Manutenção de site WordPress: o checklist mensal (e o que um agente de IA faz por você)

Quase toda falha grande que parece surgir "do nada" é, na verdade, uma data que ninguém viu: um certificado vencido, um backup que parou, uma atualização que foi se acumulando, uma versão do PHP que saiu do suporte. A manutenção de um site WordPress é simplesmente o hábito de olhar para essas datas antes que elas olhem para nós. No guia de gestão de site WordPress com agente de IA explicamos o que o trabalho inclui e por que ele existe. Aqui vamos ao lado prático: o que verificar, com que frequência e quem faz o quê.

O que é manutenção de site WordPress? A ronda do vigia, não o combate a incêndios

Imagine um vigia noturno num prédio de escritórios. Ele não confere tudo a cada hora. As portas principais ele verifica a cada ronda, a casa de força uma vez por semana, e o gerador ele liga uma vez por trimestre, mesmo sem apagão. O gerador é o melhor exemplo: ninguém quer descobrir num apagão de verdade que ele não pega.

A manutenção funciona assim. A diferença entre um site que quebra uma vez por ano e um que não quebra não é sorte. É uma ronda fixa, com uma frequência diferente para cada ponto.

Manutenção semanal do WordPress: cinco verificações que levam minutos

As verificações semanais são as mais baratas que existem: não mudam nada, só olham. Por isso são as primeiras que passamos ao agente. Ele olha, confere e envia um relatório curto pelo Telegram. A tabela mostra o que ele faz sozinho e o que passa para você.

Duas verificações da tabela merecem explicação, porque é nelas que nascem a maioria das surpresas.

Formulários: "obrigado" não é prova. A página "Obrigado, recebemos sua mensagem" só prova que a página carregou. Não prova que o e-mail saiu, muito menos que chegou à sua caixa e não ao spam. O teste de verdade é uma mensagem real enviada e recebida do outro lado. Por isso o agente envia uma mensagem real com uma marcação combinada e confirma que ela foi recebida.

Loja: o e-mail faz parte da venda. No WooCommerce, uma confirmação de pedido que não chega ao cliente é um cliente ligando irritado. Segundo a documentação oficial, a maioria dos problemas de e-mail é de entrega: o servidor envia, mas a mensagem não chega. Recomenda-se enviar por um provedor SMTP dedicado e garantir que o endereço do remetente pertença ao seu domínio, e não ao Gmail. Também dá para consultar os logs do WooCommerce (em Status) e ver se o sistema conseguiu entregar o e-mail.

Atualizações do núcleo, dos plugins e do tema: parte mensal, depois de testar

A ordem de uma atualização segura (backup, teste, aprovação e só então o site no ar) já foi detalhada no guia de gestão, e não vamos repeti-la. O que faltava ali é a lógica da frequência.

A documentação oficial do WordPress enfatiza fazer backup antes de qualquer atualização, incluindo o banco de dados e todos os arquivos, e conferir depois se a implantação deu errado ou se surgiram erros. Ela também observa que as atualizações automáticas de versões menores do núcleo vêm ativadas por padrão desde a versão 3.7. Ou seja, as correções pequenas o WordPress faz sozinho. Todo o resto pertence ao mês.

A nossa opinião: as atualizações que não são críticas para a segurança valem ser reunidas numa única janela por mês, em vez de instaladas toda vez que aparece uma bolinha vermelha. Assim você tem uma verificação concentrada em vez de dez pequenas. Já uma atualização de segurança de um plugin do qual o site depende não espera o fim do mês: ganha uma janela própria. Além disso, não se atualiza na quinta-feira à tarde. Se algo quebrar, é melhor que haja alguém para resolver.

O que o agente confere no ambiente de teste (uma cópia do site em que dá para errar sem que nenhum cliente veja):

1. A página inicial, uma página de serviço importante e uma página de produto carregam sem erros.
2. Todo formulário envia, e uma mensagem real chega.
3. Na loja: um produto entra no carrinho, vai para o checkout e chega até a etapa de pagamento.
4. Não há más notícias novas em "Saúde do site" que não existiam antes.
5. O site está correto no celular, porque é lá que está a maior parte dos visitantes.

