Google reCaptcha no login do WordPress

Você quer saber como adicionar o Google reCaptcha na página de login do WordPress? Então está no lugar certo! Ao navegar pela internet, provavelmente você já se deparou com o Google reCaptcha. O reCaptcha é um mecanismo de defesa criado pelo Google, que funciona identificando se o acesso a uma página está sendo realizado por uma pessoa humana. Dessa forma, ele protege aquela página contra acesso de robôs programados, geralmente, para invadir, investigar ou danificar seu sistema.

Atualmente, o WordPress é o CMS mais utilizado para desenvolvimento de sites no mundo! Se você está lendo esse conteúdo, provavelmente é porque você também o utiliza ou pretende utilizá-lo. Portanto, saber como proteger seu site WordPress é extremamente importante!

Quando falamos de segurança cibernética, muitas pessoas imaginam que seja algo complexo, difícil, e por conta disso acabam ignorando esses assuntos. Porém, sabia que com o WordPress você consegue aumentar a segurança do seu site de forma bem simples? Na maioria das vezes, apenas instalando plugins que já fazem todo o processo “complicado” para você de forma automática! E com o reCaptcha não é diferente! Em apenas alguns cliques, você é capaz de instalar e configurar o Google reCaptcha no seu WordPress e ficar protegido contra ataques de robôs maliciosos!

Nesse tutorial, você vai aprender tudo que precisa fazer para instalar e configurar o Google reCaptcha no seu WordPress de forma simples e rápida, independente se você é um iniciante no WordPress ou um especialista!

O que é o Google reCAPTCHA?

O Google reCAPTCHA é um mecanismo de segurança criado e disponibilizado pelo Google. Esse mecanismo é capaz de validar se um usuário do seu site é de fato um humano ou se é um robô. Dessa forma, ele consegue evitar que robôs realizem certas ações em seu site, como, por exemplo: realizar cadastro, realizar login, enviar mensagens de spam, entre outros.

Apesar de parecer simples, é um mecanismo de defesa extremamente poderoso que pode aumentar a segurança do seu site!

Geralmente, o reCAPTCHA é utilizado no site em momentos mais sensíveis de navegação. Por exemplo: para preenchimento de formulários, cadastro, login, envio de mensagens, realização de compras em um e-commerce, acessar redes sociais, entre outros. Ou seja, em momentos em que é essencial garantir que a ação seja realizada por um humano, e não por um robô.

Como funciona o Google reCAPTCHA?

De forma geral, o reCAPTCHA representa uma nova camada de proteção para o seu site que acrescenta algumas etapas para verificar a autenticidade da navegação de um usuário. Ao realizar as ações exigidas pelo reCAPTCHA, sem erros e com sucesso, significa então que a navegação está sendo realizada por um Humano!

Abaixo, na imagem, você pode ver um exemplo de verificação que o reCAPTCHA acrescenta:

Na imagem acima, o reCAPTCHA exige que o usuário selecione os blocos de imagem que contenham algo especifico. Se o usuário consegue selecionar os blocos corretos, significa que ele é um humano! Em alguns casos, pode haver mais de uma etapa.

Outro exemplo do reCAPTCHA que exige menos etapas, e provavelmente é o mais comum atualmente, é como na imagem abaixo:

Neste exemplo, bastaria que o usuário marcasse a caixa de marcação (checkbox) acima, e então ele seria validado como um humano.

Ambos os exemplos acima, consistem em ações do usuário diretamente com o reCAPTCHA, através de desafios visuais. Essas opções estão relacionadas, em especial, à versão do reCAPTCHA v2.

Porém, o reCAPTCHA também possui uma versão que é mais tranquila, onde realiza uma série de testes ocultos de forma automática, gerando uma pontuação, e assim define se o comportamento daquele usuário é humano ou se é suspeito de ser uma máquina. Essa opção está disponível através do reCAPTCHA v3.

Uma nota sobre o limite gratuito

O reCAPTCHA clássico é gratuito até 10.000 avaliações por mês. Cada carregamento de uma página protegida conta como uma avaliação — não apenas os logins tentados.

Para um site institucional com formulário de contato e login administrativo, isso é folgado. Mas se você protege páginas de alto tráfego, vale a pena acompanhar o volume no painel do reCAPTCHA. Acima do limite, é necessário vincular uma conta do Google Cloud com faturamento.

A alternativa para quem não quer depender do Google é o Cloudflare Turnstile: gratuito sem limite de volume, não exige interação do visitante na maioria dos casos, e não usa os dados para publicidade. Há plugins de WordPress para ele.

