Descrição
WP Ghost (formerly Hide My WP Ghost) is a professional, comprehensive hack-prevention security solution for WordPress. Built for speed and maximum defense, it provides a multi-tiered security architecture that blocks hacker bots, neutralizes automated scanners, and stops hacks before reconnaissance begins.
While traditional security tools focus on Detection (scanning for malware after a breach) or Signature-Filtering (blocking known exploits), WP Ghost focuses on Architecture. It implements Paths Security and Site Hardening to remove digital footprints that make your site a target for automated botnets. This provides an active foundation for securing your site before it can be identified as a target.
Estatísticas globais do WP Ghost:
- 10 Million+ Monthly Brute-Force Attempts Blocked
- 100 Million+ Monthly Security Threats Prevented
Official websites:
WP Ghost (wpghost.com)
Hide My WP Ghost (hidemywpghost.com)
Hide WordPress with Path Security and Reduce Your Attack Surface
Hide WordPress paths that attackers commonly scan, including wp-admin, wp-login.php, wp-content, wp-includes, plugin paths, and theme paths.
Most WordPress attacks are automated. Bots scan millions of sites per hour looking for default paths like /wp-admin or /wp-login.php to confirm a site is running WordPress. Once confirmed, they launch targeted exploits against known plugin or theme vulnerabilities.
WP Ghost breaks this cycle. By changing and securing common paths, you reduce your attack surface by up to 90%. This isn’t “obscurity”; it is site hardening. We re-engineer your site’s visible structure so it is no longer low-hanging fruit for global botnets.
NEW: AI Security Explanations – Your Report, Explained for Your Website
Every security plugin hands you a list of red warnings. Almost none of them tell you what those warnings mean for your website.
WP Ghost now does. One click sends your findings for analysis based on your site’s actual configuration: server type, rewrite rules status, config file writability, and security mode. It then returns a security report written specifically for you, not for WordPress in general.
Requires a WP Ghost subscription, which includes a monthly allowance of AI checks. Everything else on the Security Check page – the scan, the score, the prioritized list, the severity bands, and every task detail – is free and works on its own.
What you get back:
- A plain-language summary of your whole website. One paragraph that finally answers “so, am I actually secure?”
- A headline you can understand. We replace the technical task name with what is truly at stake.
- One definite action per finding. Not a description of the problem – an instruction telling you what to do.
- A security explanation on demand. Open Details on any finding and you get the reasoning: why it matters on your server, what an attacker would do with it, and why it was ranked where it was. This is the part that teaches you WordPress security instead of just pointing it out.
- Priority based on real exposure. Findings are re-ranked using your actual configuration, so the item at the top is the one that actually puts you at risk – not the one that scores highest in a generic table.
Built with limits you can check. Only your findings and a small description of your setup are ever sent – no page content, no user data, no credentials. Your security list, your score, the severity bands, and every task detail are generated locally and keep working whether the AI is available or not.
NEW: Ghost Doctor – Finds and Repairs a Broken Site by Itself
Changing your WordPress paths depends on your server honoring the new rules. When it doesn’t – Nginx never reads .htaccess, Apache ignores it without AllowOverride, a host locks the config file – your site can break, and nothing tells you why.
Ghost Doctor diagnoses issues and repairs what a plugin can. It checks your homepage, theme files, editor requests, and REST API the way a visitor would. Then it applies repairs from safest to most invasive. Every repair is tested immediately and automatically undone if it doesn’t help, so no settings change unnecessarily. Anything requiring a server change is clearly named with a guide so that you can avoid guesswork.
Read the Ghost Doctor troubleshooting guides.
Principais proteções incluídas
O WP Ghost vem com vários mecanismos de defesa avançados, que protegem seu site contra:
- Brute Force Attacks: Blocks automated password guessing at the source.
- SQL Injection & XSS: Neutralizes malicious query strings and script injections.
- Zero-Day Exploits: Secures paths for plugins before patches are even released.
- XML-RPC & REST API Attacks: Shuts down common remote-access entry points.
- Bot Reconnaissance: Prevents “fingerprinting” that hackers use to map your site.
