Manutenção de site: por que não é gasto, é seguro
É comum pensar em manutenção de site como um custo que só existe pra agência ganhar dinheiro todo mês. Os números dizem o contrário: segundo o Verizon 2026 Data Breach Investigations Report (DBIR), 48% de todas as violações de segurança registradas hoje já envolvem ransomware — e a esmagadora maioria dos casos em sites pequenos e médios começa numa peça desatualizada que ninguém tratou a tempo. Manutenção não é o gasto. É o que evita o gasto de verdade.
O que acontece sem manutenção
- Certificado de segurança expira e o navegador passa a avisar o visitante que o site “não é seguro” — muita gente sai na hora. Isso pesa mais hoje do que pesava há alguns anos: segundo o próprio Google, 83 dos 100 maiores sites da web já usam HTTPS por padrão (eram 37 antes da campanha do Chrome contra HTTP). Ou seja, o “normal” da web mudou — um certificado vencido hoje é uma bandeira vermelha ainda mais visível do que era antes, porque quase todo o resto da internet já resolveu esse problema.
- Domínio vence sem ninguém perceber e o site sai do ar até alguém notar, às vezes semanas depois.
- Plugins e dependências desatualizadas viram porta de entrada pra invasão, spam ou redirecionamento malicioso. Isso não é exagero: o relatório State of WordPress Security in 2026, da Patchstack, catalogou 11.334 novas vulnerabilidades no ecossistema WordPress só em 2025 — alta de 42% sobre 2024 — sendo 91% delas em plugins. Praticamente metade (46%) ficou sem correção disponível no momento em que foi divulgada publicamente.
- Formulário de contato para de funcionar silenciosamente — e você simplesmente para de receber pedidos de orçamento sem saber.
Nenhum desses problemas dá aviso prévio. Eles só aparecem quando alguém tenta acessar o site e não consegue — e nesse ponto, o cliente que você perdeu já foi pro concorrente.
Por que “atualizar quando der tempo” já nasce atrasado
Esse é o ponto que a maioria subestima. Segundo o mesmo relatório da Patchstack, o tempo mediano entre uma vulnerabilidade se tornar pública e começar a ser explorada em massa é de 5 horas. Quase metade das vulnerabilidades conhecidas é explorada dentro de 24 horas da divulgação.
Isso muda o que “manutenção” significa na prática. Não é uma tarefa pra encaixar quando sobrar tempo no fim do mês — é rotina, porque a janela entre “a falha foi descoberta” e “alguém já está explorando ela em escala” é medida em horas, não em semanas.
Seu site (ou o do seu cliente) tem alguém checando atualizações de segurança essa semana? Se a resposta for “não sei”, esse já é o primeiro sinal de risco.
O que manutenção de verdade cobre
Não é só “deixar no ar”. É:
- Monitorar se o site está no ar e respondendo.
- Manter atualizações de segurança em dia — core, plugins, temas e dependências.
- Ter backup pronto e testado, pra caso algo dê errado mesmo assim.
- Resolver ajustes pequenos sem precisar abrir um projeto novo cada vez.
Cada um desses itens ataca diretamente um dos pontos da lista anterior: backup existe pro dia em que a atualização falha; monitoramento existe pra pegar o domínio vencido antes que o cliente perceba; atualização em dia existe porque a janela de exploração é de horas, não de meses.
Manutenção de site: gasto ou seguro?
Reconstruir um site invadido do zero, recuperar posição perdida numa busca ou reconquistar a confiança de um cliente que viu “não é seguro” no navegador custa um tempo que nenhum plano mensal de manutenção chega perto de custar. Com 48% das violações de segurança já envolvendo ransomware segundo a Verizon, e vulnerabilidades sendo exploradas em questão de horas segundo a Patchstack, a pergunta não é mais “vale a pena pagar manutenção” — é “quanto custa não pagar”.
O que uma auditoria de verdade encontrou
Em agosto de 2026 auditamos uma conta de hospedagem com 8 instalações de WordPress. O que apareceu não veio de invasão nenhuma — veio de acúmulo:
- 218 arquivos de backup espalhados dentro das pastas públicas dos sites. Um deles respondia HTTP 200 entregando código PHP em texto puro — código-fonte aberto para quem soubesse o endereço.
- Um backup completo de 1,1 GB navegável de dentro do site: banco de dados e arquivos de configuração, baixáveis.
- Um registro de erros de 15,5 MB, cheio do mesmo erro fatal repetido. O site estava fora do ar havia tempo e o servidor vinha avisando num arquivo que ninguém abria.
Cada um desses arquivos foi criado por alguém bem-intencionado, num dia em que resolver o problema era mais urgente que limpar o rastro. É assim que quase toda dívida de manutenção nasce — e é por isso que “o site está funcionando” não é o mesmo que “o site está bem cuidado”. Sobre onde tudo isso mora, veja Hospedagem: compartilhada, VPS ou cloud?
Seu site está mesmo em dia?
Quer saber se o seu site está com atualização em dia, certificado válido e backup funcionando? Peça um orçamento sem compromisso ou fale com a gente pelo WhatsApp. Veja também nosso serviço de Manutenção & Suporte Recorrente.
Fontes
- Verizon, 2026 Data Breach Investigations Report — verizon.com
- Patchstack, State of WordPress Security in 2026 — patchstack.com
- Google, A milestone for Chrome security: marking HTTP as “not secure” — blog.google
Dados consultados em 12/08/2026.
Sobre o autor
Rafael Rodrigues Firmino é CEO da Útil.App, empresa de desenvolvimento de sites e sistemas sob medida em Bauru (SP). Siga no Instagram ou conecte no LinkedIn.