AltuscoreDiagnóstico de infraestrutura · INF-2026-QUI-001
Primeiro o caixa e o login, depois o resto.
O que o ataque de agosto encontrou aberto na loja da Quintal Orgânicos, e a ordem para fechar, uma porta de cada vez.
1.912
testes de cartão recusados em 48 h, no pico de agosto
painel do provedor de pagamento · 14/09
18.420
tentativas de login em 7 dias
log do servidor web · 28/09
1.912
testes de cartão recusados em 48 h, no pico de agosto
painel do provedor de pagamento · 14/09
18.420
tentativas de login em 7 dias
log do servidor web · 28/09
Brechas abertas (P0): Borda, Acesso, Pagamento. 3.206 · xmlrpc.php.
Preparado para Rita Albuquerque · Quintal Orgânicos1 ponto = 10 tentativas
Altuscore
Quintal Orgânicos · INF-2026-QUI-001
O diagnóstico
O que está aberto, o que depende de quem e em que ordem fechar
Cada item recebeu uma classificação e, quando é trabalho, uma prioridade por risco. O que depende da Rita, da hospedagem ou do provedor de pagamento está marcado com o nome.
Este documento não é um laudo de invasão: não houve invasão. É o levantamento do que a loja deixa aberto hoje e do que o ataque de agosto mostrou que alguém já sabe usar. Ele serve a duas conversas, a da Rita sobre o que decidir esta semana e a do desenvolvedor da loja, que precisa saber exatamente o que mudar e em que ordem para não derrubar o checkout.
010203050607100809041112131415161718192021
Fazer 7Validar 2Dependência 3Monitorar 3Conforme 3Fora do escopo 3
21 itens analisados — 7 para fazer, 2 a validar antes, 3 que dependem de outras equipes e 3 já conformes; além desses, 3 para monitorar e 3 fora do escopo do desenvolvimento. A lista não é de problemas: é o que fazer, o que ainda precisa ser confirmado, o que depende de outros e o que já está certo. Cada segmento é um item. As brechas do muro (Borda, Acesso, Pagamento) são os itens P0 “fazer”: os primeiros da fila.
O ponto de partida
O que o ataque de agosto deixou à mostra, contado
Medido antes de qualquer mudança, com a origem de cada número. É contra eles que a loja será medida daqui a 30 dias.
MedidaValor
Tentativas de login em wp-login.php, últimos 7 dias
Fonte: Log de acesso do servidor web, filtrado pela rota de login · medido em 28/09/2026 — quase todas de endereços que nunca acessaram a loja antes
18.420
Pedidos recusados de teste de cartão em 48 horas, pico de agosto
Fonte: Painel do provedor de pagamento, filtro por valor abaixo de R$ 5 e cartão recusado · medido em 14/09/2026 — o provedor avisou por e-mail que revisaria o recebimento da loja
1.912
Requisições a xmlrpc.php, últimos 7 dias
Fonte: Log de acesso do servidor web · medido em 28/09/2026 — a loja não usa nenhum aplicativo que dependa deste arquivo
3.206
Altuscore · Cloudflare e hardening do WordPress
Cloudflare e hardening · setembro de 2026 · 2
Altuscore
Quintal Orgânicos · INF-2026-QUI-001
Plugins com atualização de segurança pendente
Fonte: wp plugin list --update=available, executado no servidor · medido em 29/09/2026 — de 23 plugins instalados
6
Usuários com papel de administrador
Fonte: wp user list --role=administrator, cruzado com a lista de pessoas da equipe · medido em 29/09/2026 — 3 são de pessoas que já saíram da empresa
7
Cabeçalhos de segurança presentes na resposta da página inicial
Fonte: curl -I na página inicial, conferido contra a lista de 7 cabeçalhos deste plano · medido em 29/09/2026 — de 7 conferidos
2
Restaurações de backup testadas nos últimos 12 meses
Fonte: Conversa com o desenvolvedor da loja e histórico do painel de hospedagem · medido em 29/09/2026 — o backup diário existe; ninguém sabe dizer se ele volta
0
Como ler a classificação
FazerPode ser implementado diretamente pelo desenvolvimento7
ValidarPrecisa de acesso, ferramenta ou teste antes2
DependênciaDepende de SEO, conteúdo, infraestrutura ou marketing3
MonitorarEstá correto, mas precisa acompanhamento3
ConformeNão alterar3
Fora do escopoNão é atividade de desenvolvimento3
Prioridade: P0 Crítico / imediato · P1 Alto impacto · P2 Otimização · P3 Crescimento.