- Spam & Scrapers: Filters malicious traffic, saving bandwidth and server load.
Mais de 115 recursos de segurança gratuitos incluídos
We believe professional security ought to be accessible to everyone. The free version of WP Ghost includes a large collection of tools to harden your WordPress architecture.
1. Change and Secure Paths (Paths Security)
- Change wp-admin & wp-login.php: Move your login to a unique URL and show a 404 error to intruders.
- Change Lost Password & Register URLs: Secure all authentication entry points.
- Alterar wp-content e wp-includes: Proteja as pastas principais do sistema contra acesso direto.
- Anonimizar plugins e temas: Altere os caminhos visíveis dos plugins e temas, para que os hackers não consigam identificar a versão do seu software.
- Secure admin-ajax.php & REST API: Change the
/wp-jsonpath to prevent data scraping. - Security Presets: One-click activation with three preset levels from minimal to full protection including Firewall, Brute Force, Logs, and 2FA your site loads correctly after changing paths before confirming settings.
- Redirecionamentos personalizados: Defina redirecionamentos de acesso/saída únicos, com base nas funções dos usuários.
- Criador de páginas de acesso: Personalize sua página de acesso segura, usando seu logo, cores, fundo e 10 esquemas de cores.
2. WordPress Firewall Protection & WordPress Login Security
- Filtros de firewall 8G e 7G: Filtragem de alta velocidade e leve na borda do servidor, para bloquear bots maliciosos.
- Autenticação por chave de acesso (2FA sem senha): Use o Face ID, o Touch ID ou o Windows Hello, para acessos baseados no dispositivo e à prova de phishing.
- 2FA padrão (código e e-mail): Adicione uma camada de verificação adicional a todas as contas de usuário.
- Cabeçalhos de segurança: Implemente automaticamente CSP, HSTS, X-Frame-Options e muitos outros.
- IP & User Agent Blocking: Manually block suspicious traffic or referrers.
- Registro de ameaças à segurança: Acompanhe os ataques bloqueados e as solicitações maliciosas diretamente no seu painel (visualização limitada).
- Registro de eventos dos usuários: Monitore atividades de acesso, alterações de funções, e ações dos usuários (visualização limitada).
- Mapa de ameaças geográficas: Visualize de onde se originam os ataques, usando um mapa-múndi interativo, que mostra os cinco principais países de origem das ameaças.
- Pontuação de otimização de segurança: Pontuação em tempo real, de 0 a 100, que mostra exatamente o nível de proteção do seu site, incluindo recomendações práticas.
- Acessos temporários: Crie links de acesso com prazo limitado, para desenvolvedores e clientes, sem precisar compartilhar senhas.
3. Deep Hiding & Footprint Removal
- Limpar metatags: Remova os números de versão do WordPress e as tags do gerador.
- Limpar comentários HTML: Remova comentários identificáveis, que revelam sua pilha de tecnologias.
- Ocultar barra de ferramentas administrativa: Remova a barra de ferramentas para determinadas funções, para ocultar indicadores do painel.
- Desativar emoticons e RSD: Remova links desnecessários do cabeçalho, que incham o código e revelam informações.
4. Advanced Disable Options
- Desativar XML-RPC: Desative o vetor mais comum para ataques DDoS e de força bruta.
- Desativar acesso à API REST: Restrija o acesso à API, apenas a usuários autenticados.
- Frontend Lockdown: Disable right-click, “View Source,” and text selection to prevent manual reconnaissance.
- Disable Directory Browsing: Ensure your server folders are never visible to the public.
5. Brute Force Protection
- Integrated ReCaptcha: Supports Google V2, V3, Enterprise, and Math ReCaptcha.
- Targeted Protection: Enable brute force defense on Login, Signup, and WooCommerce pages.
- Custom Throttling: Define your own lockout times and attempt limits.
6. Extra Tools & Integrations
- Magic Links: Log in securely without a password via a one-time email link.
- Text & URL Mapping: Change any class name or URL in your source code dynamically.
- CDN & Cache Support: Works perfectly with WP Rocket, Cloudflare, and Litespeed.