Como instalar o reCAPTCHA no WordPress

Agora que você já sabe o que é o Google reCAPTCHA e o que ele faz, vamos ao tutorial passo a passo para incluí-lo no seu site! Vale ressaltar que, apesar de simples, são necessárias passar por algumas etapas.

A primeira etapa é gerar uma chave de utilização do Google reCAPTCHA. Após essa etapa, vamos então à instalação do reCAPTCHA no WordPress, onde utilizaremos o plugin “reCaptcha by BestWebSoft”.

1º Passo – Gerar uma chave de utilização

Para utilizar o Google reCAPTCHA em seu site ou aplicação, é necessário gerar uma chave do Google reCAPTCHA. Ou seja, uma chave para utilização do Google reCAPTCHA.

Primeiramente, acesse o site de Configuração e Administração do Google ReCAPTCHA e realize seu login com sua conta Google, como a conta do Gmail. Caso ainda não possua, basta criá-la.

Se esta for a primeira vez que está acessando, provavelmente será redirecionado a página para criar a sua chave. Caso contrário, clique na opção de criar, ou seja, no sinal de “+”, conforme a imagem abaixo:

Na página de criação da chave, defina uma etiqueta, ou seja, um nome para identificar essa chave. No nosso exemplo, utilizamos o nome “Site de Exemplo“.

Selecione a versão do reCAPTCHA. O v2 exige uma ação do visitante — marcar a caixa ou selecionar imagens — e é mais fácil de configurar. O v3 trabalha invisivelmente, atribuindo uma pontuação de comportamento, sem interromper ninguém.

Para a página de login, o v2 é a escolha mais segura, porque a interrupção é aceitável e o bloqueio é definitivo. Para formulários de contato, o v3 é preferível, porque cada obstáculo a mais reduz a quantidade de pessoas que completam o envio.

Posteriormente, digite os domínios em que você vai incluir essas chaves do reCAPTCHA. Vale ressaltar que deve-se digitar apenas o domínio, sem o http:// ou https://. Como, por exemplo, “exemplo.com.br”. Caso queira utilizá-lo também em localhost, acrescente os domínios: 127.0.0.1 e Localhost.

Defina também os proprietários dessas chaves. Por padrão, você já estará selecionado. Caso você seja o único proprietário, basta pular para a próxima etapa. Agora, leia e concorde com os termos de uso. Posteriormente, você pode selecionar se deseja ser informado de ameaças, essa é uma escolha opcional. Por fim, basta clicar em salvar e pronto.

Por fim, na próxima tela, você receberá duas chaves, Chave de Site e Chave Secreta, como no exemplo abaixo.

Essas são as sua chaves, que serão utilizadas para incluir o reCAPTCHA no seu site.

2º Passo – Instalar plugin para incluir o Google reCAPTCHA no login do WordPress

Para incluir o reCAPTCHA em nosso WordPress de forma simples, vamos utilizar o plugin “reCaptcha by BestWebSoft”. Apesar de haver vários plugins no repositório do WordPress, gostamos e recomendamos o da BestWebSoft por ser simples e estar constantemente atualizado.

Antes de instalar, vale conferir uma coisa: se você já usa o Wordfence ou o WPForms, ambos têm integração nativa com o reCAPTCHA — e nesse caso não é necessário instalar plugin adicional. Um plugin a menos é sempre preferível, e a configuração fica no painel do plugin que você já tem.

Se não usa nenhum dos dois, o reCaptcha by BestWebSoft é uma boa escolha: genérico, simples, e mantido com atualizações frequentes. É o que usamos neste tutorial, e a maioria dos plugins de reCAPTCHA segue passos bem parecidos aos daqui.

Para instalar um novo plugin, vá ao menu lateral do Painel administrativo do WordPress e, nas opções de plugin, selecione adicionar novo.

Posteriormente, pesquise pelo plugin “reCaptcha by BestWebSoft” na barra e pesquisa de plugins.

Após isso, localize o plugin e clique na opção “Instalar”.

Por fim, após a instalação ser concluída, clique na opção “ativar”.

Pronto, o plugin reCaptcha by BestWebSoft já está instalado e ativado. Porém, ainda precisamos configurá-lo.

3º Passo – Configurando o plugin “reCaptcha by BestWebSoft”

Agora que já instalamos e ativamos o plugin “reCaptcha by BestWebSoft”, aparecerá uma nova opção no menu lateral do WordPress. Portanto, selecione a opção recaptcha > Settings.