Fazer · 7
01PagamentoP0 · Crítico / imediato
O checkout aceita tentativas de cartão sem nenhum freio
Visto: No pico de agosto, tentativas em sequência vieram de um mesmo bloco de endereços pela rota de finalização da compra, sem desafio nem limite por origem; o provedor de pagamento recusou todas.
Ação: Criar regra de limite de tentativas por origem na rota de finalização e ligar o desafio Turnstile da Cloudflare no checkout, antes do envio ao provedor de pagamento.
Altuscore · Cloudflare e hardening do WordPress
Cloudflare e hardening · setembro de 2026 · 3
Altuscore
Quintal Orgânicos · INF-2026-QUI-001
02AcessoP0 · Crítico / imediato
Página de login recebe ataque em massa e aceita senha sem segundo fator
Visto: O log mostra a mesma rotina de tentativas ao longo dos 7 dias medidos; nenhum administrador usa autenticação em duas etapas.
Ação: Limitar tentativas em wp-login.php na Cloudflare e exigir segundo fator para todo papel de administrador e de gerente da loja.
03BordaP0 · Crítico / imediato
O domínio aponta direto para o servidor, sem Cloudflare na frente
Visto: Os registros A de quintalorganicos.exemplo e de www estão no DNS do registrador e resolvem para o endereço do servidor de hospedagem.
Ação: Criar a zona na Cloudflare, importar e conferir cada registro, ligar o proxy em raiz e www, e manter os registros de e-mail sem proxy. Modo SSL: Full (strict).
05AcessoP1 · Alto impacto
Sete administradores, três de pessoas que já saíram
Visto: A lista de administradores cruzada com a equipe atual mostra 3 contas sem dono, uma delas com último acesso há mais de um ano.
Ação: Rebaixar ou remover as contas sem dono, trocar a senha das que ficam e deixar só quem administra de fato com papel de administrador.
06WordPressP1 · Alto impacto
Plugins com correção de segurança publicada e não aplicada
Visto: Seis plugins têm atualização pendente; um deles não recebe versão nova há mais de dois anos e tem substituto mantido.
Ação: Atualizar os cinco plugins em ambiente de teste e depois em produção, e trocar o plugin sem manutenção pelo substituto, conferindo o checkout depois de cada passo.
07WordPressP1 · Alto impacto
xmlrpc.php aberto sem uso
Visto: O arquivo responde a qualquer origem e recebe milhares de chamadas por semana; nenhuma integração da loja depende dele.
Ação: Bloquear a rota na Cloudflare e, por garantia, desligar o filtro no WordPress.
10BordaP2 · Otimização
Cabeçalhos de segurança quase todos ausentes
Visto: A resposta da página inicial traz 2 dos 7 cabeçalhos do plano; faltam HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e proteção contra embutir a loja em outra página.
Ação: Aplicar os cinco por regra de transformação na Cloudflare, uma de cada vez, conferindo o checkout e o painel de pagamento depois de cada uma.
Altuscore · Cloudflare e hardening do WordPress
Cloudflare e hardening · setembro de 2026 · 4
Altuscore
Quintal Orgânicos · INF-2026-QUI-001
Validar · 2
08ServidorP1 · Alto impacto
Quem escreve em quê dentro da pasta pública
Visto: O painel de hospedagem mostra o wp-config.php com leitura liberada ao grupo; sem acesso ao servidor não foi possível ver qual usuário executa o PHP nem quais pastas ele pode gravar.
Ação: Com acesso SSH de leitura, conferir dono e permissão de wp-config.php, uploads e plugins, e travar a gravação fora de uploads.
09BackupP1 · Alto impacto
O backup diário nunca foi restaurado em teste
Visto: O painel de hospedagem confirma uma cópia diária dos arquivos e do banco; nenhuma restauração foi feita para ver se ela volta inteira.
Ação: Restaurar a cópia mais recente num ambiente separado, abrir a loja e fazer um pedido de teste; registrar quanto tempo levou.
Dependência · 3
04BordaP0 · Crítico / imediato
Troca dos servidores de nome no registrador
Visto: O registro do domínio está na conta da Rita; a Altuscore não tem acesso e não deve ter.
Ação: Rita troca os dois servidores de nome indicados pela Cloudflare no painel do registrador, em horário de baixo movimento, com a Altuscore acompanhando a propagação.