Se tudo passou, você recebe no Telegram uma mensagem com o que foi atualizado, o que foi testado e qual é o risco. Você aprova, e a atualização vai para o site no ar. Se algo falhou, o site no ar nem foi tocado.

Segurança: usuários, autenticação em duas etapas e plugins esquecidos

A maioria das invasões não se parece com as dos filmes. Parece um plugin velho que ninguém usa mais, ou a conta de um designer que trabalhou com você três anos atrás e cuja senha nunca foi trocada.

O guia oficial de segurança do WordPress sugere alguns passos simples: manter as versões atualizadas, usar senhas fortes e autenticação em duas etapas, apagar plugins que não estão em uso e transferir arquivos por SFTP em vez de FTP comum. São exatamente itens de manutenção mensal.

• O agente faz sozinho: gera a lista de usuários com função e data do último acesso (quando a informação está disponível), a lista de plugins e temas desativados, e sinaliza mudanças fora do comum: um usuário novo com permissão de administrador que ninguém criou.
• Com a sua aprovação: remover um usuário, apagar um plugin e ativar a autenticação em duas etapas nas contas de administrador. O motivo: remover um usuário pode cortar o acesso de um colaborador no meio do trabalho, e apagar um plugin "velho" às vezes quebra uma página que ninguém lembrava que dependia dele.

A regra que seguimos à risca: o agente não recebe a sua senha de administrador, e sim um usuário próprio, com a função mais restrita que seja suficiente, para que seja possível encerrar o acesso dele sem mexer na sua conta. Mais detalhes sobre essa estrutura estão no guia de permissões e segurança do agente de IA.

Velocidade do site: três números que bastam conhecer

"O site está lento" não é um diagnóstico. O Google definiu três medições, as Core Web Vitals, e segundo o web.dev um site é considerado saudável quando atende às três em 75% das visitas, no celular e no computador.

Fonte: web.dev, Core Web Vitals. Os limites são medidos no percentil 75 dos carregamentos da página.

Uma vez por mês, o agente mede a página inicial e as três páginas mais importantes, compara com o mês anterior e relata a mudança. As ferramentas de medição são o PageSpeed Insights e o relatório Core Web Vitals do Search Console, ambos baseados em dados de campo de visitantes reais.

O que ele não faz sozinho? Não comprime imagens no site no ar, não desativa plugin e não troca de tema. Tudo isso muda o que os clientes veem, então ele sugere e espera. E se o problema for profundo, como um tema pesado demais, aí já é trabalho para um profissional.

Links quebrados e páginas 404: nem todo 404 é uma falha

Aqui há um erro comum que custa caro: alguém vê no Search Console uma lista de erros 404, se assusta e redireciona todos para a página inicial. É exatamente o que o Google pede para não fazer.

De acordo com a página de ajuda do Google, os erros 404 não prejudicam o desempenho do site na busca, e podem ser ignorados quando o endereço de fato não deveria existir. O que vale corrigir:

• Um endereço que você enviou no arquivo de mapa do site (sitemap) e que não existe. Corrija o arquivo.
• Conteúdo que mudou para um endereço novo. Adicione um redirecionamento para o novo endereço.
• Erros de digitação comuns no endereço. Dá para redirecioná-los para a página certa.
• Conteúdo apagado de forma definitiva. Deixe 404 ou 410. Não redirecione para a página inicial, porque o Google chama isso de "soft 404" e isso pode atrapalhar o tratamento do site.

A divisão do trabalho aqui é simples. O agente varre os links internos quebrados, lê os relatórios do Search Console e prepara uma lista classificada: "correção necessária" ou "pode ignorar". Os redirecionamentos em si, que mudam o comportamento do site, passam para a sua aprovação.

O que tem data de validade: certificado, domínio e versão do PHP

Essas coisas não quebram. Elas vencem, e por isso são conferidas no calendário.

Certificado SSL. Desde 15 de março de 2026, os certificados públicos têm validade máxima de 200 dias (antes eram 398), e, segundo o cronograma do CA/Browser Forum, o prazo continuará caindo até 47 dias em 2029. Para uma pequena empresa, isso significa que renovar manualmente uma vez por ano já não é um modelo que funciona. Quem administra o site precisa de renovação automática e de uma checagem de que ela realmente acontece. No Let's Encrypt, por exemplo, o certificado vale 90 dias e a recomendação é renovar a cada 60. O agente verifica toda semana quantos dias restam e avisa com bastante antecedência.

