{"id":836377,"date":"2026-07-06T11:39:42","date_gmt":"2026-07-06T11:39:42","guid":{"rendered":"https:\/\/www.knowband.com\/blog\/?p=836293\/"},"modified":"2026-07-23T08:39:56","modified_gmt":"2026-07-23T08:39:56","slug":"opencart-advanced-security-manager-extension","status":"publish","type":"post","link":"https:\/\/www.knowband.com\/blog\/pt-br\/user-manual\/magento-user-manual\/opencart-advanced-security-manager-extension\/","title":{"rendered":"Extens\u00e3o OpenCart Advanced Security Manager – Guia completo do usu\u00e1rio"},"content":{"rendered":"

A maioria dos propriet\u00e1rios de lojas OpenCart acaba protegendo seus sites da maneira mais dif\u00edcil: uma extens\u00e3o para verifica\u00e7\u00e3o de login em duas etapas, outra para bloquear bots de spam, uma terceira para CAPTCHA e talvez um chamado de suporte para o provedor de hospedagem sobre um firewall. O OpenCart Security Manager foi desenvolvido para eliminar essa colcha de retalhos. Este m\u00f3dulo re\u00fane prote\u00e7\u00e3o do lado do administrador, defesa da loja virtual e monitoramento da integridade dos arquivos em uma \u00fanica tela de configura\u00e7\u00f5es dentro do painel de administra\u00e7\u00e3o do OpenCart.<\/span><\/p>\n

Se voc\u00ea est\u00e1 procurando por uma extens\u00e3o de autentica\u00e7\u00e3o de dois fatores para OpenCart, uma extens\u00e3o de firewall para OpenCart, prote\u00e7\u00e3o contra ataques de for\u00e7a bruta em logins ou uma maneira de disfar\u00e7ar seu diret\u00f3rio de administra\u00e7\u00e3o sem precisar usar cinco complementos diferentes, esta \u00fanica extens\u00e3o foi criada para atender a todas essas necessidades.<\/span><\/p>\n

O Extens\u00e3o OpenCart Advanced Security Manager<\/a> Est\u00e1 organizado em tr\u00eas se\u00e7\u00f5es, cada uma dividida em seu pr\u00f3prio conjunto de abas:<\/span><\/p>\n

Prote\u00e7\u00e3o do administrador<\/strong>Verifica\u00e7\u00e3o em duas etapas, limita\u00e7\u00e3o de tentativas de login, acesso administrativo restrito por IP, oculta\u00e7\u00e3o do diret\u00f3rio administrativo, solicita\u00e7\u00e3o de login no n\u00edvel do servidor e rastreamento da atividade de login.<\/span><\/p>\n

Prote\u00e7\u00e3o de vitrine<\/strong>Firewall de aplica\u00e7\u00e3o web, cabe\u00e7alhos de resposta de seguran\u00e7a, filtragem de spam em formul\u00e1rios (CAPTCHA), mecanismos de preven\u00e7\u00e3o de c\u00f3pia\/raspagem e um aviso de acesso em toda a loja virtual.<\/span><\/p>\n

Monitoramento de integridade de arquivos<\/strong>: Verifica\u00e7\u00f5es agendadas, sinaliza\u00e7\u00e3o de amea\u00e7as e um registro do hist\u00f3rico de verifica\u00e7\u00f5es.<\/span><\/p>\n

Cada \u00e1rea ser\u00e1 abordada campo por campo mais adiante neste documento, para que voc\u00ea sempre entenda a fun\u00e7\u00e3o de uma configura\u00e7\u00e3o antes de ativ\u00e1-la.<\/span><\/p>\n

Os atacantes que visam lojas OpenCart tendem a explorar os mesmos pontos fracos: senhas de administrador f\u00e1ceis de adivinhar, tentativas de login automatizadas, um diret\u00f3rio de administra\u00e7\u00e3o no caminho padr\u00e3o, formul\u00e1rios de contato\/cadastro desprotegidos e arquivos principais alterados silenciosamente. Esta extens\u00e3o foi criada para fechar essas brechas espec\u00edficas sem exigir um consultor de seguran\u00e7a ou uma s\u00e9rie de complementos desnecess\u00e1rios.<\/span><\/p>\n

