Manutenção de Sites: O Que Fazer e Com Que Frequência

Manutenção de site é a rotina de atualizar, testar, proteger e salvar cópia do que está no ar, para o site não quebrar nem ser invadido. Na prática são poucas tarefas repetidas em intervalos diferentes: algumas toda semana, outras todo mês, outras a cada trimestre. O ponto mais crítico não é o WordPress em si, são os plugins instalados.

• A maior parte das falhas de segurança vem de plugin desatualizado, não do WordPress.
• Backup testado é o único item que resolve qualquer desastre. Backup que nunca foi restaurado não conta.
• Atualizar direto no site que está no ar é o que gera aquela tela branca no pior momento.
• Site parado seis meses não fica igual: fica desatualizado, lento e exposto.
• Plugin abandonado pelo autor é risco silencioso, porque nunca mais recebe correção.
• Quem tem site institucional simples consegue fazer boa parte sozinho.

Muita gente só lembra da manutenção quando o site sai do ar, e aí o custo é sempre maior. Recuperar site invadido custa mais que manter, e ainda tira você do Google enquanto durar.

Este guia mostra o que fazer em cada intervalo, o que costuma dar errado e como decidir entre cuidar internamente ou contratar.

O que é manutenção de site e o que não é

Manutenção é o trabalho recorrente de manter o site funcionando, seguro e atualizado. Não é redesign, não é criar página nova e não é otimização para o Google.

A confusão é comum e gera frustração de parte a parte. Quem contrata manutenção esperando conteúdo novo se decepciona, e quem contrata SEO esperando atualização de plugin também.

O que está dentro da manutenção:

• Atualizar núcleo, tema e plugins.
• Fazer e testar backup.
• Monitorar se o site está no ar e se responde rápido.
• Corrigir erro, link quebrado e formulário que parou de enviar.
• Aplicar medidas de segurança e acompanhar tentativas de invasão.
• Limpar o que não é mais usado.

O que costuma ficar fora: criar página, escrever conteúdo, mudar layout, campanha e estratégia de busca. São serviços separados, e vale acertar isso antes de fechar.

Por que o risco mora nos plugins

A maior parte das vulnerabilidades do WordPress está em plugins, não no núcleo do sistema. Segundo o levantamento anual de segurança do ecossistema WordPress publicado pela Patchstack, 91% das vulnerabilidades divulgadas em 2025 estavam em plugins.

Isso muda a prioridade da rotina. Manter o WordPress atualizado é necessário, mas insuficiente se você tem dezoito plugins e metade deles parada há dois anos.

O que fazer com essa informação:

• Reduza a quantidade. Cada plugin é uma porta a mais. Plugin que não é usado deve sair, não ficar desativado.
• Verifique se o autor mantém. Plugin sem atualização há mais de um ano merece substituição.
• Prefira plugin com base grande de instalação, que costuma receber correção mais rápido.
• Nunca use versão pirata. Plugin adulterado é um dos vetores mais comuns de invasão, e o problema não aparece na hora.

O ponto que quase ninguém considera: desativar um plugin não remove o código do servidor. Se ele tem uma falha, ela continua acessível. Plugin que não se usa mais precisa ser excluído.

O que fazer toda semana

A rotina semanal é curta e serve para pegar problema cedo, quando ainda é barato resolver. Leva poucos minutos num site pequeno.

1. Atualize plugins e tema, olhando o que mudou antes de aplicar.
2. Confira se o site abre, no computador e no celular.
3. Teste o formulário de contato, enviando uma mensagem de verdade.
4. Olhe se o backup rodou e se o arquivo existe.
5. Verifique comentários e cadastros suspeitos, se o site permitir.

O teste do formulário é o item mais negligenciado e o que mais custa dinheiro. Formulário quebrado não avisa: o site parece funcionando e os contatos simplesmente param de chegar.

Um exemplo hipotético ilustra. Uma clínica trocou de servidor de e-mail e ninguém testou o formulário do site.

Durante cinco semanas os pedidos de agendamento sumiram no caminho. A clínica achou que o movimento tinha caído.

