# Contrato de manutenção de segurança para sites e servidores

> Contrato de manutenção de sites com segurança: atualizações, cópias de segurança testadas, monitorização e responsabilidades claras para sites e servidores.

Fonte: https://phpsos.de/pt/leistungen/security-wartungsvertrag/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** um contrato de manutenção de sites com foco na segurança garante que atualizações, cópias de segurança e vigilância não dependem do acaso. Acompanhamos de forma duradoura os seus sites e servidores PHP, mantemos o estado atualizado, testamos a recuperação e reagimos segundo um processo acordado quando é conhecida uma vulnerabilidade nova. Recebe regularmente um relatório compreensível.

## Porque é que a segurança pertence ao contrato de manutenção de sites

Muitos contratos de manutenção cobrem atualizações do CMS e ficam por aí. O PHP2Shell mostrou que isso não basta: as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 estão no próprio PHP, e não no CMS. Uma atualização do WordPress ou do Shopware não as corrige. Quem só cuida do CMS não tem em vista o perigo verdadeiro.

Acresce o fator tempo. Entre o pré-aviso do php.net a 20/10/2026 e a publicação dos patches a 21/10 passou um dia; segundo notícias dos meios de comunicação, houve já a 17/10 uma primeira tentativa de ataque observada. Em situações destas, só ajuda um processo que já esteja definido e alguém que tenha acesso e saiba que sistemas estão afetados. Quem só em caso de emergência procura credenciais, telefona a prestadores e esclarece responsabilidades perde precisamente o tempo que os atacantes usam.

Um outro ponto é muitas vezes subestimado: cópias de segurança que nunca foram repostas são uma promessa sem prova. Só um teste de recuperação mostra se uma cópia está completa e quanto tempo demora realmente o regresso ao funcionamento.

## Para quem compensa um contrato de manutenção de segurança

Um contrato de manutenção com foco na segurança adequa-se sobretudo a empresas cujo site ou loja é crítico para o negócio, mas que não têm administração própria para servidores e PHP. São típicos os comerciantes online, consultórios, escritórios de advogados e empresas de média dimensão com portais de clientes, mas também entidades públicas com vários sites.

É igualmente útil quando a responsabilidade está hoje repartida por muitos ombros: uma agência construiu o site, um fornecedor de alojamento fornece o servidor, um antigo colaborador conhecia os acessos. Nestas constelações, em situações como a do PHP2Shell, rapidamente se vê que ninguém é claramente responsável. O contrato cria um ponto fixo que está ao corrente e pode agir.

Para um único site pequeno, sem formulários nem dados de clientes, pode bastar um âmbito mais enxuto. Esclarecemos isso no levantamento.

## O que inclui o contrato de manutenção de segurança

- **Atualizações:** sistema operativo, servidor web, PHP, CMS, extensões e dependências, num ritmo fixo e, adicionalmente, em caso de vulnerabilidades críticas
- **Reinício e comprovativo:** após atualizações do PHP, reinício de todos os workers, com verificação de que não correm processos antigos
- **Cópias de segurança:** segundo a regra 3-2-1, com teste de recuperação regular. Os fundamentos constam de [Cópias de segurança segundo a regra 3-2-1](https://phpsos.de/pt/ratgeber/backups-3-2-1/).
- **Vigilância:** integridade de ficheiros, inícios de sessão, processos e registos, como descrito em [Monitorização de segurança para servidores web](https://phpsos.de/pt/leistungen/security-monitoring/)
- **Ciclo de vida:** planeamento antecipado antes de uma versão do PHP atingir o fim do suporte, por exemplo o PHP 8.2 a 31/12/2026
- **Processo de emergência:** passos acordados para o caso de emergência, acessos e interlocutores que são conhecidos de imediato no incidente
- **Relatório:** resumo regular com atualizações instaladas, eventos e recomendações