A prote\u00e7\u00e3o \u00e9 aplicada em camadas independentes, e cada camada cobre uma superf\u00edcie diferente: a tela de login do administrador, os formul\u00e1rios voltados para a loja virtual, os cabe\u00e7alhos que seu servidor envia de volta aos navegadores e os arquivos no disco.<\/span><\/p>\n

Em termos simples: o OpenCart, por ser amplamente utilizado e de c\u00f3digo aberto, \u00e9 um alvo frequente de varreduras automatizadas. Bots sondam os caminhos administrativos padr\u00e3o, bombardeiam formul\u00e1rios de login com listas de credenciais e inundam formul\u00e1rios de contato com spam. Um \u00fanico login administrativo comprometido pode levar ao roubo de registros de clientes, inje\u00e7\u00e3o de c\u00f3digo ou \u00e0 desfigura\u00e7\u00e3o da loja virtual \u2014 consequ\u00eancias que custam muito mais em limpeza e perda de confian\u00e7a do que o tempo de configura\u00e7\u00e3o necess\u00e1rio para esta extens\u00e3o.<\/span><\/p>\n

Caracter\u00edsticas principais de Extens\u00e3o OpenCart Security Manager<\/a><\/span>
\n<\/span><\/h2>\n

Verifica\u00e7\u00e3o em duas etapas (2FA)<\/b><\/p>\n

Exige que um administrador forne\u00e7a um c\u00f3digo rotativo de seis d\u00edgitos de um aplicativo autenticador, al\u00e9m de sua senha. Isso impede a invas\u00e3o da conta mesmo quando a senha tiver sido vazada, adivinhada ou reutilizada em outra viola\u00e7\u00e3o de seguran\u00e7a.<\/span><\/p>\n

Exemplo: Uma loja com tr\u00eas usu\u00e1rios administradores pode exigir autentica\u00e7\u00e3o de dois fatores (2FA) para todos, exceto para o IP fixo do escrit\u00f3rio de um prestador de servi\u00e7os, que \u00e9 isento. Dica: adicione seus pr\u00f3prios endere\u00e7os IP confi\u00e1veis \u200b\u200b\u00e0 lista de permiss\u00f5es antes de ativar a aplica\u00e7\u00e3o em todo o site, para que voc\u00ea nunca seja solicitado a se cadastrar a partir de uma conex\u00e3o da qual n\u00e3o possa realizar a\u00e7\u00f5es.<\/span><\/p>\n

Limita\u00e7\u00e3o de tentativas de login<\/b><\/p>\n

Bloqueia temporariamente um endere\u00e7o IP quando este acumula um n\u00famero excessivo de tentativas de login de administrador falhas dentro de um determinado per\u00edodo de tempo – sem necessidade de monitoramento manual.<\/span><\/p>\n

Exemplo: se um script disparar 50 tentativas de senha no login de administrador em menos de um minuto, o IP de origem ser\u00e1 bloqueado automaticamente assim que o limite de tentativas for atingido. Dica: combine um limite moderado de tentativas (5 a 10 tentativas) com um bloqueio suficientemente longo para desencorajar novas tentativas (15 a 30 minutos) e isente o IP do seu escrit\u00f3rio ou VPN para que um erro de digita\u00e7\u00e3o n\u00e3o bloqueie o acesso da sua equipe.<\/span><\/p>\n

Acesso administrativo restrito por IP<\/b><\/p>\n

Limita o acesso ao painel de administra\u00e7\u00e3o a uma lista definida de endere\u00e7os \u2014 qualquer outra pessoa \u00e9 impedida de acessar antes mesmo do formul\u00e1rio de login ser carregado. Este \u00e9 o controle mais eficaz contra acessos externos ao painel de administra\u00e7\u00e3o, j\u00e1 que o bloqueio ocorre antes mesmo da verifica\u00e7\u00e3o de quaisquer credenciais.<\/span><\/p>\n

Oculta\u00e7\u00e3o do diret\u00f3rio de administra\u00e7\u00e3o<\/strong><\/p>\n

Este recurso oculta o caminho administrativo real por tr\u00e1s de uma URL alternativa secreta; o caminho genu\u00edno retorna um erro 404 para qualquer pessoa que n\u00e3o conhe\u00e7a o nome alternativo. Isso impede que sua loja seja encontrada por bots que buscam por nomes de pastas administrativas comuns.<\/span><\/p>\n

