Logins WordPress: auditar admins em vários sites

Você assume a manutenção de um site e, ao abrir Usuários, encontra três administradores: o seu, um e-mail genérico da agência anterior e uma conta com nome de pessoa que ninguém reconhece. Em um site só, isso é chato. Em quinze, vira um problema de segurança que ninguém está monitorando. A auditoria de logins WordPress existe para resolver isso de forma sistemática, sem depender de o cliente avisar quando alguém sai da equipe.

O que a auditoria de logins WordPress precisa responder

Antes de sair removendo contas, defina o que você quer descobrir. Uma auditoria útil responde a quatro perguntas:

1. Quantos administradores existem em cada site, e quem são?
2. Qual dessas contas pertence a alguém que ainda trabalha no projeto?
3. Para qual e-mail vai o link de recuperação de senha de cada admin?
4. Quais dessas contas têm segundo fator de autenticação ativo?

Se você não consegue responder às quatro em menos de uma hora para toda a sua carteira, o inventário está desatualizado. E inventário desatualizado é o que transforma um ex-funcionário em porta de entrada meses depois.

Como listar todos os admins sem entrar em cada painel

Entrar site por site pelo navegador não escala. Existem dois caminhos que funcionam em lote, e a escolha depende do acesso que você tem.

Com SSH e WP-CLI

Se a hospedagem oferece SSH, o WP-CLI resolve em um comando por site:

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Para rodar em vários sites de uma vez, monte um laço que percorre os diretórios e grava a saída em um arquivo único. Assim você tem uma planilha de partida em minutos, em vez de abrir quinze painéis.

Sem SSH, só com painel e banco

Sem SSH, o caminho é o phpMyAdmin da hospedagem. A consulta abaixo lista os administradores direto da tabela de capabilities:

SELECT u.ID, u.user_login, u.user_email, u.user_registered
FROM wp_users u
INNER JOIN wp_usermeta m ON m.user_id = u.ID
WHERE m.meta_key = 'wp_capabilities'
AND m.meta_value LIKE '%administrator%';

Troque o prefixo wp_ pelo prefixo real da instalação. Se o site usa prefixo customizado, a consulta falha silenciosamente com zero linhas, e você pode concluir, errado, que não há administradores.

Vale lembrar que a auditoria de contas é uma parte do hardening, não o todo. Se você está assumindo sites novos, vale ver o que priorizar em segurança WordPress instalação: hardening em vários sites.

Identificando contas órfãs de ex-funcionários e agências

Conta órfã é aquela cujo dono não trabalha mais no projeto, mas que continua com acesso total. Ela aparece de três formas típicas:

Sinal	O que costuma indicar
E-mail genérico (contato@, admin@, suporte@)	Conta compartilhada criada por agência anterior
Login com nome de pessoa que ninguém reconhece	Ex-funcionário ou freelancer que saiu sem handover
Data de registro antiga, sem login recente	Conta esquecida, provavelmente sem 2FA

Cruze a lista com quem você sabe que trabalha no projeto hoje. O que sobrar entra em uma de três categorias: remover, rebaixar para editor ou manter com justificativa registrada. Não deixe “manter” como resposta padrão. Se ninguém sabe por que a conta existe, ela não deveria ter acesso de administrador.

Antes de remover, verifique se a conta é autora de conteúdo. No WordPress, excluir um usuário permite transferir os posts para outra conta, e essa etapa evita que o site perca autoria. Se você tem dúvida sobre o que fazer quando encontra uma conta que não criou, o passo a passo está em usuário administrador desconhecido no WordPress.

Padronizando o e-mail de recuperação de cada admin

O e-mail de recuperação é o ponto mais frágil de qualquer login WordPress. Se ele aponta para o endereço de um ex-funcionário, essa pessoa consegue redefinir a senha a qualquer momento, mesmo depois de você trocar a senha atual.

Padronize assim:

1. Cada admin deve ter e-mail próprio, não compartilhado.
2. O e-mail precisa ser de um domínio que a empresa controla, não Gmail pessoal.
3. Contas de serviço (integrações, monitoramento) devem usar um alias dedicado, não o e-mail pessoal de alguém.
4. O e-mail administrativo do WordPress (Configurações → Geral) deve ser diferente do e-mail de qualquer admin.

Esse último ponto importa porque o e-mail administrativo recebe avisos de atualização, novos usuários e pedidos de redefinição. Se ele aponta para a mesma caixa de um admin, um vazamento de senha compromete as duas funções de uma vez.