Depende de: Rita Albuquerque (acesso ao registrador)
11BordaP1 · Alto impacto
Servidor de hospedagem ainda atende quem não passa pela Cloudflare
Visto: Quem descobrir o endereço do servidor consegue falar com ele direto e contorna toda regra criada na Cloudflare.
Ação: Pedir ao provedor de hospedagem que aceite conexões web apenas das faixas publicadas pela Cloudflare.
Depende de: Provedor de hospedagem da Quintal Orgânicos
12PagamentoP2 · Otimização
Alerta quando o provedor de pagamento recusa muito em pouco tempo
Visto: Em agosto, o aviso do provedor chegou depois do pico; ninguém da loja foi avisado enquanto ele acontecia.
Ação: Configurar o aviso do provedor para o e-mail do financeiro e para o grupo da operação, com limite combinado.
Depende de: Provedor de pagamento da Quintal Orgânicos
Monitorar · 3
Altuscore · Cloudflare e hardening do WordPress
Cloudflare e hardening · setembro de 2026 · 5
Altuscore
Quintal Orgânicos · INF-2026-QUI-001
13Pagamento
Pedidos recusados por hora depois do desafio no checkout
Visto: Só existe medida de antes do desafio; a de depois define se o limite de tentativas está certo.
Ação: Medir por 30 dias no painel do provedor de pagamento e ajustar o limite com a Rita.
14Borda
Política de conteúdo (CSP) da loja
Visto: Uma política rígida pode quebrar o formulário de pagamento e o chat; ainda não foi medido o que a loja carrega.
Ação: Publicar em modo só relatório por 14 dias, ler as violações e só então aplicar.
15Acesso
Lista de administradores
Visto: Depois da limpeza, a lista volta a crescer toda vez que entra um prestador novo.
Ação: Revisar a cada trimestre e na saída de qualquer pessoa da equipe.
Conforme · 3
16Borda
Certificado HTTPS válido e com renovação automática
Visto: O certificado da hospedagem está válido e a renovação automática aparece ligada no painel.
17WordPress
Núcleo do WordPress em versão suportada
Visto: A versão instalada está na linha estável corrente e as atualizações automáticas de segurança estão ligadas.
18Servidor
Log de erro do PHP fora da pasta pública
Visto: O arquivo de log fica numa pasta acima do site e não responde por endereço web.
Fora do escopo · 3
19Pessoas
Treinamento da equipe contra e-mail falso
Visto: Não há registro de treinamento, e o ataque de agosto não veio por e-mail.
20E-mail
Autenticação de e-mail do domínio (SPF, DKIM, DMARC)
Visto: É assunto do serviço de domínio e e-mail, não deste diagnóstico.
21Pagamento
Regras antifraude do próprio provedor de pagamento
Visto: As regras ficam no painel do provedor e só a Rita tem acesso; aqui só se registra o aviso que ele mandou em agosto.
Altuscore · Cloudflare e hardening do WordPress
Cloudflare e hardening · setembro de 2026 · 6
Altuscore
Quintal Orgânicos · INF-2026-QUI-001
Leitura
O risco está no caixa e na porta de entrada do painel, não no resto
Dois pontos concentram o risco. O primeiro é o caixa: a finalização da compra aceita tentativa atrás de tentativa e é isso que o provedor de pagamento enxerga como comportamento suspeito. O segundo é o login: milhares de tentativas por semana batem numa página sem segundo fator, e três contas de pessoas que saíram continuam com poder total. Colocar a Cloudflare na frente ajuda nos dois, mas só funciona de verdade quando a hospedagem passa a aceitar tráfego apenas dela. Os demais itens são arrumação que pode esperar a semana seguinte.
Próximos passos
- Rita aprova a lista na ordem de prioridade, começando pelos três P0.
- Rita troca os servidores de nome no registrador, com a Altuscore acompanhando a propagação.
- A hospedagem e o provedor de pagamento recebem os pedidos marcados como dependência, com prazo combinado.
- Em 30 dias, a Altuscore mede de novo os mesmos números e entrega o relatório antes e depois.
A planilha de controle que acompanha este documento tem os mesmos itens, com colunas para acompanhar a execução.
Equipe Altuscore
Responsável pela entrega
Altuscore
(11) 94183-6778
equipe.altuscore@gmail.com
altuscore.com.br
(11) 94183-6778
equipe.altuscore@gmail.com
altuscore.com.br
Altuscore · Cloudflare e hardening do WordPress
Cloudflare e hardening · setembro de 2026 · 7