## Quem é responsável por quê?

Muitas vulnerabilidades não surgem do ponto de vista técnico, mas organizacional: cada um pensa que outro trata do assunto. Por isso, registamos as responsabilidades por escrito. Um exemplo típico:

| Tarefa | Fornecedor de alojamento | Agência | PHP SOS | Você |
|---|---|---|---|---|
| Hardware, rede, centro de dados | sim | | | |
| Sistema operativo e atualizações do PHP | conforme o contrato | | sim | |
| CMS e extensões | | sim | após acordo | |
| Conteúdos e contas de utilizador | | | | sim |
| Vigilância e processo de emergência | | | sim | autorizações |

A distribuição real depende dos seus contratos. Sobretudo nos servidores geridos, vale a pena olhar com atenção para o que o fornecedor realmente assume, ver [Servidor gerido: esclarecer a responsabilidade](https://phpsos.de/pt/server/managed-server/). As agências com muitos sites de clientes encontram um modelo adequado em [Parceiro de segurança para agências](https://phpsos.de/pt/branchen/agenturen-white-label/).

## Como ajuda concretamente a PHP SOS?

1. **Levantamento:** registamos todos os sites, servidores, versões, acessos, cópias de segurança e contratos existentes.
2. **Primeira proteção:** as atualizações em aberto e as vulnerabilidades conhecidas são fechadas primeiro, antes de começar o acompanhamento contínuo.
3. **Acordo:** registamos por escrito o âmbito, o ritmo, as responsabilidades e o processo de emergência, incluindo a questão de quando lhe é perguntado antes de alterações.
4. **Acompanhamento contínuo:** atualizações, cópias de segurança, vigilância e relatórios segundo o plano e, em caso de vulnerabilidades críticas, adicionalmente segundo o processo de emergência acordado.
5. **Revisão anual:** verificamos em conjunto se o contrato ainda se adequa ao seu parque de sistemas.

## O que precisamos e o que não prometemos

Precisamos de acessos administrativos duradouros, de uma pessoa de contacto com poder de decisão, de contacto com o fornecedor de alojamento e a agência e de informação sobre alterações planeadas nas suas aplicações. Gerimos os acessos em separado por cliente e documentamos quem tem acesso. Se planeia alterações nos seus sistemas, por exemplo uma loja nova, mais um site ou uma mudança de fornecedor de alojamento, avise-nos cedo, para que atualizações, cópias de segurança e vigilância acompanhem o crescimento.

Não prometemos que os seus sistemas nunca sejam atacados. Um contrato de manutenção reduz o risco e assegura que, em caso de emergência, se age de forma rápida e ordenada. Não indicamos preços nem prazos de reação de forma genérica, mas fixamo-los na proposta depois do levantamento. Como preparar adicionalmente, do ponto de vista organizacional, o caso de emergência, descreve-o [Elaborar um plano de emergência de TI para servidores web](https://phpsos.de/pt/compliance/notfallplan-erstellen/).


## Perguntas frequentes

**O que deve constar de um contrato de manutenção de sites com foco na segurança?**  
No mínimo, atualizações do servidor, do PHP, do CMS e das extensões, cópias de segurança regulares com teste de recuperação, uma vigilância de segurança e uma regra clara para emergências. É também importante registar por escrito quem é responsável por quê.

**O contrato de manutenção substitui a minha agência ou o meu fornecedor de alojamento?**  
Não necessariamente. Muitas vezes trabalhamos com a agência e o fornecedor de alojamento e assumimos a parte da segurança. O decisivo é que as responsabilidades estejam distribuídas sem lacunas e que nada fique esquecido entre os envolvidos.

**O que acontece quando se torna conhecida uma vulnerabilidade crítica como o PHP2Shell?**  
Nesse caso, verificamos quais dos seus sistemas estão afetados, instalamos atualizações segundo o processo acordado ou aplicamos medidas provisórias e informamo-lo do estado. A rapidez com que isso acontece é definida em conjunto, no contrato.

**Existe um preço fixo?**  
O âmbito depende do número e do tipo dos seus sistemas. Depois de um levantamento, elaboramos uma proposta que descreve exatamente o que está incluído.

## Fontes

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: versões suportadas](https://www.php.net/supported-versions.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)