- Ghost Doctor: Diagnoses why your paths stopped working and repairs what it can. It tests every repair and undoes anything that does not help.
- Prioritized Security Check: Failing paths and failed hardening tasks appear as one list, worst first, with time-based bands such as “worth fixing this week” instead of separate tables to reconcile.
- AI Security Explanations: Get every finding explained for your website and ranked by real exposure. Requires a connected WP Ghost account with an active subscription; a monthly allowance applies. Learn more.
Recursos premium de prevenção contra hackers
Para agências e sites com alto tráfego, o WP Ghost Premium oferece recursos avançados voltados para inteligência de segurança, resposta automatizada e proteção de direitos autorais.
- AI Security Explanations: Your findings explained for your own website and re-ranked by what actually exposes you, with a monthly allowance of AI checks included in your subscription. Read more.
- Modo Ghost: Predefinição de segurança máxima, que altera todos os caminhos, oculta todas as extensões de arquivo, e ativa todas as opções de ocultação com um único clique.
- Automatização do bloqueio de IPs: Bloqueie automaticamente endereços IP, que acionam ameaças de segurança recorrentes.
- Proteção de direitos autorais contra IA: Bloqueie mais de 30 rastreadores de treinamento de IA (GPTBot, ClaudeBot, PerplexityBot e outros) no nível do firewall. A lista é atualizada automaticamente a cada lançamento. Não afeta o Google, Bing, nem a visibilidade em pesquisas regulares.
- Registro completo de ameaças à segurança: Entradas ilimitadas com filtros por tipo de ameaça, status, país e intervalo de tempo, pesquisa de texto completo, paginação e exportação em CSV.
- Registro completo de eventos dos usuários: Entradas ilimitadas com filtros, pesquisa, paginação e exportação em CSV.
- Armazenamento de eventos na nuvem: retenção por 30 dias na nuvem, para auditorias e relatórios de incidentes.
- Real-time Email Alerts: Get notified instantly of brute-force attempts or suspicious activity.
- Segurança geográfica (bloqueio por país): Bloqueie países inteiros, ou caminhos específicos por país.
- Advanced File Hardening: Hide file extensions (PHP, CSS, JS, JSON), secure
wp-config.php,php.ini, anddebug.log. - Reforço de segurança do banco de dados e do servidor: Corrija as permissões dos arquivos, altere o prefixo do banco de dados e gere novamente as chaves SALT.
- Priority Support: Direct access to our security experts and founder-led assistance.
Compatibilidade técnica
O WP Ghost foi desenvolvido para o ecossistema moderno do WordPress:
- Hosting Support: Optimized for WP Engine, Inmotion Hosting, Hostgator Hosting, Godaddy Hosting, Host1plus, Payperhost, Fastcomet, Dreamhost, Bitnami Apache, Bitnami Nginx, Google Cloud Hosting, Amazon AWS Lightsail, Litespeed Hosting, Flywheels Hosting, Kinsta Hosting, Ploi.io, CloudPanel, RunCloud, Rocket Domain, Yunohost.
- Server Support: Fully compatible with Nginx, Apache, LiteSpeed, and IIS.
- Plugin Support: Effortless integration with Woocommerce, WPML, WPMUDEV, W3 Total Cache, Gravity, WP Super Cache, WP Fastest Cache, Hummingbird Cache, Cachify Cache, Litespeed Cache, SiteGround Optimizer, Nitropack, Cache Enabler, CDN Enabler, WOT Cache, Autoptimize, Jetpack by WordPress, Contact Form 7, bbPress, Manage WP, All In One SEO, Rank Math, Yoast SEO, Squirrly SEO, WP-Rocket, Minify HTML, Solid Security, Sucuri Security, Really Simple SSL, WordFence Security, WP Cerber Security, BBQ Firewall, Anti-Malware Security, Back-Up WordPress, Elementor Page Builder, Divi Builder, Weglot Translate, AddToAny Share Btn, Limit Login Attempts Reloaded, Loginizer, Shield Security, Asset CleanUp, WP Hide & Security Enhancer, and more.