Domínio. Uma renovação anual que chega a um e-mail antigo. Recomendamos renovação automática e um e-mail que alguém de fato lê. O agente informa a data de vencimento, mas o pagamento é seu.

Versão do PHP. Segundo a página de requisitos do WordPress, recomenda-se o PHP 8.3 ou superior. E, segundo o php.net, a situação do suporte hoje é esta:

Se o seu site ainda está no 8.2, você tem até o fim do ano. A atualização do PHP é feita no painel da hospedagem e pode quebrar um plugin antigo que não foi atualizado. Por isso ela é testada antes no ambiente de teste e passa pela sua aprovação. O agente identifica a versão em "Saúde do site", avisa e prepara o teste.

Verificações trimestrais: quatro checagens que quase ninguém faz

As verificações mais importantes são as que se adiam para sempre, porque nada quebra enquanto elas não são feitas. Até quebrar.

A primeira verificação merece mais explicação. O guia oficial do WordPress recomenda backup semanal para um site pequeno e diário para um site ativo, e várias cópias guardadas em lugares diferentes, inclusive fora do servidor. Mas um backup guardado é só metade da história. Uma restauração que falha costuma ser descoberta no pior momento. Por isso recomendamos uma restauração completa num ambiente de teste uma vez por trimestre. É a nossa opinião, não uma exigência oficial, e quem não a faz nunca terá certeza de que o seu backup funciona.

O checklist: a ronda mensal e trimestral

Marque o que já foi feito e veja quanto da ronda está coberto. As marcações não são salvas em lugar nenhum, então você pode voltar aqui todo mês. Cada linha traz a sua frequência.

Onde o agente de IA não substitui um profissional

É importante dizer isso com clareza, porque é aqui que se cai na tentação de exagerar. O agente de IA é bom em verificações repetitivas, em relatórios e em preparar um dossiê. Ele é menos indicado para:

• Recuperação depois de uma invasão. É preciso identificar o que entrou, limpar e fechar a porta. Isso é trabalho para um especialista em segurança.
• Uma falha causada por conflito entre dois plugins. O agente pode identificar quando começou e preparar um dossiê, mas nem sempre consegue resolver.
• Migração de servidor e mudança de DNS. Uma mudança externa como essa exige aprovação explícita e planejamento prévio.
• Qualquer resultado que pareça "bom demais". Um relatório que diz "tudo em ordem" sem nenhuma evidência é motivo para desconfiar. Um bom relatório anexa a data do backup, a captura de tela do teste do formulário e os números de velocidade.

Como começar este mês

1. Confira três datas: quando foi o último backup, quando vence o certificado e qual versão do PHP está rodando no seu site.
2. Envie uma mensagem de teste por cada formulário e confira se ela chegou.
3. Defina quem faz o quê: quais verificações passam para o agente e quais ações esperam aprovação. Por escrito, não de boca.
4. Comece com um mês só de relatórios. Sem mudanças. Veja o que o site tem a lhe contar.

Se ainda não está claro o que é um agente desses, comece pelo guia sobre agente de IA para empresas. E quer entender como se constrói um? Há um guia passo a passo para construir um agente de IA. E se a manutenção é só uma das tarefas repetitivas que você tem, em dez tarefas que vale passar a um agente você encontra mais ideias.

Perguntas frequentes

Fontes

• https://developer.wordpress.org/advanced-administration/security/backup/
• https://developer.wordpress.org/advanced-administration/upgrade/upgrading/
• https://developer.wordpress.org/advanced-administration/security/hardening/
• https://wordpress.org/about/requirements/
• https://www.php.net/supported-versions.php
• https://web.dev/articles/vitals
• https://support.google.com/webmasters/answer/2445990
• https://developers.google.com/search/docs/crawling-indexing/http-network-errors
• https://woocommerce.com/document/email-faq/
• https://letsencrypt.org/docs/faq/
• https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
• https://www.digicert.com/campaigns/tls-ssl-certificate-validity