Blog · E-commerce
Manutenção de loja WooCommerce: o que inclui, quanto custa e o que vi em +300 lojas
Nas mais de 300 lojas que já administrei, a maioria das invasões entrou por um plugin desatualizado, e a maioria das lojas que quebraram depois de uma atualização tinha sido atualizada sem teste. Um plano de manutenção existe para evitar as duas coisas. Neste artigo, conto o que ele precisa incluir, quanto o mercado cobra e o que fazer se a sua loja já foi invadida.
Por Juan José Nieva9 min de leitura
Última revisão: · preços de mercado e dados de segurança conferidos nas fontes
Neste artigo
Resumo: o que você precisa saber em um minuto
- A porta de entrada quase sempre é um plugin. Das 11.334 falhas novas encontradas no WordPress em 2025, 91% estavam em plugins e 9% em temas. No núcleo do WordPress foram só 6, todas de baixa gravidade. É o mesmo padrão que vejo nas lojas que chegam invadidas.
- Atualizar é urgente. Cerca de metade das falhas graves é explorada nas primeiras 24 horas depois de divulgada. Atualizar só no fim do mês já é tarde.
- Mas atualizar sem testar quebra a loja. Por isso, cada atualização tem que passar antes por uma cópia da loja, com um backup pronto para desfazer.
- Quanto custa: no Brasil, de R$ 139 a mais de R$ 5.500 por mês, conforme o que entra. Na DIO, de R$ 599 a R$ 1.399, com o servidor da loja incluído.
O que acontece com uma loja sem manutenção
Uma loja em WooCommerce é feita de peças de fabricantes diferentes: o WordPress, o WooCommerce, o tema e uma dúzia de plugins de pagamento, frete, nota fiscal e marketing. Cada um lança versões novas no seu ritmo. Quando ninguém acompanha, vejo quase sempre a mesma sequência, em três atos.
Primeiro, a invasão. Alguém publica uma falha num plugin, programas automáticos varrem a internet atrás de lojas com aquela versão e, em poucas horas, a sua entra na lista. O sintoma raramente é a loja fora do ar. É um redirecionamento para outro site que só acontece no celular, um aviso do Google na busca ou páginas em japonês que você nunca criou.
Depois, a atualização às pressas. Alguém percebe que está tudo desatualizado e clica em «atualizar tudo» numa sexta à noite. Um plugin de pagamento não conversa com a versão nova do WooCommerce, e o checkout para de fechar pedidos. A loja continua no ar, bonita, e não vende.
Por fim, o pico que o servidor não aguenta. Na Black Friday (este ano, em 27 de novembro), um dia de tráfego pode valer um mês. Uma hospedagem dividida com centenas de sites trava justamente no dia em que a loja mais venderia.
O que um ano de chamados mostra
Para não ficar só na impressão, eu contei. Nos últimos 12 meses, as lojas que acompanho hoje abriram 111 chamados. Só 2 eram de segurança. Outros 4 eram de lentidão, instabilidade ou erro do servidor; 7, de checkout, frete ou pagamento; 6, de e-mails que a loja deixou de enviar; e 2, de reforço do servidor para datas de pico, como a Páscoa e o Natal.
Os outros 90, quatro de cada cinco, foram ajustes e melhorias: banner, menu, página de campanha, integração com o ERP. Esse é o retrato de uma loja bem cuidada: a invasão vira exceção, e o tempo vai para o que faz a loja vender mais.
Site hackeado: o que fazer nas primeiras horas
Quando uma loja chega invadida, eu sigo sempre esta ordem:
1. Não apague nada ainda. Restaurar um backup antigo sem descobrir por onde o invasor entrou só reabre a porta: em poucos dias, a loja está infectada de novo. Antes de limpar, é preciso achar o plugin ou a senha por onde ele entrou.
2. Troque todas as senhas. Painel do WordPress, hospedagem, banco de dados, FTP e o e-mail do administrador. Apague os administradores que você não reconhece.
3. Limpe e feche a porta. Remova os arquivos e os usuários que o invasor criou, atualize o plugin que tinha a falha (ou remova, se ele não recebe mais atualizações) e só então restaure, de um backup anterior à invasão, o que for preciso.
