# Guias: segurança de PHP e de servidores > Guias sobre segurança PHP: webshells, backdoors, php.ini, SQL injection, XSS, uploads, registos, cópias de segurança e cabeçalhos de segurança. Fonte: https://phpsos.de/pt/ratgeber/ Atualizado em: 25/10/2026 Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6 Artigos técnicos para administradores e programadores: reconhecer webshells, reforçar o php.ini, analisar registos, programar com segurança. - [Cronologia do PHP2Shell: de 17 a 25 de outubro de 2026](https://phpsos.de/pt/ratgeber/php2shell-chronologie/): Todas as datas comprovadas do PHP2Shell numa só vista, da primeira tentativa de ataque observada até ao estado de 25/10/2026, e o que daí decorre para a sua verificação. - [Confirmação da atualização PHP do alojamento: como perguntar pelo estado do patch](https://phpsos.de/pt/ratgeber/hoster-patch-status-erfragen/): Após o PHP2Shell, a versão do PHP apresentada prova pouco. Com este modelo, pede ao seu fornecedor de alojamento uma confirmação que pode documentar. - [Detetar e remover uma webshell](https://phpsos.de/pt/ratgeber/webshell-erkennen/): Como encontrar backdoors em servidores web PHP sem destruir vestígios, e porque é que apagar raramente basta. - [Encontrar backdoor no WordPress: detetar backdoors de forma sistemática](https://phpsos.de/pt/ratgeber/backdoor-wordpress-finden/): Onde as backdoors se escondem tipicamente no WordPress e como os administradores as detetam de forma sistemática com o WP-CLI e poucos comandos. - [Configurar o php.ini com segurança](https://phpsos.de/pt/ratgeber/php-ini-sicher-konfigurieren/): Que definições do php.ini reduzem a superfície de ataque, como as proteger contra substituição e o que se aplica adicionalmente após o PHP2Shell. - [Usar corretamente o PHP disable_functions](https://phpsos.de/pt/ratgeber/disable-functions/): Com o disable_functions bloqueia funções PHP arriscadas. Como definir a lista de acordo com a sua aplicação sem paralisar o site. - [open_basedir e isolamento por site](https://phpsos.de/pt/ratgeber/open-basedir/): Como evitar, com o open_basedir, utilizadores de sistema próprios e pools PHP-FPM separados, que uma intrusão num site atinja todos os outros do servidor. - [Permissões de ficheiros no servidor web](https://phpsos.de/pt/ratgeber/dateirechte-webserver/): Porque é que o servidor web não deve alterar o seu próprio código, que permissões fazem sentido para ficheiros e pastas e como verificar rapidamente o estado atual. - [composer audit: verificar vulnerabilidades nas dependências](https://phpsos.de/pt/ratgeber/composer-abhaengigkeiten-pruefen/): Como os programadores encontram com o composer audit vulnerabilidades de segurança conhecidas em bibliotecas, automatizam a verificação e evitam erros típicos no deployment. - [PHP End of Life: riscos de versões desatualizadas](https://phpsos.de/pt/ratgeber/php-end-of-life-risiken/): O que significa o fim do suporte de uma versão do PHP, que ramos ainda recebem patches oficiais após o PHP2Shell e como tornar a migração planeável. - [Evitar SQL Injection em PHP](https://phpsos.de/pt/ratgeber/sql-injection-php/): Como os programadores excluem de forma fiável a SQL Injection em aplicações PHP com Prepared Statements, listas de permissão e permissões mínimas na base de dados. - [Evitar XSS em PHP: combater o Cross-Site Scripting com segurança](https://phpsos.de/pt/ratgeber/xss-php/): Como os programadores evitam o Cross-Site Scripting em aplicações PHP: codificação adequada ao contexto, escaping automático em templates, limpeza de HTML e uma Content Security Policy. - [Implementar uploads de ficheiros em PHP com segurança: segurança de uploads em PHP](https://phpsos.de/pt/ratgeber/datei-upload-sicher/): Os