Segurança de websites

Auditoria de segurança de websites

Não fazemos de tudo: vemos o que é visível de fora na tua loja online e avisamos-te antes que o Google te avise.

Análise de segurança, investigação de incidentes e monitorização mensal para lojas online em WordPress e WooCommerce.

Quero um diagnóstico rápido Como trabalhamos

60 000 HUF, valor descontado na análise completa.

Três serviços, uma equipa

  • Análise

    Procuramos os pontos fracos do teu website ou da tua loja online.

  • Gestão de incidentes

    Se o problema já existe: descobrimos o que aconteceu e recuperamos o website.

  • Monitorização contínua

    Se quiseres, a seguir tomamos conta do teu website de forma contínua.

Como trabalhamos

A análise externa

Doze passos, todos a partir de fontes públicas. O código-fonte do website e os cabeçalhos de resposta. O conteúdo indexado nos motores de pesquisa. O DNS e as definições de correio eletrónico, incluindo se é possível falsificar e-mails em nome do teu domínio. O estado do certificado e da cifragem. Os subdomínios esquecidos, a partir dos registos públicos de certificados. E as falhas publicadas para as versões identificadas.

Há uma regra que comanda tudo: quem decide é a resposta do servidor. O que ele serve sem autenticação é público. Aquilo que recusa, não tocamos.

O que nunca fazemos sem autorização

  • Tentativas de início de sessão
  • Transferência de ficheiros
  • Adivinhar caminhos
  • Análise de portas
  • Análise ativa de vulnerabilidades
  • «Provar» uma falha explorando-a

Com autorização, são ferramentas profissionais legítimas: com um contrato escrito, âmbito definido e janela temporal acordada, também as executamos. Sem autorização, não.

O que se vê de fora é a superfície. O que está dentro do servidor só uma análise interna pode dizer, e para isso é precisa a tua autorização por escrito.

Como começa a colaboração

  1. Contacto

    Escreve-nos e diz-nos de que website ou loja online se trata e qual é o problema, se já existir.

  2. Acesso sem palavra-passe

    Trabalhamos através do Claude Code Bridge, desenvolvido por nós: não tens de entregar a palavra-passe de FTP, da base de dados ou de administrador, e podes revogar o acesso a qualquer momento.

  3. Resultado e monitorização

    Mostramos-te o que encontrámos, recuperamos o que for preciso e, se quiseres, a seguir tomamos conta do teu website de forma contínua.

Os pormenores técnicos do acesso estão em claudecodebridge.com (em inglês).

Os oito passos do trabalho interno

  1. Comparo o núcleo do sistema com as somas de verificação oficiais. Já houve um caso em que foi só isto que revelou a infeção inteira.

  2. Encontro o ponto de entrada nos registos, ao segundo. Sem isso, não se sabe o que estamos a limpar nem quando é que acaba.

  3. Cada padrão corre primeiro em modo de simulação, e uma pessoa revê a lista, ficheiro a ficheiro.

  4. Na limpeza não se apaga nada: vai tudo para quarentena, de forma reversível.

  5. Fecho o caminho de entrada: palavra-passe, sessões, chaves, acesso ao alojamento.

  6. Sem isto, a limpeza só serve para recomeçarmos no dia seguinte.

  7. Depois do trabalho, volto a medir, com o mesmo método.

  8. No relatório entra a medição, não a minha opinião.

O que recebes no fim

  • Um relatório escrito com horas e medições, que outro especialista consegue verificar.
  • Um resumo claro: o que aconteceu, o que não aconteceu, o que há a fazer e o que é urgente.
  • Uma lista detalhada do que não aconteceu. É a parte que costuma faltar noutros sítios.
  • Uma lista de indicadores para verificares os teus outros websites segundo o mesmo padrão.

Casos

Vinte e um casos, sem nomes de clientes

De investigações reais. Por trás de cada número há uma medição.

99 s
Foi o tempo que passou entre um início de sessão bem-sucedido e o controlo total, sem uma única operação irregular. O atacante não forçou nada: limitou-se a entrar.
51 dias
Foi o tempo que um ataque decorreu sem ser detetado, até alguém de fora dar o alerta.
23 073
páginas de produtos falsas apareceram nos motores de pesquisa sob um domínio húngaro. Um visitante humano não via nada disto.
100+
execuções, zero resultados. O detetor de malware corria todas as noites no servidor, só que vigiava a pasta errada.

Cinco lições que saíram de todos os vinte e um casos

  1. Na maioria das infeções graves, o ponto de entrada não foi uma falha de software, mas sim uma palavra-passe válida. Contra isso, as atualizações, por si só, não protegem.