Solicita\u00e7\u00e3o de login em n\u00edvel de servidor (autentica\u00e7\u00e3o HTTP)<\/b><\/p>\n

Adiciona uma solicita\u00e7\u00e3o de nome de usu\u00e1rio\/senha nativa do navegador em frente ao painel de administra\u00e7\u00e3o, \u00e0 loja virtual ou a ambos, antes que a tela de login do OpenCart seja carregada. Isso \u00e9 executado completamente fora do aplicativo, o que \u00e9 \u00fatil para sites de teste, lojas em fase de pr\u00e9-lan\u00e7amento ou como uma barreira administrativa adicional.<\/span><\/p>\n

WAF (Web Application Firewall)<\/b><\/p>\n

Analisa os dados GET\/POST e os cookies recebidos em busca de padr\u00f5es conhecidos de inje\u00e7\u00e3o de SQL, cross-site scripting e path traversal, e bloqueia as correspond\u00eancias com um HTTP 403 antes que elas cheguem ao c\u00f3digo do OpenCart.<\/span><\/p>\n

Cabe\u00e7alhos de resposta de seguran\u00e7a<\/b><\/p>\n

Adiciona cabe\u00e7alhos (HSTS, prote\u00e7\u00e3o contra clickjacking, prote\u00e7\u00e3o contra MIME-sniffing, pol\u00edtica de referenciador, pol\u00edtica de permiss\u00f5es) que instruem os navegadores a aplicar medidas de seguran\u00e7a adicionais. Esta \u00e9 uma forma de baixo risco para refor\u00e7ar a maneira como os navegadores tratam seu site, e \u00e9 frequentemente exigida em listas de verifica\u00e7\u00e3o de PCI e auditorias de seguran\u00e7a.<\/span><\/p>\n

Filtragem de spam em formul\u00e1rios (CAPTCHA)<\/b><\/p>\n

Adiciona verifica\u00e7\u00e3o CAPTCHA – Cloudflare Turnstile, Google reCAPTCHA ou hCaptcha – ao formul\u00e1rio de contato e ao formul\u00e1rio de registro, reduzindo envios de spam e cadastros falsos sem necessidade de altera\u00e7\u00f5es no tema.<\/span><\/p>\n

Medidas de preven\u00e7\u00e3o de c\u00f3pia\/raspagem<\/b><\/p>\n

Desencoraja a c\u00f3pia casual de conte\u00fado ao desativar os atalhos de clique com o bot\u00e3o direito, copiar\/colar, exibir c\u00f3digo-fonte e Ferramentas de Desenvolvedor, aumentando o esfor\u00e7o necess\u00e1rio para extrair textos e imagens de produtos de forma casual.<\/span><\/p>\n

Monitoramento de integridade de arquivos<\/b><\/p>\n

Executa verifica\u00e7\u00f5es agendadas que comparam sua instala\u00e7\u00e3o do OpenCart com uma base de refer\u00eancia confi\u00e1vel, sinalizando arquivos novos ou alterados como poss\u00edveis amea\u00e7as \u2013 muitas vezes detectando uma viola\u00e7\u00e3o de seguran\u00e7a antes que ela apare\u00e7a na loja virtual.<\/span><\/p>\n

Vis\u00e3o geral detalhada da extens\u00e3o de seguran\u00e7a do OpenCart<\/b><\/p>\n

Prote\u00e7\u00e3o do administrador<\/b> – Abrange o login e as sess\u00f5es de administrador: autentica\u00e7\u00e3o de dois fatores (2FA), limita\u00e7\u00e3o de logins, restri\u00e7\u00e3o de IP, oculta\u00e7\u00e3o de diret\u00f3rios, solicita\u00e7\u00e3o de login no n\u00edvel do servidor e monitoramento de logins (que inclui uma subvisualiza\u00e7\u00e3o de Usu\u00e1rios para gerenciar inscri\u00e7\u00f5es individuais de 2FA).<\/span><\/p>\n

Prote\u00e7\u00e3o de vitrine<\/b> – Abrange o tr\u00e1fego voltado para o cliente: o firewall, os cabe\u00e7alhos de resposta, a filtragem de spam, o bloqueio de bots de carrinho, os mecanismos anti-c\u00f3pia e a solicita\u00e7\u00e3o de login em toda a loja virtual.<\/span><\/p>\n

