Segurança
Segurança, em camadas.
Hospedagem gerenciada, um firewall para WordPress e a Cloudflare na frente de todo site que administramos. Atualizações todo mês, e acessos que você pode ver e revogar.
Atualizado em
Dados de exemplo de uma organização fictícia.
Do que todo site precisa.
Só assumimos um site com os três itens. Cada um é cobrado pelo próprio fornecedor, pelas tarifas que ele publica. A hospedagem é recorrente, depende do seu tráfego, e o tamanho do plano é escolha sua.
- Hospedagem gerenciadaComo a Kinsta, em nome da sua organização. A hospedagem é um custo recorrente pelas tarifas publicadas do fornecedor, depende do seu tráfego, e o tamanho do plano é escolha sua. O fornecedor administra os servidores, a disponibilidade e os backups da infraestrutura, com suporte próprio 24 horas por dia, 7 dias por semana.
- Um firewall para WordPressWordfence Premium, licenciado para o seu site. Ele bloqueia muitos ataques conhecidos entre uma atualização e outra, incluindo os que exploram uma falha de plugin divulgada antes da correção.
- CloudflareO seu domínio na Cloudflare, com o firewall de aplicação web e a proteção DDoS ativados, na frente da hospedagem.
Também recomendamos
Um registro de atividades
Um histórico de quem alterou o quê no WordPress, e quando. Junto com os logs de acesso ao servidor da sua hospedagem, essas pistas nos permitem reconstruir o que aconteceu depois de um incidente.
O registro de atividades no LFW MonitorComo cuidamos dele.
Conforme o anexo da mensalidade de gestão (em inglês) e o contrato de serviços (em inglês). Os prazos de resposta são metas de boa-fé em horário comercial, não garantias.
- Atualizações todo mêsWordPress, os temas e os plugins, publicados a partir do controle de versão com verificações automáticas após cada publicação. Entre uma atualização e outra, os firewalls bloqueiam os ataques conhecidos.
- Acessos individuais e limitadosContas que você nos concede, cada uma limitada ao que o trabalho exige, com autenticação de múltiplos fatores quando disponível. Você pode ver e revogar exatamente o que acessamos.
- Backups que verificamosOs backups automáticos da sua hospedagem. Verificamos regularmente se estão sendo feitos e os usamos para restaurar quando necessário. O plano da sua hospedagem define a frequência e o tempo de retenção.
- Se o site for comprometidoAvise-nos no Portal do cliente a qualquer hora. Começamos a restauração a partir do backup da sua hospedagem, no máximo, no dia útil seguinte. Uma investigação mais aprofundada e a limpeza são orçadas antes.
- Nossos erros, corrigidos primeiroSe uma de nossas publicações quebrar algo, corrigir é a nossa maior prioridade em horário comercial, sem custo.
- Horário comercialDe segunda a sexta, das 9h às 17h, horário da costa leste dos EUA (das 6h às 14h no Pacífico), exceto feriados federais. Em geral, não oferecemos atendimento fora desse horário nem plantão, salvo acordo negociado à parte.
Para a sua revisão de segurança.
Os órgãos públicos dos EUA também podem verificar gratuitamente as vulnerabilidades dos seus sites públicos com os serviços Cyber Hygiene da CISA. Envie-nos os relatórios, e as correções acompanham as atualizações mensais ou um orçamento a preço fixo.
- Questionários de segurançaNossas respostas às perguntas críticas do HECVAT estão publicadas, e preenchemos o formulário da sua instituição a partir delas. Leia as respostas
- Verificação de antecedentesFeita antes de recebermos acesso, quando o seu contrato exigir.
- SubcontratadosContinuamos responsáveis pelo trabalho. Dentro do contrato de um órgão público, ninguém trabalha no seu site sem o seu consentimento por escrito.
- SOC 2Os relatórios da sua hospedagem, como o SOC 2, cobrem os seus servidores. A LFW não tem um relatório SOC 2.
O Portal do cliente e o LFW.com
Os nossos sistemas.