Stop the hack before it starts. Join over 100,000 users who trust WP Ghost to secure their digital profile.
Capturas de tela
/newlogin).
wp-login.php now returns a 404 error to confuse hacker bots.
wp-admin path is fully secured and hidden from public view.
Instalação
No seu painel do WordPress
Step 1. Navigate to Plugins > Add New. Step 2. Search for “WP Ghost”. Step 3. Click Install Now and then Activate. Step 4. Go to the WP Ghost menu in your sidebar. Step 5. Enter your email address to receive your instant Free Access Token. Step 6. Follow the built-in Setup Wizard to begin hardening your paths.
Instalação manual
Etapa 1. Baixe o arquivo hide-my-wp.zip do repositório do WordPress, ou da sua conta do WP Ghost.
Etapa 2. Acesse o painel do WordPress como administrador.
Etapa 3. Acesse Plugins > Adicionar novo > Enviar plugin.
Etapa 4. Selecione o arquivo .zip e clique em “Instalar agora”
Etapa 5. Clique em “Ativar plugin”.
Passo 6. Conecte o plugin usando seu endereço de e-mail para ativar os recursos de segurança.
Reporting a Security Vulnerability
Found a security issue in WP Ghost? Report it privately through our Patchstack managed disclosure program at patchstack.com/database/report or email security@hidemywpghost.com. We acknowledge reports within 48 hours and coordinate disclosure within 90 days. Please do not post details in the support forum before we release a fix. The full policy is included in the plugin’s SECURITY.md, and third-party components are listed in sbom.json.
Support period: We provide security updates for 5 years from each version’s release. Version 7.0.11, released September 2026, is supported until September 2031. Installing a newer release extends the end date.
Recursos e guias
For advanced server arrangements and detailed walkthroughs, please visit our full documentation: How to Install and Set Up WP Ghost
WP Ghost Knowledge Base:
Perguntas frequentes
-
O WP Ghost move fisicamente ou renomeia meus arquivos do WordPress?
-
No. WP Ghost uses high-performance server rewrite rules (Nginx, Apache, IIS) to change visible paths in your source code. Your actual WordPress files and directories stay exactly where they are, providing no risk to your site’s stability or core updates.
-
O WP Ghost é uma solução completa e independente?
-
For most WordPress sites, yes. By combining Architectural Hardening with an 8G Firewall and Automated IP Blocking, WP Ghost neutralizes automated reconnaissance and brute-force attempts that account for over 90% of real-world attacks. It delivers a foundational defense often sufficient on its own, while remaining fully compatible with “Defense in Depth” strategies involving malware scanners or file-integrity monitors.
-
What are AI Security Explanations?
-
Security scanners tell you what is wrong. AI Security Explanations tell you what it means for your website. WP Ghost sends your findings for analysis along with a short description of your site setup: server type, whether rewrite rules are active, if your config file is writable, and your security mode. It returns a plain-language explanation for each finding, one definite action to take, and a priority order based on what genuinely exposes your site. Open Details on any finding to read the reasoning behind it. Read more on wpghost.com.
-
What data is sent when I use AI Security Explanations?
-
Only the findings already on your Security Check page and a small description of your configuration are sent: server type, whether the config file is writable, whether rules are present, if a cache plugin is installed, your security mode, and a count of mapped files. No page content, user data, passwords, or database contents are ever sent. The feature is entirely opt-in; nothing is transmitted until you press the button.
-
Does WP Ghost still work without the AI?
-
Completely. The Security Check scan, 0-100 score, prioritized list, severity bands, every task detail, and the entire Ghost Doctor diagnosis and repair process run on your server and need no connection. AI Security Explanations only add wording on top. Using them requires a connected WP Ghost account, an active subscription, and a monthly allowance of checks. The page shows exactly how many you have left.
-
É compatível com outros plugins de segurança do WordPress?
-
Yes. WP Ghost is designed as your “Outer Perimeter” defense. It works perfectly alongside malware scanners and reactive security tools like Wordfence, Sucuri, or Solid Security. By implementing Paths Security first, WP Ghost stops bots before they get close enough to be scanned by other plugins.