Monitoramento de integridade de arquivos<\/b> – Configura\u00e7\u00f5es e hist\u00f3rico de varreduras, incluindo a URL do cron usada para agendamento e um registro pesquis\u00e1vel de varreduras anteriores.<\/span>
\n<\/span><\/p>\n

No topo de cada aba, voc\u00ea encontrar\u00e1 o link de recupera\u00e7\u00e3o de emerg\u00eancia \u2014 um URL permanente que desativa os recursos restritivos da extens\u00e3o com um \u00fanico clique, caso voc\u00ea fique bloqueado. Este \u00e9 o detalhe mais importante deste manual: encontre-o agora, antes de alterar qualquer outra configura\u00e7\u00e3o, e salve-o em algum lugar fora do painel de administra\u00e7\u00e3o. Esta \u00e9 uma informa\u00e7\u00e3o crucial que todo administrador deve ter em mente.<\/span><\/h4>\n

\"\"<\/a><\/p>\n

A visualiza\u00e7\u00e3o Usu\u00e1rios em Prote\u00e7\u00e3o de Administrador lista todas as contas de administrador (ID, nome, e-mail, status atual da autentica\u00e7\u00e3o de dois fatores) e permite redefinir um cadastro de autentica\u00e7\u00e3o perdido ou comprometido para que a pessoa possa registrar um novo no pr\u00f3ximo login.<\/span><\/p>\n

Os relat\u00f3rios ficam armazenados em dois locais: o Log de Tentativas de Login em Prote\u00e7\u00e3o Administrativa (IP, data e hora, e-mail e resultado para cada tentativa de login de administrador, ap\u00f3s a ativa\u00e7\u00e3o do registro) e a tabela Hist\u00f3rico de Varreduras em Monitoramento de Integridade de Arquivos (cada execu\u00e7\u00e3o de varredura, manual ou agendada, com contagem de arquivos, contagem de amea\u00e7as, dura\u00e7\u00e3o e um link para o relat\u00f3rio completo).<\/span><\/p>\n

Como cada recurso realmente funciona<\/b><\/p>\n

Verifica\u00e7\u00e3o em duas etapas<\/strong><\/p>\n

Este sistema utiliza o protocolo padr\u00e3o TOTP (Time-based One-Time Password) \u2014 o mesmo usado pelo Google Authenticator, Authy e aplicativos similares. Quando um administrador ativa a autentica\u00e7\u00e3o de dois fatores (2FA) ou quando esta \u00e9 exigida por meio de uma pol\u00edtica de seguran\u00e7a em todo o site, ele escaneia um c\u00f3digo QR em seu aplicativo autenticador, que gera um novo c\u00f3digo de seis d\u00edgitos a cada 30 segundos. Esse c\u00f3digo \u00e9 inserido juntamente com a senha normal a cada login.<\/span><\/p>\n

Limita\u00e7\u00e3o de tentativas de login<\/b><\/p>\n

Cada tentativa de login de administrador malsucedida \u00e9 registrada para o endere\u00e7o IP de origem. Quando as falhas de um determinado IP ultrapassam o limite configurado dentro do per\u00edodo definido, esse IP \u00e9 bloqueado para novas tentativas at\u00e9 o t\u00e9rmino do per\u00edodo de bloqueio.<\/span><\/p>\n

Acesso administrativo restrito por IP<\/b><\/p>\n

Uma vez ativada, toda solicita\u00e7\u00e3o ao painel de administra\u00e7\u00e3o \u00e9 verificada em rela\u00e7\u00e3o a uma lista de permiss\u00f5es antes que o roteamento do OpenCart seja executado. Qualquer pessoa que n\u00e3o esteja na lista \u00e9 bloqueada imediatamente \u2014 ela nunca chega ao formul\u00e1rio de login.<\/span><\/p>\n

Oculta\u00e7\u00e3o do diret\u00f3rio de administra\u00e7\u00e3o<\/b><\/p>\n

A extens\u00e3o intercepta as solicita\u00e7\u00f5es para o seu caminho administrativo real e retorna um erro 404, a menos que o visitante j\u00e1 tenha acessado uma URL secreta de alias, que define um cookie e o redireciona silenciosamente para o local real.<\/span><\/p>\n

