Antes de criar qualquer regex, teste se o WordPress já resolve ?p=123 sozinho. Se não, ancore a regra apenas no ID numérico, evitando capturar paginação, feeds e anexos. Valide em lote para não derrubar o acesso.
Um plugin malicioso WordPress costuma aparecer só em um site do parque. Compare as listas de plugins entre os sites, verifique integridade dos arquivos e do banco, e isole o plugin (desative, não apague) antes de remover. Em lote, a decisão é por exceção, não site a site.
Auditar logins WordPress em vários sites é listar todos os administradores via WP-CLI ou banco, cruzar cada conta com quem ainda trabalha no projeto, remover ou rebaixar o que não pertence mais e padronizar e-mail de recuperação e 2FA em lote. O trabalho é de inventário, não de senha.
Em vários sites, priorize patches com exploit ativo (aplicar em minutos), deixe os demais para a janela de manutenção e teste em um site espelho antes de espalhar. Atualização automática sem verificação é o que costuma quebrar site que ninguém está olhando.
SEO incidental no WordPress é o que o site indexa sem planejamento: arquivos de data, páginas de autor, resultados de busca interna, taxonomias, parâmetros de URL e conteúdo gerado por usuários. A correção passa por varrer o Search Console, classificar cada tipo de página e decidir entre manter, canonicalizar, bloquear ou desindexar, sem derrubar o que já traz tráfego.
Na entrega de site WordPress, transfira ao cliente o domínio, o e-mail administrador, o Search Console e o Analytics. Retenha hospedagem, licenças e e-mail de recuperação. Documente por escrito o que está incluso e o que vira manutenção paga.
Na maioria dos casos, tema mobile WordPress não é necessário: um tema responsivo bem construído já entrega a versão mobile. Plugin de versão mobile só se justifica em cenários específicos, e tema separado quase sempre gera conteúdo duplicado, cache servindo a versão errada e SEO dividido.
Em otimização de conversão no WordPress, comece pelo formulário de contato e pelo checkout: é onde a perda se concentra. Só depois mexa em botão e cor. E resolva a lentidão antes de testar, porque site lento derruba a conversão de qualquer variação.
Aplique em lote o que é reversível e não depende de tema: forçar HTTPS, limitar tentativas de login, desabilitar edição de arquivos pelo painel e revisar permissões. Regras de WAF, bloqueio de XML-RPC e troca de prefixo de tabela exigem teste site a site, porque quebram plugins e integrações.
As ameaças de segurança WordPress mais prováveis de derrubar ou invadir seus sites são, em ordem: força bruta no login, plugin desatualizado, tema abandonado e usuário com senha fraca. Priorize força bruta e plugins desatualizados primeiro; temas e senhas vêm depois.