Nessa página, basta acrescentar sua chave de site e sua chave segredo, obtidas no 1º passo desse tutorial e selecionar a versão do reCAPTCHA que você cadastrou a chave. Além disso, selecione as opções em que você deseja incluir o Captcha. Portanto, selecione a opção de “Login form” para manter o reCAPTCHA no seu Login do WordPress. Além disso, você também pode selecionar outras opções que desejar. Abaixo dessas opções, você pode realizar outras configurações, integrar com outros plugins, porém, pode pular essa etapa por enquanto.

Por fim, basta clicar em “Save changes” e seu site estará configurado com CAPTCHA do Google!

Para fazer o teste, basta deslogar da sua conta e tentar acessar novamente o painel de Administração do WordPress! Pronto, agora ele deverá estar com o Google reCAPTCHA incluso no Login do WordPress, como no exemplo abaixo:

Perguntas frequentes

O reCAPTCHA é gratuito?

Sim, até 10.000 avaliações por mês. Cada carregamento de página protegida conta como uma avaliação, não apenas as tentativas de login. Para um site com formulário de contato e login administrativo, isso é bem folgado. Acima do limite, é necessário vincular uma conta do Google Cloud com faturamento.

Qual versão devo usar: v2 ou v3?

Para a página de login, o v2 — a interrupção é aceitável e o bloqueio é definitivo. Para formulários de contato, o v3 é preferível, porque funciona invisivelmente e cada obstáculo a mais reduz a quantidade de pessoas que completam o envio.

O reCAPTCHA deixa meu site mais lento?

Ele carrega um script do Google em cada página protegida, o que acrescenta algum peso. Por isso vale ativá-lo apenas nas páginas que precisam — login, cadastro, formulários — e não no site inteiro. O v3, por rodar em segundo plano, tende a ser mais leve na percepção do visitante.

O reCAPTCHA resolve o problema de ataques ao login?

Ajuda bastante, mas não sozinho. Ele bloqueia bots automatizados, que são a maioria das tentativas. Ainda vale combinar com senha forte, limite de tentativas de login — que o WordPress não tem por padrão — e, idealmente, alterar a URL da página de login, o que reduz drasticamente o volume de tentativas.

Perdi o acesso ao painel depois de ativar o reCAPTCHA. O que faço?

Isso acontece quando as chaves foram inseridas erradas ou o domínio cadastrado não corresponde ao que você acessa. Acesse por FTP ou pelo gerenciador de arquivos da hospedagem e renomeie a pasta do plugin dentro de wp-content/plugins. O WordPress desativa automaticamente o que não encontra, e o login volta ao normal.

Preciso cadastrar o www e o sem www?

Não. O reCAPTCHA considera subdomínios do domínio cadastrado, então exemplo.com.br cobre também o www. O que você precisa é cadastrar o domínio sem http:// ou https://.

Posso usar as mesmas chaves em mais de um site?

Sim, desde que todos os domínios estejam cadastrados na mesma chave — o painel do reCAPTCHA permite vários por chave. Mas as avaliações se somam no mesmo limite de 10.000 mensais, então para sites com tráfego relevante vale criar chaves separadas.

Existe alternativa ao reCAPTCHA?

Sim. O Cloudflare Turnstile é a principal: gratuito sem limite de volume, não exige interação na maioria dos casos, e não usa os dados para publicidade. Há também o hCaptcha. Ambos têm plugins de WordPress, e a configuração é bem parecida com a deste tutorial.

O reCAPTCHA funciona no formulário de comentários?

Sim, e o plugin permite ativá-lo ali. Mas para comentários, o Akismet — que já vem instalado no WordPress — costuma ser suficiente e menos intrusivo, porque filtra sem pedir nada ao visitante. Combinar os dois é possível, mas raramente necessário.

Conclusão

A cada dia, percebemos que questões de segurança cibernética são extremamente necessárias. Obviamente, com o avanço da tecnologia, temos cada vez mais soluções de segurança para nossas aplicações!

Aqui nesse tutorial você conheceu o Google ReCAPTCHA e aprendeu como incluí-lo no login do WordPress. E tudo isso de forma simples e rápida.

Porém, apesar de estar mais seguro, não significa que você esteja livre de ataques. Portanto, é muito importante que você esteja ciente e atento a outras medidas de segurança para aumentar ainda mais a defesa do seu WordPress.

Recomendamos a leitura sobre o plugin WordFence, uma ótima solução de segurança para o WordPress. Também vale a pena ler sobre como modificar a URL da página de login.