Aplicando 2FA em lote

Segundo fator não é opcional em conta de administrador. O problema é aplicar em vários sites sem entrar em cada painel, um por um.

Existem três caminhos, e cada um tem um custo:

• Plugin de 2FA com configuração via código: você define o comportamento no arquivo de configuração ou em um snippet, e ele vale para todos os admins do site. É o mais rápido para lote.
• Plugin de 2FA com configuração manual por usuário: mais controle, mas exige entrar em cada conta para ativar. Não escala.
• 2FA no nível da hospedagem ou do provedor de identidade: protege o painel de login inteiro, não só o WordPress. Depende do que a hospedagem oferece.

Antes de ativar 2FA em lote, garanta que todo admin tem um segundo fator configurado. Ativar sem isso tranca gente fora do painel, e recuperar acesso de admin sem 2FA é justamente o cenário que o artigo sobre não conseguir acessar o wp-admin cobre.

Quando NÃO fazer a limpeza em lote

Auditoria em lote é eficiente, mas não serve para todo caso. Evite rodar a limpeza em três situações:

• Site com e-commerce ativo e pedidos em andamento: remover um usuário que aparece como responsável por pedidos pode quebrar relatórios e atribuições. Faça a limpeza em janela de baixo movimento.
• Site multissite (multisite): um usuário pode ser administrador de uma rede inteira, e a remoção afeta todos os subsites. Trate o multisite como um caso separado.
• Site de cliente com contrato que exige aprovação: se o contrato prevê que o cliente autoriza mudanças de acesso, a auditoria vira proposta, não execução.

Nesses casos, o caminho é documentar o que encontrou, propor a limpeza e esperar o aval. Auditoria sem execução ainda vale: você tem o inventário e o cliente sabe o que está pendente.

Erros comuns na hora de gerenciar usuários WordPress

Os tropeços se repetem:

• Rebaixar em vez de remover e esquecer: um editor ainda pode publicar conteúdo malicioso. Se a conta não tem dono, remova.
• Trocar a senha sem trocar o e-mail de recuperação: a senha nova não impede o ex-dono de redefini-la pelo e-mail antigo.
• Esquecer o usuário criado por plugin de backup ou migração: alguns plugins criam contas administrativas próprias. Elas não aparecem na sua lista mental, mas aparecem na consulta.
• Não registrar o que foi feito: sem log, a próxima auditoria começa do zero.

Se durante a auditoria você encontrar sinais de acesso não autorizado, como arquivos estranhos ou links injetados, o assunto muda de “limpeza de contas” para “incidente”. Nesse caso, siga o roteiro de WordPress invadido: como confirmar e agir antes de mexer em usuários.

Prevenção: transformando a auditoria em rotina

Uma auditoria feita uma vez resolve o passado. Para o futuro, o que funciona é um processo:

1. Todo site novo entra com um único admin, o seu, e uma conta de serviço documentada.
2. Ao contratar alguém, crie a conta com o papel mínimo necessário. Admin só quando for indispensável.
3. Ao desligar alguém, remova ou rebaixe no mesmo dia, e registre.
4. Revise a lista de admins a cada trimestre, ou sempre que assumir um site novo.
5. Mantenha 2FA ativo em toda conta administrativa.

Quando você administra dez, vinte sites, esse processo vira trabalho manual repetido. É exatamente aí que um painel como o 100% WP ajuda: ele centraliza atualizações, backups, monitoramento e segurança dos sites em um lugar só, então a revisão trimestral deixa de depender de você abrir cada painel para conferir quem tem acesso de admin.

Se a auditoria revelar contas comprometidas, arquivos alterados ou links injetados em vários sites ao mesmo tempo, o trabalho de limpeza é maior do que uma revisão de usuários. Nesse cenário, o serviço de segurança e remoção de malware cobre a parte que a auditoria de logins não resolve sozinha.

Quando chamar alguém

Você consegue fazer a auditoria sozinho se tem acesso ao painel, ao banco ou ao SSH. Chame ajuda especializada quando:

• Aparecem contas de admin que ninguém criou, em mais de um site.
• Há arquivos modificados fora da pasta de uploads.
• O site envia e-mails que você não disparou.
• A hospedagem bloqueia o acesso ao banco ou ao SSH justamente quando você precisa auditar.

Nesses casos, o problema provavelmente não é mais de configuração de usuários, e sim de comprometimento ativo. Tratar como limpeza de rotina só dá tempo para o invasor se firmar.

Fonte: Documentação oficial do WordPress