Download de CMS Grátis: Obtenha com Segurança, Evite Malware

A pior infecção de site que já limpei não veio de um hacker. Veio de um arquivo ZIP. Um dono de loja pequena pegou um tema 'premium' do WordPress em um site que prometia temas pagos de graça, e onze meses depois a página de checkout começou a capturar números de cartão. O CMS em si estava limpo. O que veio junto com o download, não. Um download de CMS grátis é genuinamente gratuito e seguro, mas apenas se vier do lugar certo e você gastar dois minutos verificando. Veja como faço as duas coisas.

De onde realmente vem um download seguro de CMS grátis

Todo CMS gratuito legítimo tem exatamente um lar canônico, e nunca é um site com 'downloads grátis' no nome. O domínio do próprio projeto, via HTTPS, é a regra completa. Todo o resto, sites agregadores, 'portais de download de CMS', espelhos em fóruns, é um reenvio de origem desconhecida com extras desconhecidos embutidos.

• WordPress: apenas wordpress.org. Não 'wp-free-downloads', não um link de post de blog, não um torrent.
• Joomla: downloads.joomla.org.
• Drupal: drupal.org, pela página de releases ou via Composer.
• Grav, Pico, Bludit, WonderCMS: o site oficial do projeto ou sua página de releases no GitHub.
• Temas e plugins: o diretório oficial no site do próprio CMS, ou a loja do desenvolvedor.
• Composer, npm ou os pacotes da sua distribuição também são válidos, eles baixam das mesmas fontes canônicas com checksums anexados.

Um sinal em que confio: sites de projetos reais são ligeiramente sem graça. Uma página de download gritando com três botões piscando 'BAIXAR AGORA' está anunciando adware, e dois desses botões pertencem a outra pessoa completamente. Outro bom hábito: digite o domínio você mesmo ou use um favorito que criou depois de verificá-lo uma vez, em vez de clicar no primeiro resultado da busca. Malvertising, anúncios pagos que se passam por páginas oficiais de download, é um canal de distribuição real, e a página falsa muitas vezes aparece acima da genuína nos resultados de busca.

Versões nulled: o lado sombrio dos downloads grátis

'Nulled' significa um tema, plugin ou extensão de CMS premium pirateado com a verificação de licença removida. Alguém compra um plugin de $59, remove o código de ativação e distribui de graça. Faça a pergunta óbvia: por que um estranho gastaria dinheiro para você ter algo de graça? Porque a carga maliciosa é o produto. O pacote adiciona discretamente backlinks ocultos para redes de spam de SEO, um backdoor de administrador para uso futuro, ou um injetor que desperta meses após a instalação, muito depois de você ter parado de associá-lo àquele download.

A loja WooCommerce de um cliente rodou um plugin de slider nulled por quase um ano sem problema visível. Então o skimmer de cartão ativou conforme programado. A limpeza, análise forense, redefinições forçadas de senha, disputas com o provedor de pagamento, custou cerca de quarenta vezes o valor da licença do plugin. Download grátis, aprendizado caro.

• Alerta vermelho: sites que oferecem temas ou plugins premium '100% grátis, licenciados sob GPL, verificados contra vírus'.
• Alerta vermelho: um ZIP cujos nomes de pastas internas não correspondem à estrutura do lançamento oficial.
• Alerta vermelho: um instalador que pede para desativar o antivírus 'por compatibilidade'.
• Alerta vermelho: qualquer coisa descrita como 'pré-ativado' ou 'sem necessidade de licença'.
• Alerta vermelho: links de download que passam por encurtadores de URL, armários de arquivos ou páginas de contagem regressiva.

O que as infecções realmente fazem com seu site? Na maioria das vezes, elas o alugam. Redes de spam compram links injetados aos milhares para impulsionar rankings de pílulas e cassinos. Operadores de botnets adicionam seu servidor ao pool de DDoS deles. Grupos de skimmers esperam especificamente por lojas, porque as páginas de checkout são onde os números de cartão estão. Seu humilde blog de cinco páginas não está abaixo da atenção deles; é uma commodity com preço de mercado de alguns dólares, e a infecção é totalmente automatizada.

