Protegendo seu site com HTTPS

Para aceitar cartões de crédito em seu site e ter um mínimo de Compatível com PCI você deve ter um certificado SSL e usar HTTPS em todas as páginas que coletam informações de cartão de crédito. O HTTPS fornece autenticação para seu site e para o servidor da Web associado, o que protege contra ataques do tipo man-in-the-middle.

Additionally, it provides bidirectional encryption of communications between a customer’s browser and your server, which protects against eavesdropping and tampering with and/or forging the contents of the communication.

In this article we’ll cover the steps you’ll need to go through in order to ensure your site is secure. This article may also be helpful: http://www.wpbeginner.com/wp-tutorials/how-to-add-ssl-and-https-in-wordpress/.

Comprar e instalar um certificado SSL

Há várias empresas das quais você pode comprar certificados SSL, incluindo GoDaddy, VeriSign e GeoTrust to name few. Once you’ve purchased an SSL certificate, you’ll need to work with your hosting provider to get it set up on your server.

Verifique se o seu certificado SSL está instalado corretamente

Once you’ve worked with your hosting provider to get the SSL certificate installed, you can verify that everything is set up correctly by using this Verificador de SSL.

Verifique as configurações de SSL do WordPress

If you’re going to utilize the HTTPS plugin we recommend below then you’ll want to make sure that WordPress isn’t forcing SSL. Do this by going to the wp-config.php file and checking if ‘FORCE_SSL_ADMIN’ is being defined there and if so, make sure it’s set to ‘false’. Here are instruções detalhadas sobre como trabalhar com a configuração do force SSL.

Páginas seguras em seu site

Once your SSL certificate has been successfully installed, you’ll want to ensure that HTTPS is used on all the pages on your site that collect sensitive information. This can easily be done with the HTTPS do WordPress plugin.

OBSERVAÇÃO: If you follow this link you’ll see that the plugin has not been updated in over two years. This is ok. The plugin is doing something very specific and has a narrow focus so updates aren’t required as often as they would be for more complex plugins. Additionally, WordPress HTTPS is a recommendation, not a requirement. There are other WordPress HTTPS plugins available (https://wordpress.org/plugins/search.php?q=https). Você pode usar qualquer plug-in que funcione para forçar o uso de HTTPS em seu site.

IMPORTANTE: Depois de ativar o plug-in HTTPS do WordPress, vá para a tela de configurações e, na seção Configurações gerais certifique-se de que a seção Forçar SSL exclusivamente está desmarcada. Quando essa opção está marcada, o plug-in HTTPS do WordPress modifica acidentalmente a URL dos formulários de checkout do MemberMouse para que não sejam seguros. O resultado é que, em alguns navegadores, os clientes receberão uma mensagem de aviso quando tentarem enviar o formulário de checkout. Para evitar isso, basta garantir que a opção Forçar SSL exclusivamente está desmarcada, conforme mostrado abaixo:

Você também desejará adicionar filtros de URL para o script de processo php que o MemberMouse usa para transações. Eles também podem ser adicionados na seção Filtro de URL. Você desejará adicionar os seguintes URLs:

/wp-content/plugins/membermouse/api/processOrder.php

/wp-content/plugins/membermouse/scheduler/handler.php

E se você estiver usando o Social Login: /wp-content/plugins/membermouse/endpoints/auth.php

Em seguida, vá para cada página que precisa ser protegida e marque a opção Posto seguro no HTTPS module. You’ll want to do this for the MemberMouse Checkout and My Account core pages and any page you’ve included a MemberMouse checkout form on.

Certifique-se de que suas páginas sejam totalmente seguras

Once you’ve installed a plugin to handle HTTPS and you’ve configured which pages should use HTTPS, you’ll want to check and make sure there aren’t any insecure items being loaded on your secure pages as this will typically cause the browser to show a warning to the user informing them that the page is not secure.

In some browsers, like Chrome, they’re more strict and will terminate rendering the page when an insecure item is encountered. You can use essa ferramenta para garantir que suas páginas sejam totalmente seguras. Se o relatório informar que há itens inseguros em sua página, use esse recurso para corrigir os itens inseguros.