Prompt de login em n\u00edvel de servidor<\/b><\/p>\n

Isso adiciona um prompt separado, nativo do navegador – renderizado pelo pr\u00f3prio navegador em vez de um formul\u00e1rio do OpenCart – em frente ao painel de administra\u00e7\u00e3o, \u00e0 loja virtual ou a ambos, aplicado no n\u00edvel do servidor web antes da execu\u00e7\u00e3o de qualquer l\u00f3gica PHP.<\/span><\/p>\n

Firewall de Aplica\u00e7\u00e3o Web<\/b><\/p>\n

O WAF verifica os par\u00e2metros de consulta recebidos, os campos POST e os cookies em rela\u00e7\u00e3o a uma biblioteca de padr\u00f5es conhecidos de inje\u00e7\u00e3o, XSS e path traversal. Uma correspond\u00eancia aciona um erro 403 imediato antes que a solicita\u00e7\u00e3o chegue aos controladores do OpenCart.<\/span><\/p>\n

Cabe\u00e7alhos de resposta de seguran\u00e7a<\/b><\/p>\n

Cada op\u00e7\u00e3o aqui adiciona um cabe\u00e7alho espec\u00edfico, instruindo o navegador do visitante a impor um comportamento espec\u00edfico \u2014 como recusar a renderiza\u00e7\u00e3o da p\u00e1gina em um iframe, recusar a tentativa de adivinha\u00e7\u00e3o de tipos de arquivo, for\u00e7ar o uso de HTTPS e assim por diante.<\/span><\/p>\n

Filtragem de spam em formul\u00e1rios<\/b><\/p>\n

Quando ativada, a extens\u00e3o insere automaticamente o widget CAPTCHA escolhido nos formul\u00e1rios de contato e cadastro da loja, sem necessidade de editar o tema, e verifica a resposta no servidor antes de aceitar o envio.<\/span><\/p>\n

Medidas de preven\u00e7\u00e3o de c\u00f3pia\/raspagem<\/b><\/p>\n

Um conjunto de restri\u00e7\u00f5es do lado do cliente \u2014 desativando copiar\/recortar\/colar, clique com o bot\u00e3o direito, sele\u00e7\u00e3o de texto, visualiza\u00e7\u00e3o do c\u00f3digo-fonte e atalhos das Ferramentas de Desenvolvedor \u2014 foi aplicado em toda a loja virtual, com uma lista de permiss\u00f5es de IP para funcion\u00e1rios que precisam do comportamento normal do navegador.<\/span><\/p>\n

Monitoramento de integridade de arquivos<\/b><\/p>\n

Uma tarefa agendada, acionada pelo agendador cron do seu servidor ao acessar uma URL exclusiva e protegida por token, verifica todos os arquivos da sua instala\u00e7\u00e3o, compara-os com uma base de refer\u00eancia mantida de arquivos essenciais do OpenCart e extens\u00f5es comuns, e sinaliza qualquer arquivo novo, ausente ou modificado.<\/span><\/p>\n

1.0.0 Prote\u00e7\u00e3o do Administrador<\/strong><\/h2>\n

Verifica\u00e7\u00e3o em duas etapas<\/b><\/p>\n

\"\"<\/a><\/p>\n

Habilitar 2FA – ativa o suporte \u00e0 autentica\u00e7\u00e3o de dois fatores; os administradores ser\u00e3o orientados a configurar um aplicativo autenticador no pr\u00f3ximo login.<\/span><\/p>\n

IPs da lista de permiss\u00f5es <\/b>– Endere\u00e7os que ignoram completamente a autentica\u00e7\u00e3o de dois fatores (2FA), mesmo com a aplica\u00e7\u00e3o da pol\u00edtica de seguran\u00e7a ativada. Adicione sua rede dom\u00e9stica ou do escrit\u00f3rio como medida de seguran\u00e7a antes de aplicar a pol\u00edtica de seguran\u00e7a.<\/span><\/p>\n