4. Peça ao Google para olhar de novo. Se a busca mostra o aviso de site invadido, o problema aparece no Search Console, no relatório Problemas de segurança. Com tudo corrigido em todas as páginas, é ali que você clica em Solicitar revisão. Segundo o próprio Google, a análise leva de alguns dias a algumas semanas.
Se a loja vende, cada hora conta. Não é um trabalho para aprender no meio da crise: o melhor é ter ao lado alguém que já passou por isso.
O que um plano sério inclui, e o que perguntar antes de contratar
Todo mundo promete «atualizações e backup». A diferença está nos detalhes. Estas são as perguntas que eu faria antes de contratar qualquer fornecedor, inclusive a DIO:
| Item | Por que importa | O que perguntar |
|---|---|---|
| Backup diário | É o que permite voltar no tempo depois de uma invasão ou de uma atualização que deu errado | Fica guardado fora do servidor da loja? Por quantos dias? Quando foi a última restauração de teste? |
| Atualização testada numa cópia | Você não descobre pelo cliente que o checkout parou | Vocês atualizam direto na loja ou numa cópia antes? Dá para desfazer? |
| Monitoramento e firewall | Avisa quando a loja cai e barra os ataques conhecidos | Quem recebe o alerta, e em quanto tempo alguém age? |
| Servidor | Numa hospedagem compartilhada, a loja divide processamento com outros sites | O servidor é só da minha loja? O que acontece num pico de vendas? |
| Horas de trabalho | Todo mês aparece um ajuste: um banner, uma regra de frete, um plugin novo | Quantas horas entram no plano? Acumulam? Quanto custa a hora extra? |
| Atendimento com histórico | Ninguém quer explicar o problema de novo a cada contato | Por onde eu peço? Quem responde? Fica registrado? |
| Contas no seu nome | Se um dia você trocar de fornecedor, leva tudo | Domínio, código e acessos ficam no nome de quem? |
Loja lenta: vitrine e checkout são dois problemas diferentes
Quando alguém me diz que a loja está lenta, a primeira pergunta que eu faço é: lenta onde? Na vitrine (página inicial, categorias, produto), o culpado mais comum são as imagens. Numa medição de 41 lojas de 14 plataformas que fiz em setembro de 2026 para a NimboCDN, as lojas WooCommerce da amostra entregavam de 2,5 a 2,7 vezes mais bytes por pixel de imagem que as da Shopify. Uma foto de produto real caiu de 176 KB para 15,9 KB, 91% mais leve, só com a troca do formato para AVIF.
No checkout, a imagem não tem culpa. Ali pesam o código dos plugins, o banco de dados e o servidor, porque cada clique precisa calcular o frete, aplicar o cupom e falar com o meio de pagamento. E um checkout lento custa mais que uma vitrine lenta: quem chegou até ali já tinha decidido comprar.
As duas medições estão no blog da NimboCDN, o produto de imagens que eu criei e que vem incluído no Plano 3 da DIO.
Hospedagem compartilhada ou servidor dedicado?
A hospedagem compartilhada é barata porque o mesmo servidor atende muitos sites. Para um site institucional, funciona. Para uma loja, o problema aparece no pior momento: se outro site do mesmo servidor recebe um pico, ou é atacado, a sua loja fica lenta junto, e você não tem como saber nem como evitar.
Num servidor dedicado, o processamento e a memória são só da sua loja. Custa mais, mas esse custo deixa de ser um número solto quando entra no plano de manutenção. Por isso, em todos os planos de manutenção da DIO, cada loja fica num servidor só dela. Para uma data de tráfego muito alto, eu monto um reforço na nuvem só para aquelas horas, sob orçamento.
Se a sua loja ainda está numa plataforma pronta e você quer saber se compensa ter uma loja própria, eu fiz a conta completa em Shopify, Nuvemshop ou WooCommerce: quanto custa em 3 anos.