-
A alteração dos meus caminhos irá afetar meu SEO ou minhas classificações no Google?
-
Not at all. WP Ghost handles Sitemap.xml and Robots.txt mapping automatically. This ensures Google and other search engines can index your content perfectly, while malicious bots receive a 404 error when probing your system paths.
-
Qual é a diferença entre a “segurança de caminhos” e a “segurança por obscuridade”?
-
A obscuridade consiste simplesmente em esconder uma chave debaixo do tapete. A segurança de caminhos é uma estratégia de reforço de segurança da arquitetura, semelhante a mover a porta para um local seguro e exclusivo e trocar a fechadura. É um padrão técnico de reforço de segurança reconhecido, usado por sites de nível empresarial, para impedir o reconhecimento por bots.
-
O WP Ghost funciona em WP Multisite e em diferentes tipos de servidor?
-
Yes. The plugin is fully compatible with WP Multisite (Network-wide configuration) and supports Apache, Nginx, IIS, and LiteSpeed servers.
-
Como configuro o WP Ghost em um servidor Nginx?
-
WP Ghost fully supports Nginx. Because Nginx does not use .htaccess, you will be guided to add the generated rewrite rules manually to your nginx.conf file. We provide specific tutorials for Kinsta, RunCloud, CloudPanel, CWP7, AAPanel, and Ploi.io.
-
Meu tema não está carregando corretamente após alterar os caminhos. O que posso fazer?
-
This usually happens when the server rewrite rules aren’t active yet.
- Limpar cache: limpe o cache do WordPress e qualquer cache no servidor (Varnish, Nginx FastCGI).
- Reescritas manuais: se o arquivo de configuração do seu servidor não for gravável, copie as regras do WP Ghost e as adicione manualmente ao seu .htaccess ou nginx.conf.
- Reinicie o Nginx: se estiver usando o Nginx, é necessário recarregar ou reiniciar o serviço, após salvar as configurações.
- Suporte gratuito: se o problema continuar, fale conosco e vamos configurar o plugin para você gratuitamente.
-
Fui bloqueado ou esqueci meu URL de acesso personalizado. Como faço para acessar novamente?
-
- Safe URL: Use the “Safe URL” text file automatically generated and downloaded when you saved your settings.
- Redefinição manual: Acesse seu servidor pelo FTP/SFTP, e renomeie a pasta /wp-content/plugins/hide-my-wp para outro nome. Isso desativa temporariamente as alterações no caminho, permitindo que você acesse o wp-login.php padrão.
-
O WP Ghost funciona com sites do WordPress.com?
-
Because of the restricted infrastructure of WordPress.com managed hosting, you can’t change administrative and login paths. However, you can still use WP Ghost for Site Hardening, the 8G Firewall, Passkey Authentication, and other Hack Prevention features.
-
O plugin WP Ghost é gratuito?
-
Yes. The Lite version of WP Ghost is always free and includes essential WordPress Security updates. To unlock advanced features like IP Block Automation, Geo-Security, and Cloud Monitoring, you can upgrade to WP Ghost Premium.
-
Como posso ocultar meu site dos detectores de temas do WordPress?
-
By using Paths Security to change common directories (plugins, themes, wp-content), you can successfully neutralize most automated detectors. For a deep dive on total anonymity, read our guide: How to Hide Your Site From WordPress Theme Detectors.
-
Este plugin é suficiente para proteger meu site de todos os invasores?
-
WP Ghost provides an elite proactive defense by neutralizing the Reconnaissance phase of an attack. While the Free version blocks most bot traffic, we recommend the Premium version for advanced Brute Force Protection and Automated Danger Intelligence.
-
Como altero os caminhos do WordPress no painel administrativo?
-
Por padrão, o WP Ghost altera apenas os caminhos na interface, para garantir a máxima compatibilidade. Para reforçar também a segurança do painel administrativo, adicione define(‘HMW_ALWAYS_CHANGE_PATHS’, true); ao seu arquivo wp-config.php e salve novamente as configurações.