O que fazer todo mês

A rotina mensal é de verificação, não de correção rápida. Serve para ver o que está se degradando aos poucos.

• Atualize o núcleo do WordPress, depois de conferir compatibilidade com os plugins ativos.
• Rode um teste de velocidade e compare com o mês anterior.
• Procure links quebrados e erros de página não encontrada.
• Revise usuários com acesso, removendo quem não trabalha mais no projeto.
• Confira o espaço em disco e o tamanho do banco de dados.
• Restaure um backup em ambiente de teste, pelo menos de vez em quando.

Sobre usuários: conta antiga de ex-funcionário ou de agência anterior costuma ficar ativa por anos. É um acesso de administrador que ninguém controla mais.

O que fazer a cada três meses

O trimestre é para as decisões que pedem tempo e teste. São as tarefas que se adiam até virarem problema.

• Revise a lista de plugins e remova o que não é usado.
• Atualize a versão do PHP para uma versão ainda suportada, sempre testando antes.
• Confira o certificado de segurança e a data de renovação.
• Revise conteúdo desatualizado: preço antigo, horário mudado, serviço que não existe mais.
• Teste o site em conexão lenta e celular simples.
• Verifique a indexação no Search Console, para ver se alguma página saiu do índice.

Versão antiga de PHP é o item que mais gente ignora. Ela deixa de receber correção de segurança e costuma ser a diferença entre um site rápido e um site lento sem motivo aparente.

Backup: o item que salva de tudo

Backup é a única tarefa que resolve qualquer cenário, de invasão a erro humano. Também é a que mais gente acredita ter e não tem.

Um backup que funciona precisa de quatro coisas:

Requisito	Por quê
Automático	Backup manual depende de lembrar, e ninguém lembra
Fora do servidor do site	Se o servidor cair ou for invadido, o backup vai junto
Com histórico de versões	Problema descoberto uma semana depois exige voltar mais de um dia
Testado na restauração	Arquivo corrompido só se descobre na hora de usar

Em texto, para não ficar só na tabela: backup guardado no mesmo servidor do site não é backup, é cópia. E backup nunca restaurado é uma promessa, não uma garantia.

Vale combinar dois níveis. A hospedagem costuma oferecer backup próprio, e um segundo backup independente protege contra o caso em que o problema é a própria hospedagem.

O que costuma dar errado ao atualizar

O erro mais comum é atualizar tudo de uma vez direto no site que está no ar. Quando algo quebra, não se sabe qual atualização causou.

O que reduz o risco:

• Faça backup antes, sempre.
• Atualize um plugin por vez em sites críticos, testando entre um e outro.
• Prefira horários de pouco movimento.
• Tenha um ambiente de teste quando o site for importante para a operação.
• Depois de atualizar, abra a home, uma página interna e envie o formulário.

Sobre atualização automática: ela protege quem esqueceria de atualizar, e é melhor que ficar meses parado. Mas em site com muitos plugins e personalização, ela também é a origem de quebras inesperadas.

O meio-termo costuma ser ligar automática só para correções de segurança e manter as demais sob controle manual.

Quando algo quebrar, a sequência é: restaure o backup, identifique o plugin culpado num ambiente de teste e só então volte a atualizar. Tentar consertar no ar, com o site fora, é como trocar pneu com o carro andando.

Como saber se o site foi invadido

Invasão raramente aparece como uma tela avisando que o site foi hackeado. Na maior parte dos casos ela é discreta de propósito, porque quem invadiu quer usar seu site pelo maior tempo possível.

Sinais que costumam aparecer antes de alguém perceber:

• Páginas que você não criou aparecendo no Google quando pesquisa pelo seu domínio.
• Redirecionamento que só acontece para quem vem da busca, e não para quem digita o endereço.
• Site lento sem motivo, porque está sendo usado para disparar spam.
• Usuário administrador novo que ninguém cadastrou.
• Aviso do Search Console sobre conteúdo suspeito ou invasão.
• E-mails da sua empresa começando a cair no spam dos clientes.

O teste caseiro mais simples é pesquisar no Google por site seguido do seu domínio, sem espaço depois dos dois pontos. Se aparecerem páginas em outro idioma ou sobre assuntos que não são seus, o problema já está indexado.

