Mais de 1 em cada 3 requisições que chegam ao seu site não deveria estar ali.
Não são clientes, leitores nem buscadores legítimos: são bots maliciosos testando senhas, varrendo plugins vulneráveis e copiando conteúdo, 24 horas por dia.
O problema é que esse tráfego não aparece no seu painel como “ataque”. Ele aparece como lentidão, conta de servidor mais alta e picos de CPU sem explicação. Neste post, preparado em parceria com a Blackwall, patrocinadora do WordCamp Brasil, vamos entender o que é esse tráfego invisível e como impedir que ele pese na sua infraestrutura.
O que são bots maliciosos
Bots são programas que acessam sites de forma automatizada. Muitos são bem-vindos, como os rastreadores dos buscadores e as ferramentas de monitoramento. Os maliciosos, porém, chegam com outra intenção.
Em sites WordPress, os mais comuns são:
- Força bruta no login: milhares de tentativas de usuário e senha contra o wp-login.php e o xmlrpc.php.
- Varredura de vulnerabilidades: robôs que procuram versões antigas de plugins e temas com falhas conhecidas.
- Raspagem de conteúdo (scraping): cópia automática de posts, preços e catálogos para republicação em outros sites.
- Spam: envio em massa de comentários e formulários falsos.
- Abuso de recursos: requisições repetidas a páginas pesadas, buscas internas e o carrinho do WooCommerce, só para consumir o servidor.
Nenhum desses bots precisa invadir o site para causar prejuízo. Basta que cada requisição seja processada.
Por que esse tráfego pesa no servidor (e no bolso)
No WordPress, cada requisição dinâmica aciona o PHP e, em geral, o banco de dados. Um bot que bate no login a cada segundo consome os mesmos recursos que um visitante real. A diferença é que ele não compra, não lê e não volta por interesse.
Na prática, isso significa:
- Mais CPU e memória ocupadas com requisições inúteis, deixando menos folga para quem importa.
- Site mais lento para visitantes reais, o que afeta conversão e SEO.
- Upgrade de plano antes da hora, porque o servidor parece estar no limite.
- Logs poluídos, que dificultam enxergar problemas de verdade.
Segundo dados da Blackwall, 36% do tráfego que passa pela sua rede é filtrado como malicioso. Ou seja: mais de um terço da carga que muitos servidores enfrentam nem deveria chegar até eles.
Sinais de que seu site está sendo afetado
Vale investigar se você percebe algum destes sintomas:
- Picos de CPU ou memória em horários sem campanha nem aumento de vendas.
- Muitos acessos ao wp-login.php, ao xmlrpc.php ou a URLs de plugins que você nem usa.
- Diferença grande entre as visitas do Analytics e as requisições registradas no servidor.
- Comentários e formulários de spam, mesmo com captcha.
- Alertas da hospedagem sobre uso excessivo de recursos.
Se você é agência ou provedor, multiplique esses sintomas pelo número de sites que administra. É aí que o tráfego invisível vira custo operacional.
Filtrar antes de chegar: a abordagem da Blackwall
Plugins de segurança ajudam, mas rodam dentro do WordPress. Quando eles bloqueiam um bot, o servidor já gastou recursos para atender aquela requisição. A forma mais eficiente é barrar o tráfego malicioso antes que ele chegue ao site.
É isso que faz o GateKeeper, solução da Blackwall que combina proxy reverso e WAF (firewall de aplicação web). Ele fica na frente do servidor, analisa cada requisição e deixa passar apenas o tráfego legítimo.
Os números mostram o alcance da solução:
- Mais de 2,3 milhões de sites protegidos.
- 36% do tráfego filtrado como malicioso.
- Redução de 10% a 25% nos custos operacionais para provedores de hospedagem.
- Suporte a HTTP/3 e TLS 1.3, para que a proteção não custe desempenho.
- Usada por DigitalOcean, Vultr, cPanel e Plesk, nomes que boa parte da comunidade WordPress já conhece.
Para quem tem um site, o resultado é um servidor mais leve e páginas mais rápidas. Para agências e provedores, é infraestrutura dimensionada para clientes reais, não para robôs.
Menos ruído, mais WordPress
Bots maliciosos não vão desaparecer. Mas eles não precisam continuar ocupando um terço do seu servidor. Entender esse tráfego invisível é o primeiro passo; filtrá-lo na borda é o que faz a diferença no dia a dia.
Sobre a Blackwall
A Blackwall é especialista em proteger sites e infraestrutura contra tráfego malicioso. Sua solução, o GateKeeper, une proxy reverso e WAF para filtrar bots e ataques na borda, antes que eles consumam recursos do servidor.
Hoje, a empresa protege mais de 2,3 milhões de sites e é usada por nomes como DigitalOcean, Vultr, cPanel e Plesk. Para provedores de hospedagem, a filtragem representa uma redução de 10% a 25% nos custos operacionais, sem abrir mão de desempenho graças ao suporte a HTTP/3 e TLS 1.3.
A Blackwall é patrocinadora do WordCamp Brasil 2026, e esse apoio ajuda a tornar possível um evento feito pela comunidade e para a comunidade.
Nos vemos no WordCamp Brasil 2026
O WordCamp Brasil é a conferência nacional oficial da comunidade WordPress brasileira. Depois do retorno em 2025, no Rio de Janeiro, a edição de 2026 acontece em 30 e 31 de outubro, na Universidade FUMEC, em Belo Horizonte (MG).
São dois dias de palestras, troca de experiências e conversas de corredor com pessoas desenvolvedoras, designers, agências, criadores de conteúdo e empreendedores que usam WordPress no dia a dia.
Passe pelo espaço da Blackwall durante o evento para conversar com o time, tirar dúvidas sobre segurança e desempenho e descobrir quanto do seu tráfego realmente deveria estar ali.
Mais informações em brasil.wordcamp.org.