- Onde ficam os dadosO Portal do cliente, os formulários do LFW.com e a auditoria gratuita rodam no servidor da LFW, hospedado pela Hetzner em Ashburn, na Virgínia. É feito um backup todos os dias, e cada backup criptografado é copiado para o Cloudflare R2.
- Nenhuma senhaVocê entra com um link enviado por e-mail, válido uma única vez e que expira após 15 minutos, ou com uma passkey. Os pedidos de link têm limite de frequência, e a equipe da LFW entra do mesmo jeito. Não há senha para trocar.
- As pessoas da LFWLeland Fiegel, fundador da LFW e seu único integrante da equipe em 27 de setembro de 2026.
- GravaçãoA gravação de sessões (Replay) está desativada no LFW.com desde 6 de outubro de 2026. Se voltar, será anunciada antes na política de privacidade, e nunca é acrescentada ao site de um cliente sem o consentimento por escrito do cliente. Ela nunca grava o Portal do cliente, as páginas de login, nem nada do que você digita.
- Ferramentas de IAUsamos ferramentas de IA, entre elas o Claude, para redigir e revisar o trabalho. Os dados dos clientes nunca são usados para treinar modelos, e uma pessoa revisa cada resultado antes que ele chegue até você.
Tela de exemplo. O endereço é fictício.
Prestadores de serviços.
Os suboperadores da LFW, as empresas que tratam dados em nome dela. A política de privacidade (em inglês) cita as mesmas empresas e o que cada uma recebe.
- HetznerO servidor e o banco de dados da LFW, em Ashburn, na Virgínia.
- CloudflareEntrega de conteúdo e segurança para o LFW.com, e armazenamento dos backups criptografados da LFW.
- Google WorkspaceE-mail e agenda.
- Amazon SESO envio dos e-mails da LFW, como links de acesso, relatórios de auditoria, recibos e o LFW Weekly Recap.
- OpenAI e AnthropicAssistência com IA para pesquisa, redação, desenvolvimento de software e trabalho administrativo.
Divulgação de vulnerabilidades
Relatar uma vulnerabilidade.
Encontrou um problema de segurança no LFW.com? Envie-nos por e-mail a página ou o endereço afetado, o que você fez e o que viu. Uma captura de tela ou a requisição exata ajudam. Se o assunto for sensível, diga isso na primeira linha, e passamos antes para um canal privado.
- Dois dias úteisUma pessoa respondePara confirmar que recebemos o seu relato.
- DepoisContamos o planoSe conseguimos reproduzir o problema e o que pretendemos fazer.
- Em geral, em poucos diasCorrigimosOs problemas confirmados são corrigidos no curso normal do trabalho. Avisamos você quando a correção estiver no ar.
- Se você quiserDamos o créditoCitado aqui quando a correção estiver no ar, ou de forma anônima, se preferir. Não pagamos recompensas.
- No escopo
- LFW.com
- O Portal do cliente
- A auditoria gratuita e os formulários
- O que pedimos
- Não leia, altere nem baixe dados que não sejam seus. Se tiver acesso a eles por engano, pare e avise-nos.
- Nenhum teste de negação de serviço, nenhum spam nos formulários, nenhum ataque de força bruta aos links de acesso.
- Nenhuma engenharia social, nenhum phishing, nenhum acesso físico.
- Dê-nos tempo para corrigir antes de publicar. Em geral, duas semanas a partir da nossa confirmação bastam.
- O que prometemos
- Se você seguir estas regras de boa-fé, não tomaremos medidas judiciais contra você por essa pesquisa e não a denunciaremos às autoridades.
- Se outra pessoa contestar a sua pesquisa neste site, diremos publicamente que você tinha a nossa autorização.
- Fora do escopo
- Apontamentos que exigem um navegador desatualizado ou um dispositivo já comprometido
- Relatórios de ferramentas de análise automática sem uma demonstração funcional
- Cabeçalhos de boas práticas ausentes sem efeito demonstrado, observações sobre limites de frequência e divulgações de versão isoladas
- Problemas nos serviços de terceiros que usamos, como os nossos provedores de DNS ou de e-mail
Envie-nos o seu questionário de segurança.
Ou qualquer pergunta sobre esta página. Respondemos em até um dia útil.