O alojamento é onde o seu site vive: o servidor, o computador que mostra o seu site ao mundo. Alojamento “gerido” devia significar que alguém cuida desse servidor por si, mas a palavra é esticada muito para além disso. Para alguns fornecedores, significa um painel e um certificado do cadeado (a ligação segura do seu site) que se renova sozinho. Para outros, significa uma equipa que aplica atualizações, mantém vigilância, faz cópias de segurança e intervém quando algo avaria. Ambos são vendidos com o mesmo rótulo, por isso vale a pena saber o que pedir.
Esta é a lista que usamos quando assumimos um site ou um sistema online, e o padrão a que sujeitamos o nosso próprio alojamento. Não precisa de ser técnico para a usar. No fim há uma pequena lista de perguntas que pode fazer a qualquer fornecedor.
1. Atualizações com calendário e com rede de segurança
Tudo o que faz funcionar o seu site precisa de ser atualizado. Isso inclui o próprio site: se foi construído com WordPress, um sistema muito usado para criar sites, isso significa o WordPress e todos os plugins (extensões) que usa. Inclui também as camadas de software no servidor que nunca vê. Pergunte quem aplica cada uma destas atualizações, com que frequência e o que acontece antes. A resposta certa é um calendário, uma cópia de segurança feita mesmo antes e uma verificação, depois, de que o seu site continua a funcionar.
2. Cópias de segurança que sabe que funcionam
- As cópias são guardadas longe do servidor que protegem, idealmente noutra empresa.
- Incluem tanto os seus ficheiros como os dados do seu site, como páginas, encomendas e contas de clientes, copiados em conjunto para que os dois coincidam.
- As cópias antigas são guardadas tempo suficiente para recuperar de um problema detetado tarde, como um plugin comprometido descoberto semanas depois.
- O restauro é testado: alguém repõe de facto uma cópia para confirmar que funciona. Uma cópia de segurança que nunca foi reposta é uma esperança, não um plano.
3. Uma pessoa avisada quando algo corre mal
No mínimo, deve haver verificações automáticas, feitas a partir do exterior, de que o seu site está online. Deve haver também avisos antes de o certificado do cadeado expirar, antes de o servidor ficar sem espaço e quando o site mostra erros. Para sistemas sem os quais a sua empresa não pode funcionar, acrescente monitorização de segurança no próprio servidor, que procura sinais de intrusão. Depois faça a pergunta que importa: quando um aviso dispara, quem o recebe e o que faz?
4. Saber quem consegue entrar no seu servidor
Cada pessoa e cada sistema que consegue entrar no seu servidor deve ter a sua própria conta com nome e a sua própria chave. Com palavras-passe partilhadas e um único acesso principal, é impossível saber quem alterou o quê, ou retirar o acesso a alguém quando sai. Peça uma lista de quem consegue entrar no seu servidor hoje.
5. Segurança de raiz, não acrescentada depois
- Uma firewall que mantém tudo fechado exceto aquilo a que o público precisa de aceder.
- Ecrãs de administração acessíveis apenas através de um acesso privado e seguro para a sua equipa, não abertos a toda a internet.
- Definições sensatas para a ligação segura (o cadeado) e para as instruções de segurança que o seu site dá aos navegadores.
- Um filtro de proteção à frente dos sites públicos, para absorver tráfego abusivo antes de chegar ao seu servidor.
- Cada site e cada serviço mantidos separados, para que uma intrusão num deles não sirva para ler tudo o resto.
6. Velocidade afinada para o seu tipo de site
Uma loja online construída com WooCommerce (a extensão de loja para o WordPress), um site de empresa simples e um sistema à medida precisam, cada um, de uma configuração diferente para serem rápidos. Veja-se a cache, que guarda cópias prontas das páginas para as mostrar de imediato. Configurada de forma agressiva, acelera um site simples, mas pode estragar o carrinho e as contas de clientes numa loja. Um bom alojamento gerido é configurado para o software que realmente corre, não com um modelo igual para todos.
7. Email que chega à caixa de entrada
Se sai email em nome do seu domínio (a parte a seguir ao @ no seu endereço de email), das caixas de correio da sua equipa ou do seu site, as definições do seu domínio precisam de alguns registos de email. Têm de corresponder aos serviços que realmente o enviam, e o seu fornecedor conhece-os como SPF, DKIM e DMARC. Sem eles, os seus orçamentos e os emails de recuperação de palavra-passe acabam no spam. Isto é muitas vezes esquecido porque fica entre o alojamento, o email e o site, por isso confirme quem é responsável por isto.
8. Instruções escritas e uma porta de saída
Peça documentação: o que está instalado, como é que as alterações entram em produção, para onde vão as cópias de segurança e como repô-las. Depois pergunte como poderia sair. Conseguiria obter uma cópia completa do seu site, dos seus dados e do seu email, em formatos normalizados que outro fornecedor possa usar? Um fornecedor que facilita a saída costuma estar confiante de que não vai querer sair.
Perguntas a fazer a qualquer fornecedor de alojamento
- Quem aplica as atualizações e quando foi a última?
- Quando foi a última vez que repuseram uma das minhas cópias de segurança e quanto tempo demorou?
- Quem é avisado se algo deixar de funcionar fora do horário de expediente?
- Quem consegue entrar no meu servidor neste momento?
- Em que país estão guardados os meus dados, e existe um acordo de tratamento de dados (o contrato que define como os tratam)?
- Se sair, o que recebo, e em que formato?
Não precisa do plano de topo para obter boas respostas. O que importa é que alguém seja claramente responsável por cada ponto desta lista. Se não tem a certeza de quem cuida de alguns deles hoje, vale a pena descobrir antes de algo avariar. Se quiser que confrontemos a sua configuração atual com esta lista, fale connosco.