  2. Um website infetado costuma funcionar na perfeição. Quem espera por sintomas começa tarde demais.

  3. A proteção existente muitas vezes só funciona no papel: está a olhar para o sítio errado, está desligada ou não corresponde por causa de um único carácter.

  4. Os registos são o bem mais valioso num incidente, e não se recuperam depois.

  5. A ordem da recuperação é tão importante como a própria limpeza. Na ordem errada, todo o trabalho vai por água abaixo, e isso não se vê de fora.

A frase que mais ouvimos: «no meu caso não há nada para roubar.» O atacante não quer os dados, quer um website a funcionar e com boa reputação como ponto de partida. Isso tem um custo, e não é zero.

Quero o material completo, com os 21 casos

Vinte e um, não vinte e oito. O arquivo de casos é maior, mas só 21 estão desenvolvidos. Não publicamos números que não consigamos demonstrar a pedido.

Preços

Publicamo-los porque não há nada a esconder. Todos os preços são líquidos, sem IVA.

Diagnóstico rápido

3 horas, um breve relatório escrito: se há problema e, se houver, qual a dimensão. O valor é descontado na análise completa, se a encomendares.

60 000 HUFQuero um diagnóstico rápido

Trabalhos pontuais

  • Análise de segurançaAuditoria completa de ficheiros e base de dados, documentação, plano de correção280 000 HUF
  • Investigação de incidentePreservação de vestígios, ponto de entrada, cronologia, lista completa de resultadosdesde 550 000 HUF
  • Correção e limpezaAo dia, com estimativa prévia200 000 HUF/dia
  • HardeningReforço da segurança sem infeção150 000 HUF
  • Remoção de listas negrasLimpeza de spam nos motores de pesquisa120 000 HUF
  • Execução urgenteNo prazo de 24–48 horas+80%

Não damos um preço fixo para a correção antes da análise. Até lá não se vê a dimensão do trabalho, e quem dá um preço fixo à partida ou está a adivinhar ou já te cobrou o risco.

Monitorização

  • Base

    45 000 HUF/mês

    Verificação mensal, relatório mensal

  • Recomendado

    Standard

    90 000 HUF/mês

    Verificação semanal, tempo de resposta de 48 horas, auditoria aprofundada trimestral

  • Crítico

    180 000 HUF/mês

    Tempo de resposta de 24 horas, 2 horas mensais para incidentes

A limpeza é um levantamento do estado, não uma proteção. Hoje, quando há um problema, quem o deteta é alguém de fora: o Google, o fornecedor de alojamento ou um cliente. O contrato de monitorização serve para uma coisa: somos nós a avisar primeiro.

Quem faz a investigação?

Gábor Vidovics, especialista em gestão de incidentes de segurança de websites

Gábor Vidovics

especialista em gestão de incidentes de segurança de websites

Trabalho em informática há quase trinta anos, mais de vinte deles como programador e responsável técnico. Hoje dedico-me a investigar e recuperar websites pirateados, lentos ou com comportamento suspeito, e a garantir que, depois de arrumados, não volta a acontecer nada.

Não forço o sistema, procuro compreendê-lo: com base nos registos, nos ficheiros e na base de dados, reconstituo o que aconteceu, por onde entrou o atacante e o que é preciso fechar para que não volte. Meço, não adivinho; ponho em quarentena, não apago: os teus dados ficam intactos durante a investigação.

Trabalhei com muitos tipos de código, do PHP nativo às grandes frameworks, por isso também aceito os websites feitos à medida em que «já ninguém se atreve a mexer». Ponho o mesmo cuidado na manutenção planeada e quando a casa está a arder, e também aí levo o caso até ao fim.

A Wednesday Agency, marca da 30km.hu Kft., é uma agência de marketing digital com oito anos de atividade e presença em Budapeste e Londres. Número de registo comercial: 07-09-029835 · NIF: 24382315-2-07.

Sobre a agência (em inglês)(abre num novo separador)

Vamos falar

Se a situação for urgente (o Google deu o alerta, o fornecedor de alojamento avisou ou estás a ver algo estranho no website), escreve-nos e põe a palavra «URGENTE» no assunto. Estes casos são tratados com prioridade.

info@30km.hu Quero uma auditoria

Em dias úteis, respondemos no prazo de 6 horas. Indica o teu domínio e o que estás a notar: para a primeira resposta, chega.

Não prometemos 24/7, porque não o conseguiríamos cumprir. O que assumimos, cumprimos.

E-mail Fala connosco