O que verificar antes de executar um download de CMS grátis

Trinta segundos de lição de casa antes de descompactar qualquer coisa economizam fins de semana depois. Minha lista de verificação pré-instalação, em ordem:

1. O domínio corresponde ao site oficial do projeto, letra por letra. Cuidado com caracteres trocados como 'wordprress'.
2. O número da versão que você está obtendo existe nas notas de lançamento oficiais ou no changelog do projeto.
3. O projeto está ativo: commits, lançamentos ou posts de segurança nos últimos doze meses.
4. Um checksum ou assinatura é publicado junto com o arquivo, um hash SHA-256, uma assinatura GPG ou ambos.
5. O arquivo contém um arquivo de licença que diz o que você espera: GPL, MIT ou similar.
6. Ninguém no fórum ou rastreador de issues do próprio projeto está alertando sobre a versão atual.

Verificando os arquivos que você baixou

Checksums soam a coisa de nerd e levam dez segundos. No Windows, abra um terminal na pasta de downloads e execute: certutil -hashfile nome-do-arquivo.zip SHA256. No macOS: shasum -a 256 nome-do-arquivo.zip. No Linux: sha256sum nome-do-arquivo.zip. Compare a saída com o hash na página oficial de download, caractere por caractere. Igual significa que o arquivo é exatamente o que o projeto publicou. Diferente significa excluí-lo e baixar novamente da fonte, não investigue mais, não 'tente mesmo assim'.

Mais duas verificações baratas. Primeiro, jogue o ZIP em um scanner multi-mecanismo como o VirusTotal antes de abri-lo. Segundo, dê uma olhada na listagem de arquivos: o núcleo de um CMS deve ser PHP, templates e assets. Arquivos.exe aleatórios, blocos base64 ofuscados enfiados em pastas de temas, ou arquivos com nomes como 'license-keygen.php' são o sinal para cair fora.

Instalando em hospedagem real sem quebrar nada

A maioria das instalações malfeitas falha em detalhes chatos, não em malware. Verifique a versão do PHP exigida pelo CMS em relação ao que sua hospedagem realmente executa, as hospedagens adoram usar algo antigo como padrão. Crie um banco de dados novo com seu próprio usuário e uma senha forte, e nunca reutilize um usuário de banco de dados em vários sites; uma violação em um compromete todos. Altere o prefixo das tabelas do banco de dados do padrão durante a instalação, escolha um nome de usuário administrador que não seja 'admin' e guarde as credenciais em um gerenciador de senhas, não em um post-it.

Após o instalador terminar: exclua o diretório de instalação se ele deixar um para trás, defina pastas para 755 e arquivos para 644, e confirme que o site carrega via HTTPS antes de mexer em qualquer outra coisa. Se o CMS oferecer, mova o arquivo de configuração para acima da raiz web.

Uma palavra sobre instaladores de um clique como o Softaculous, que a maioria das hospedagens compartilhadas inclui: eles são um caminho intermediário legítimo. Eles baixam os lançamentos das fontes oficiais, cuidam da criação do banco de dados e definem permissões sensatas, bom o suficiente para a maioria das pessoas, e muito mais seguro do que um portal de download aleatório. A contrapartida é o controle: você obtém as versões que a hospedagem empacotou, às vezes um ou dois lançamentos atrás. Para uma primeira instalação, aproveite a conveniência. Para qualquer coisa que gere receita, aprenda o caminho manual eventualmente para saber exatamente o que está no seu servidor.

Após o download do CMS grátis: a primeira hora de configuração

1. Atualize tudo imediatamente, o núcleo pode estar uma versão menor atrás do patch atual.
2. Exclua conteúdo padrão, posts de exemplo e temas e plugins empacotados não utilizados. Código morto é superfície de ataque.
3. Configure backups automatizados no primeiro dia, para algum lugar fora do mesmo servidor.
4. Force HTTPS e redirecione toda requisição HTTP.
5. Ative a proteção de login: autenticação de dois fatores onde oferecida, limitação de taxa onde não.
6. Anote seu caminho de recuperação, como você restauraria este site do zero, enquanto está fresco na memória.

E um atalho que vale a pena conhecer: se o motivo pelo qual você quer um download de CMS grátis é rodar um site restaurado do Wayback Machine, você pode pular o download completamente. As implantações do Restorix incluem um CMS gratuito de arquivo único em /webarchive-cms.php, edição de conteúdo, busca e substituição e um gerenciador de arquivos, com modo seguro ativado por padrão e uma senha de administrador gerada aleatoriamente por site. Sem instalador, sem banco de dados, nada buscado de lugar nenhum, o que contorna este artigo inteiro. O fluxo de restauração está no tutorial.