-
O WP Ghost tem uma pontuação de segurança?
-
Sim. O WP Ghost 7.0 inclui uma pontuação de otimização de segurança, de 0 a 100, que mostra exatamente o nível de proteção do seu site. A pontuação é atualizada automaticamente à medida que você ativa recursos e conclui tarefas de segurança. Ela é exibida no painel de visão geral e na página de verificação de segurança, tanto como um indicador visual quanto como um valor numérico.
-
Posso personalizar a página de acesso do WordPress usando o WP Ghost?
-
Sim. O WP Ghost inclui um criador de página de acesso que, permite adicionar seu logo personalizado, imagem de fundo e cores da marca à sua página de acesso protegida. Ele inclui 12 modelos de layout e 10 esquemas de cores predefinidos. O criador funciona com seu URL de acesso personalizado, para que a página com a identidade da marca seja exibida no caminho oculto, em vez do arquivo padrão “wp-login.php”.
-
O WP Ghost protege meu conteúdo contra bots de treinamento de IA?
-
WP Ghost Premium includes an AI Copyright Protection feature that blocks 30+ AI training crawlers, including GPTBot, ClaudeBot, PerplexityBot, CCBot, and Bytespider at the firewall level. It also automatically adds Disallow rules to your robots.txt. This protects your licensed content from being used to train AI models without affecting your regular Google, Bing, or Yahoo search visibility. The crawler list is automatically updated with each plugin release.
Avaliações
Colaboradores e desenvolvedores
“Hide My WP Ghost – Segurança e firewall” é um programa de código aberto. As seguintes pessoas contribuíram para este plugin.
Colaboradores
Hide My WP Ghost – Segurança e firewall” foi traduzido para 6 localidades. Agradecemos aos tradutores por suas contribuições.
Traduzir o “Hide My WP Ghost – Segurança e firewall” para seu idioma.
Interessado no desenvolvimento?
Navegue pelo código, consulte o repositório SVN ou assine o registro de desenvolvimento por RSS.
Registro de alterações
7.0.13 (3 Oct 2026)
- New – Weekly email summary of blocked threats, logins and blocked IPs. Turn it on or off in Advanced, Notifications.
- New – Check your reCAPTCHA keys on the Brute Force page without logging out.
- New – WooCommerce checkout protection limits repeated checkout attempts and failed payments from the same IP, to stop card testing.
- New – Email alert when the activity log or the threats log is turned off.
- Update – reCAPTCHA v2 keeps the login button disabled until the box is checked.
- Update – Right-click, copy and paste protection now skips form fields, so visitors can fill and paste in forms.
- Update – Firewall and brute force now run on requests with an unverified login cookie, so a forged cookie cannot skip them.
- Update – 6G firewall now also checks the query string on browser requests.
- Update – The login math question uses a one time token, so an answer cannot be reused.
- Fix – Temporary Login and Magic Login links expire correctly on PHP 8.
- Fix – A corrupted firewall whitelist no longer causes a fatal error.
