e7\u00e3o pode ajud\u00e1-lo a detetar pontos fracos no c\u00f3digo do seu plug-in.<\/p>
              \"\"<\/figure>
              Conclus\u00e3o<\/h2>
              A seguran\u00e7a deve ser sempre considerada ao desenvolver plug-ins do WordPress. Ao seguir estas pr\u00e1ticas recomendadas, estar\u00e1 mais bem equipado para proteger o seu plug-in e os seus utilizadores contra amea\u00e7as. \u00c9 um processo cont\u00ednuo, por isso continue a aprender, mantenha-se atualizado e pense em como tornar o seu plug-in mais seguro.<\/p>
              Desenvolver com uma mentalidade de seguran\u00e7a em primeiro lugar d\u00e1-lhe paz de esp\u00edrito e cria confian\u00e7a nos seus utilizadores, garantindo que eles podem utilizar o seu plugin com confian\u00e7a.<\/p>
              Recapitulando:<\/p>
              • Utilize nonces e valide as entradas.<\/li>\n\n
              • Proteja as consultas de bases de dados e as sa\u00eddas de escape.<\/li>\n\n
              • Trate os carregamentos de ficheiros com cuidado.<\/li>\n\n
              • Proteja os pedidos AJAX.<\/li>\n\n
              • Mantenha os dados sens\u00edveis em seguran\u00e7a e siga o princ\u00edpio do menor privil\u00e9gio.<\/li>\n\n
              • Proteja-se contra ataques de for\u00e7a bruta e registe ac\u00e7\u00f5es sens\u00edveis.<\/li>\n\n
              • Utilize os plug-ins de seguran\u00e7a recomendados e active a MFA.<\/li>\n\n
              • Teste para diferentes idiomas, fusos hor\u00e1rios e conformidade com o RGPD.<\/li>\n\n
              • Actualize regularmente e realize testes de seguran\u00e7a.<\/li><\/ul>
                Ao implementar estas pr\u00e1ticas, est\u00e1 no bom caminho para desenvolver um plugin WordPress seguro e fi\u00e1vel.<\/p>
                \"\"<\/figure>","protected":false},"excerpt":{"rendered":"
                A seguran\u00e7a deve estar na vanguarda da sua mente quando constr\u00f3i plugins WordPress. Os plugins WordPress s\u00e3o muitas vezes um alvo principal para os atacantes devido \u00e0 sua...<\/p>","protected":false},"author":1,"featured_media":2605,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[62,57],"tags":[232,230,231,229],"class_list":["post-1965","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-plugin-development","category-plugins-theme","tag-cross-site-scripting-prevention","tag-data-sanitization-and-validation","tag-multi-factor-authentication","tag-wordpress-plugin-security",""],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/posts\/1965","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/comments?post=1965"}],"version-history":[{"count":9,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/posts\/1965\/revisions"}],"predecessor-version":[{"id":3185,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/posts\/1965\/revisions\/3185"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/media\/2605"}],"wp:attachment":[{"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/media?parent=1965"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/categories?post=1965"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.openbyt.com\/pt\/wp-json\/wp\/v2\/tags?post=1965"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}