Em resumo: um contrato de manutenção de sites com foco na segurança garante que atualizações, cópias de segurança e vigilância não dependem do acaso. Acompanhamos de forma duradoura os seus sites e servidores PHP, mantemos o estado atualizado, testamos a recuperação e reagimos segundo um processo acordado quando é conhecida uma vulnerabilidade nova. Recebe regularmente um relatório compreensível.
Porque é que a segurança pertence ao contrato de manutenção de sites
Muitos contratos de manutenção cobrem atualizações do CMS e ficam por aí. O PHP2Shell mostrou que isso não basta: as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 estão no próprio PHP, e não no CMS. Uma atualização do WordPress ou do Shopware não as corrige. Quem só cuida do CMS não tem em vista o perigo verdadeiro.
Acresce o fator tempo. Entre o pré-aviso do php.net a 20/10/2026 e a publicação dos patches a 21/10 passou um dia; segundo notícias dos meios de comunicação, houve já a 17/10 uma primeira tentativa de ataque observada. Em situações destas, só ajuda um processo que já esteja definido e alguém que tenha acesso e saiba que sistemas estão afetados. Quem só em caso de emergência procura credenciais, telefona a prestadores e esclarece responsabilidades perde precisamente o tempo que os atacantes usam.
Um outro ponto é muitas vezes subestimado: cópias de segurança que nunca foram repostas são uma promessa sem prova. Só um teste de recuperação mostra se uma cópia está completa e quanto tempo demora realmente o regresso ao funcionamento.
Para quem compensa um contrato de manutenção de segurança
Um contrato de manutenção com foco na segurança adequa-se sobretudo a empresas cujo site ou loja é crítico para o negócio, mas que não têm administração própria para servidores e PHP. São típicos os comerciantes online, consultórios, escritórios de advogados e empresas de média dimensão com portais de clientes, mas também entidades públicas com vários sites.
É igualmente útil quando a responsabilidade está hoje repartida por muitos ombros: uma agência construiu o site, um fornecedor de alojamento fornece o servidor, um antigo colaborador conhecia os acessos. Nestas constelações, em situações como a do PHP2Shell, rapidamente se vê que ninguém é claramente responsável. O contrato cria um ponto fixo que está ao corrente e pode agir.
Para um único site pequeno, sem formulários nem dados de clientes, pode bastar um âmbito mais enxuto. Esclarecemos isso no levantamento.
O que inclui o contrato de manutenção de segurança
- Atualizações: sistema operativo, servidor web, PHP, CMS, extensões e dependências, num ritmo fixo e, adicionalmente, em caso de vulnerabilidades críticas
- Reinício e comprovativo: após atualizações do PHP, reinício de todos os workers, com verificação de que não correm processos antigos
- Cópias de segurança: segundo a regra 3-2-1, com teste de recuperação regular. Os fundamentos constam de Cópias de segurança segundo a regra 3-2-1.
- Vigilância: integridade de ficheiros, inícios de sessão, processos e registos, como descrito em Monitorização de segurança para servidores web
- Ciclo de vida: planeamento antecipado antes de uma versão do PHP atingir o fim do suporte, por exemplo o PHP 8.2 a 31/12/2026
- Processo de emergência: passos acordados para o caso de emergência, acessos e interlocutores que são conhecidos de imediato no incidente
- Relatório: resumo regular com atualizações instaladas, eventos e recomendações
Quem é responsável por quê?
Muitas vulnerabilidades não surgem do ponto de vista técnico, mas organizacional: cada um pensa que outro trata do assunto. Por isso, registamos as responsabilidades por escrito. Um exemplo típico:
| Tarefa | Fornecedor de alojamento | Agência | PHP SOS | Você |
|---|---|---|---|---|
| Hardware, rede, centro de dados | sim | |||
| Sistema operativo e atualizações do PHP | conforme o contrato | sim | ||
| CMS e extensões | sim | após acordo | ||
| Conteúdos e contas de utilizador | sim | |||
| Vigilância e processo de emergência | sim | autorizações |
A distribuição real depende dos seus contratos. Sobretudo nos servidores geridos, vale a pena olhar com atenção para o que o fornecedor realmente assume, ver Servidor gerido: esclarecer a responsabilidade. As agências com muitos sites de clientes encontram um modelo adequado em Parceiro de segurança para agências.
Como ajuda concretamente a PHP SOS?
- Levantamento: registamos todos os sites, servidores, versões, acessos, cópias de segurança e contratos existentes.
- Primeira proteção: as atualizações em aberto e as vulnerabilidades conhecidas são fechadas primeiro, antes de começar o acompanhamento contínuo.
- Acordo: registamos por escrito o âmbito, o ritmo, as responsabilidades e o processo de emergência, incluindo a questão de quando lhe é perguntado antes de alterações.
- Acompanhamento contínuo: atualizações, cópias de segurança, vigilância e relatórios segundo o plano e, em caso de vulnerabilidades críticas, adicionalmente segundo o processo de emergência acordado.
- Revisão anual: verificamos em conjunto se o contrato ainda se adequa ao seu parque de sistemas.
O que precisamos e o que não prometemos
Precisamos de acessos administrativos duradouros, de uma pessoa de contacto com poder de decisão, de contacto com o fornecedor de alojamento e a agência e de informação sobre alterações planeadas nas suas aplicações. Gerimos os acessos em separado por cliente e documentamos quem tem acesso. Se planeia alterações nos seus sistemas, por exemplo uma loja nova, mais um site ou uma mudança de fornecedor de alojamento, avise-nos cedo, para que atualizações, cópias de segurança e vigilância acompanhem o crescimento.
Não prometemos que os seus sistemas nunca sejam atacados. Um contrato de manutenção reduz o risco e assegura que, em caso de emergência, se age de forma rápida e ordenada. Não indicamos preços nem prazos de reação de forma genérica, mas fixamo-los na proposta depois do levantamento. Como preparar adicionalmente, do ponto de vista organizacional, o caso de emergência, descreve-o Elaborar um plano de emergência de TI para servidores web.
Perguntas frequentes
O que deve constar de um contrato de manutenção de sites com foco na segurança?
No mínimo, atualizações do servidor, do PHP, do CMS e das extensões, cópias de segurança regulares com teste de recuperação, uma vigilância de segurança e uma regra clara para emergências. É também importante registar por escrito quem é responsável por quê.
O contrato de manutenção substitui a minha agência ou o meu fornecedor de alojamento?
Não necessariamente. Muitas vezes trabalhamos com a agência e o fornecedor de alojamento e assumimos a parte da segurança. O decisivo é que as responsabilidades estejam distribuídas sem lacunas e que nada fique esquecido entre os envolvidos.
O que acontece quando se torna conhecida uma vulnerabilidade crítica como o PHP2Shell?
Nesse caso, verificamos quais dos seus sistemas estão afetados, instalamos atualizações segundo o processo acordado ou aplicamos medidas provisórias e informamo-lo do estado. A rapidez com que isso acontece é definida em conjunto, no contrato.
Existe um preço fixo?
O âmbito depende do número e do tipo dos seus sistemas. Depois de um levantamento, elaboramos uma proposta que descreve exatamente o que está incluído.