formulários de upload são um caminho frequente para webshells. Como verificar corretamente os tipos de ficheiro, guardá-los em segurança e impedir que o servidor execute scripts carregados. - [Proteger sessões em PHP: segurança de sessões PHP na prática](https://phpsos.de/pt/ratgeber/session-sicherheit-php/): As sessões mantêm os utilizadores autenticados e são, por isso, um alvo apetecível. Como configurar com segurança cookies, IDs de sessão e locais de armazenamento e aplicar o aviso do PHP2Shell sobre o upload progress. - [Desserialização insegura em PHP: unserialize e segurança](https://phpsos.de/pt/ratgeber/deserialisierung-php/): O unserialize() com dados alheios pode, no pior dos casos, levar à execução de código. Como substituí-lo por JSON, restringi-lo onde tem de permanecer e encontrar pontos arriscados no código. - [Evitar Local File Inclusion em PHP: LFI e RFI](https://phpsos.de/pt/ratgeber/lfi-rfi/): Quando o include ou o require aceitam caminhos do pedido, os atacantes podem carregar ficheiros alheios. Como construir com segurança a seleção de páginas e os modelos e proteger adicionalmente o servidor. - [Proteger logins de administração contra brute force: proteção para qualquer login](https://phpsos.de/pt/ratgeber/brute-force-login-schutz/): As tentativas automatizadas de palavras-passe atingem qualquer página de login acessível. Como travar os atacantes com rate limiting e Fail2ban, proteger contas com segundo fator e guardar corretamente as palavras-passe. - [DDoS ou ataque informático? Classificar bem os ataques](https://phpsos.de/pt/ratgeber/ddos-oder-exploit/): Site lento, carga elevada, ficheiros estranhos: se por trás está um DDoS ou uma intrusão, isso decide a reação certa. Como classificar a situação com poucas verificações. - [Analisar os registos do servidor web após um ataque: ler corretamente o registo de acessos](https://phpsos.de/pt/ratgeber/logfiles-auswerten/): Os ficheiros de registo são muitas vezes o vestígio mais importante após um ataque. Como guardar corretamente os registos de acessos, de erros e do PHP, encontrar pedidos suspeitos e evitar erros típicos na análise. - [Configurar a autenticação de dois fatores para acessos de administração](https://phpsos.de/pt/ratgeber/zwei-faktor-admin/): Uma palavra-passe roubada não pode bastar para assumir o seu servidor ou a sua loja. Como escolher o método adequado, proteger todos os acessos de administração e planear acessos de emergência. - [Estratégia de backup para servidores: backups segundo a regra 3-2-1](https://phpsos.de/pt/ratgeber/backups-3-2-1/): Um backup só ajuda se sobreviver a um ataque e puder ser restaurado. Como aplicar a regra 3-2-1 em servidores web e planear corretamente a conservação e os testes. - [Security headers para sites: definir corretamente os cabeçalhos de segurança](https://phpsos.de/pt/ratgeber/sicherheits-header/): Os cabeçalhos de segurança instruem o navegador a proteger melhor os seus visitantes. Como definir os cabeçalhos mais importantes em Nginx e Apache, introduzir uma Content Security Policy por fases e verificar o resultado. - [Remover o aviso do Google “Este site foi pirateado”](https://phpsos.de/pt/ratgeber/google-warnung-entfernen/): Um aviso de pirataria nos resultados de pesquisa custa visitantes e confiança. Como limpar o site a fundo, encontrar páginas de spam escondidas e pedir a revisão no Search Console. - [Lista de verificação após uma intrusão: 20 pontos para o acompanhamento](https://phpsos.de/pt/ratgeber/checkliste-nach-dem-hack/): Após um ataque, a sequência certa é o que conta. Esta lista de verificação guia, em 20 pontos, pela contenção, salvaguarda de provas, limpeza, novos acessos, obrigações e conclusão documentada.