For\u00e7ar 2FA<\/b> – Exige que todos os administradores que n\u00e3o estejam na lista de permiss\u00f5es configurem a autentica\u00e7\u00e3o de dois fatores (2FA) antes de prosseguir. Habilite somente ap\u00f3s adicionar um endere\u00e7o IP confi\u00e1vel \u00e0 lista de permiss\u00f5es ou confirmar que o link de recupera\u00e7\u00e3o funciona.<\/span><\/p>\n

ID <\/b>– Identifica a conta de administrador.<\/span><\/p>\n

Status da autentica\u00e7\u00e3o de dois fatores (2FA)<\/b> – Mostra se a autentica\u00e7\u00e3o de dois fatores (2FA) est\u00e1 atualmente ativada nessa conta. Vale a pena verificar periodicamente, especialmente ap\u00f3s mudan\u00e7as na equipe.<\/span><\/p>\n

A\u00e7\u00e3o <\/b>– Redefine um cadastro de autentica\u00e7\u00e3o de dois fatores (2FA) perdido para que o usu\u00e1rio possa registrar um novo dispositivo. Use imediatamente se algu\u00e9m perder o celular autenticador.<\/span><\/p>\n

Implementar a autentica\u00e7\u00e3o de dois fatores (2FA) inicialmente como opcional e, em seguida, torn\u00e1-la obrigat\u00f3ria quando todos estiverem inscritos, \u00e9 a melhor estrat\u00e9gia. <\/span>caminho recomendado <\/b>Isso impede a apropria\u00e7\u00e3o indevida de contas por meio de senhas vazadas, adivinhadas ou reutilizadas, j\u00e1 que a senha sozinha n\u00e3o \u00e9 mais suficiente. Nunca imponha a autentica\u00e7\u00e3o de dois fatores (2FA) em todo o site sem antes adicionar pelo menos um endere\u00e7o IP confi\u00e1vel \u00e0 lista de permiss\u00f5es ou confirmar se o link de recupera\u00e7\u00e3o funciona. Mantenha essa lista de permiss\u00f5es curta e revisada regularmente, pois esses endere\u00e7os ignoram completamente a 2FA. Adicione “redefinir 2FA” \u00e0 sua lista de verifica\u00e7\u00e3o de desligamento para funcion\u00e1rios que est\u00e3o saindo da empresa.<\/span><\/p>\n

Prote\u00e7\u00e3o de for\u00e7a bruta<\/b><\/h3>\n

\"\"<\/a><\/p>\n

Ativar limita\u00e7\u00e3o de requisi\u00e7\u00f5es – bloqueia temporariamente um endere\u00e7o IP ap\u00f3s um n\u00famero excessivo de tentativas de login de administrador malsucedidas. Recomendado para qualquer loja em produ\u00e7\u00e3o.<\/span><\/p>\n

M\u00e1ximo de tentativas<\/b> – N\u00famero de tentativas falhas permitidas antes que uma suspens\u00e3o seja aplicada. 5 \u00e9 um valor padr\u00e3o razo\u00e1vel.<\/span><\/p>\n

Janela de tempo (segundos) – o per\u00edodo cont\u00ednuo em que as falhas s\u00e3o contabilizadas. 300 segundos (5 minutos) funciona para a maioria das lojas.<\/span><\/p>\n

Tempo de banimento (segundos)<\/b>) – quanto tempo um IP banido permanece bloqueado; expira automaticamente.<\/span><\/p>\n

IPs da lista de permiss\u00f5es<\/b> – endere\u00e7os nunca foram contabilizados no limite ou banidos.<\/span><\/p>\n

Comece com valores moderados, verifique seu registro de login ap\u00f3s uma semana e aumente a seguran\u00e7a se padr\u00f5es de ataque repetidos continuarem aparecendo de IPs variados. Isso funciona melhor em conjunto com a autentica\u00e7\u00e3o de dois fatores (2FA) do que sozinha \u2014 a limita\u00e7\u00e3o de tr\u00e1fego retarda os ataques, enquanto a 2FA os impede completamente, mesmo que a senha seja eventualmente descoberta. Os bloqueios s\u00e3o removidos automaticamente ap\u00f3s o t\u00e9rmino do per\u00edodo; n\u00e3o \u00e9 necess\u00e1rio remover o bloqueio manualmente.<\/span><\/p>\n

Acesso administrativo restrito por IP<\/b><\/h3>\n

\"\"<\/a><\/p>\n