Quanto custa a manutenção de um site WordPress por mês
«Manutenção» quer dizer coisas diferentes para cada fornecedor, por isso os preços variam tanto. Estas são as faixas publicadas, que conferi em 1º de outubro de 2026:
As três faixas do meio vêm do levantamento da Digital Pixel (junho de 2026) e valem para sites WordPress em geral, não só para lojas. Na DIO, as horas não acumulam de um mês para o outro, a hora extra custa R$ 150 e a permanência mínima é de 3 meses. Na hora de comparar, não olhe só o preço: some quanto custaria, à parte, o que o plano já traz, a começar pelo servidor. A tabela com tudo o que entra em cada plano está em Preços.
| Quem | Preço por mês | O que costuma entrar |
|---|---|---|
| Planos de entrada (ex.: Profissional WP) | R$ 139 a R$ 599 | De 1 a 6 horas por mês. Nos planos menores, o servidor fica de fora |
| Faixa básica do mercado | R$ 290 a R$ 690 | Atualizações manuais, backup semanal e monitoramento simples |
| Faixa intermediária | R$ 790 a R$ 1.890 | Atualização testada numa cópia, backup diário e varredura de segurança |
| Faixa corporativa | R$ 2.200 a mais de R$ 5.500 | Tempo de resposta garantido em contrato e monitoramento de velocidade |
| DIO, Plano 1 | R$ 599 | Servidor só da loja, backup diário guardado por 7 dias, firewall, atualização testada numa cópia e 1 hora de trabalho |
| DIO, Plano 2 | R$ 999 | O dobro de processamento, backup por 15 dias, prioridade nos chamados e 2 horas |
| DIO, Plano 3 | R$ 1.399 | Servidor mais rápido, backup 2 vezes por dia por 30 dias, NimboCDN e 3 horas |
Checklist mensal para quem prefere cuidar sozinho
Dá para fazer por conta própria. Separe duas horas por mês e siga esta ordem:
- Faça um backup e teste a restauração. Um backup que nunca foi restaurado é uma esperança, não um backup.
- Atualize primeiro numa cópia. Muitas hospedagens oferecem um ambiente de testes (staging). Atualize ali, faça uma compra de teste e só depois repita na loja.
- Apague os plugins que você não usa. Desativar não basta: o plugin continua no servidor e pode continuar sendo uma porta de entrada.
- Revise quem é administrador. Tire o acesso de quem já não trabalha com você e ative a verificação em duas etapas.
- Faça uma compra de ponta a ponta. Com Pix, cartão e cálculo de frete. É o único teste que mostra se a loja está vendendo de verdade.
- Abra o Search Console. Olhe Problemas de segurança e Ações manuais. Se o Google encontrou algo, aparece ali antes de virar aviso na busca.
- Teste a página de produto no celular. Abra a mais vendida no 4G, fora do Wi-Fi. Se a foto demora a aparecer, comece pelas imagens.
- Confira o vencimento do domínio. Um domínio vencido derruba a loja e o e-mail ao mesmo tempo.
Perguntas frequentes
Quanto custa a manutenção de um site WordPress?
No mercado brasileiro, de R$ 139 a mais de R$ 5.500 por mês. O preço muda conforme as horas incluídas, a frequência do backup, o teste das atualizações e se o servidor entra ou não. Na DIO, os planos para loja WooCommerce vão de R$ 599 a R$ 1.399 por mês, sempre com o servidor da loja incluído.
Se a loja está funcionando, preciso de manutenção?
Sim, porque o risco não está na loja, está nas peças. Em 2025 apareceram mais de 11 mil falhas novas em plugins e temas de WordPress, e cerca de metade das graves é explorada no primeiro dia. Uma loja que funciona hoje e não é atualizada fica um pouco mais exposta a cada mês.
Meu site foi hackeado. Vocês fazem a limpeza?
Sim. Removo o que o invasor deixou, fecho a porta por onde ele entrou e, se houver aviso do Google, peço a revisão no Search Console. O preço sai depois que eu olho a loja, porque depende do estrago.
Vocês cuidam de uma loja feita por outra empresa?
Sim, não importa quem fez. Começo olhando versões, plugins e backup, e digo o que precisa ser resolvido antes de a loja entrar num plano.
As horas do plano acumulam?
Não. O Plano 1 inclui 1 hora por mês; o Plano 2, 2 horas; e o Plano 3, 3 horas. A hora extra custa R$ 150.
Quem me atende se a loja cair?
Eu, pelo WhatsApp, em até 1 hora (de segunda a sexta, das 9 às 20 h, horário de Brasília). Para o resto, o sistema de chamados guarda o histórico de tudo o que já foi feito na sua loja.