O que fazer ao suspeitar: não saia apagando arquivo. Tire o site do ar temporariamente se for o caso, troque todas as senhas, restaure o último backup limpo e só então investigue como entraram.

O ponto que costuma ser esquecido é a origem. Restaurar sem descobrir a porta de entrada leva à reinfecção em poucos dias, quase sempre pelo mesmo plugin desatualizado.

Monitoramento: saber antes do cliente

Monitoramento é o que avisa que o site caiu antes de um cliente ligar reclamando. Existem serviços gratuitos que fazem isso, verificando o endereço de minuto em minuto e mandando alerta.

Vale monitorar três coisas diferentes, porque elas falham de formas distintas:

• Se o site responde, o básico de disponibilidade.
• Se o certificado de segurança está válido, porque ele vence e o site passa a exibir aviso de não seguro.
• Se o domínio está pago, que é a falha mais boba e mais constrangedora que existe.

Domínio vencido derruba site e e-mail ao mesmo tempo, e a recuperação nem sempre é imediata. Deixar renovação automática ativa resolve o problema por completo.

Fazer sozinho ou contratar

Site institucional simples, com poucos plugins, dá para manter internamente com uma rotina de meia hora por semana. A conta muda conforme a complexidade e o quanto o site sustenta a operação.

Dá para fazer internamente quando:

• O site tem poucas páginas e poucos plugins.
• Ninguém depende do site para vender no mesmo dia.
• Existe alguém com paciência para a rotina semanal.

Faz sentido contratar quando:

• O site é canal de venda ou agendamento.
• Existe loja virtual, integração ou área de cliente.
• Já houve invasão antes.
• Ninguém internamente quer ou consegue manter a rotina.

O que perguntar antes de fechar um contrato de manutenção: o que está incluído, com que frequência, onde ficam os backups, quanto tempo leva para atender uma urgência e o que acontece se o site for invadido. Contrato que não responde isso costuma virar discussão no pior momento.

Perguntas frequentes

Com que frequência preciso atualizar o WordPress?

Atualizações de segurança devem ser aplicadas assim que possível, porque falhas divulgadas passam a ser exploradas rapidamente. Atualizações maiores podem esperar alguns dias, tempo suficiente para plugins e tema se adaptarem, desde que não sejam correções críticas.

Meu site é simples e não vende nada. Preciso de manutenção?

Precisa, em escala menor. Site invadido costuma ser usado para hospedar página falsa ou disparar spam, o que pode tirar você do Google e sujar o domínio, mesmo que o site em si não gere receita.

Backup da hospedagem já basta?

Ajuda, mas depender só dele é arriscado. Se o problema for na própria hospedagem, ou se o backup dela tiver retenção curta, você fica sem alternativa. Um backup independente resolve esse cenário.

O que fazer se o site sair do ar agora?

Confira primeiro se o problema é geral ou só seu, testando o endereço em outra rede. Depois olhe se houve atualização recente e, havendo backup, restaure a última versão que funcionava antes de tentar consertar peça por peça.

Plugin desativado é seguro?

Não necessariamente. O código continua no servidor e, dependendo da falha, pode ser acessado mesmo sem o plugin estar ativo. Plugin sem uso deve ser excluído.

Quanto custa manter um site?

Varia com o tamanho, a quantidade de integrações e o tempo de resposta contratado. O que costuma pesar mais não é o número de páginas, e sim quanto o negócio perde se o site ficar fora do ar por um dia.

Por onde começar

Manutenção de site é rotina chata que evita problema caro. As tarefas são poucas e se repetem; o que falta quase sempre é constância, não conhecimento.

Comece pelo backup: confirme que existe, que está fora do servidor do site e que alguém já restaurou pelo menos uma vez. Sem isso, todo o resto é aposta.

Depois faça a limpeza dos plugins, que é onde mora a maior parte do risco, e só então monte a rotina semanal.

O critério para priorizar é o que acontece se falhar. Backup e plugins vêm primeiro porque a falha deles é irreversível ou perigosa; velocidade e limpeza de banco podem esperar.