7.0.12 (29 Sept 2026)
- New – Random Static Number now has a Random Number Type option: a random version for each file that changes when the file version changes
- Fix – reCAPTCHA V3 and Enterprise now add their token to login forms built with page builders like Elementor
- Fix – reCAPTCHA V3 and Enterprise no longer change or resubmit other forms on the same page
- Fix – With WooCommerce Support turned off, the WooCommerce login is no longer refused with “Invalid ReCaptcha”
- Fix – CSS and JS files served by the plugin now send a valid Content-Type header
- Fix – Random Static Number no longer saves a new number in the database on every page view of a logged in user
- Fix – Hide Source Map no longer cuts off the page when a cache plugin like LiteSpeed Cache minifies the HTML
7.0.11 (10 September 2026)
- Update – Security update: the WooCommerce AJAX and API exceptions now confirm the request names a real WooCommerce action and arrives on the WooCommerce endpoint, and no longer reveal a hidden URL
- Fix – The custom REST API path is now used during scheduled tasks, so plugins that renew a connection in the background, like FluentSMTP with Microsoft 365, no longer fail
7.0.10 (2 September 2026)
- Update – Security update: the compatibility exceptions for WooCommerce, WPML and MainWP now confirm the request really comes from those plugins before the plugin steps aside
- Update – Security update: compatibility paths are matched from the site root, so an address that only contains a known path no longer matches
- Update – Security update: the iThemes/Solid Security loopback exception now requires that plugin to be active and a matching verification value
- Update – Security update: Temporary Login and Magic Login make the login page reachable only once the token matches a real user
- Update – Security update: the page builder preview exception now requires editing rights, and the logged in check during early load is stricter
- New – One click login support for the hosting panels: Softaculous (cPanel, CentOS Web Panel, DirectAdmin, Webuzo, Plesk) and aaPanel WP Toolkit
- Update – Security update: hardening for the way the plugin resolves and handles the current request
- Fix – CSS and JS are compressed only with what the browser actually accepts, instead of always answering compressed
- Fix – Compressed responses now use gzip, which every browser and CDN reads the same way
- Fix – Static files and the REST API path are now handled correctly when your site is reached on an alias domain
- Fix – REST API responses handled by the plugin no longer carry compression headers that do not match the returned content
- Fix – LiteSpeed: the QUIC.cloud address list is refreshed on its own and no longer kept forever, so QUIC.cloud keeps working as their addresses change
- Fix – LiteSpeed: the QUIC.cloud addresses are loaded even when the plugin settings have not been saved since LiteSpeed was installed
- Fix – Defender Security: the free edition of the plugin is now recognized, not only the Pro edition
- Fix – Ghost Doctor no longer reports the CSS and JS files as not loading when Text Mapping in CSS and JS files is on and WordPress serves those files on purpose
- Fix – Ghost Doctor now checks the REST API path the way WordPress answers it, instead of reporting a working REST API as missing
- Fix – Changing the REST API path takes effect on save, without having to open Settings > Permalinks and save again
- Fix – No longer stops with a fatal error on servers where the getallheaders() function is missing
- Fix – Frontend Check no longer shows the word “undefined” at the end of the results when a path or an asset fails
- New – New hmwp_files_allowed_hosts, hmwp_files_request_headers, hmwp_files_response_headers, hmwp_files_skip_headers, hmwp_files_cache, hmwp_files_cache_dir and hmwp_files_cache_lifetime filters for developers
7.0.09 (17 August 2026)
- New – AI Security Explanations: every finding on the Security Check page explained for your own website, in plain language
- New – AI Security Explanations rank your findings by what actually exposes your site, using your server type, your rules and your security mode
- New – A plain-language summary of your whole website, above the list of what to fix
- New – Open Details on any finding to read why it matters on your server and what an attacker would do with it
- Fix – Fix it now works for the Security Check tasks that change a plugin setting, such as Hide Old Paths, Hide Common Files, Hide wp-login and Disable XML-RPC
- Fix – Fix it no longer answers with “Ajax is not loading correctly. Clear all cache and try again.” after the paths have been changed
- Fix – The Security Check summary now shows whether your paths are working instead of always reporting that they have not been checked
- Update – Published a coordinated vulnerability disclosure policy (SECURITY.md), a list of the third-party components we bundle (sbom.json), and a declared 5 year security update period
7.0.08 (27 de julho de 2026)
- Novo – Doutor Ghost: identifica o que está bloqueando seus caminhos, e corrige o problema com um clique
- Novo – O Doutor Ghost pode alternar para uma proteção que não requer regras do servidor, quando o seu servidor não as disponibilizar
- Novo — agora, a verificação de segurança abre com uma lista priorizada dos itens que precisam ser corrigidos primeiro
- Novo – “Alterar caminhos” mostra um cartão após uma alteração de caminho, em vez de três
- Correção — a verificação de segurança não reporta mais o diretório “wp-content”, o caminho de acesso ou o caminho administrativo, como visíveis em sites que os ocultam corretamente
- Correção — a verificação da interface do usuário não apresenta mais uma falha, quando a opção “Desativar acesso à API REST” está ativada
- Correção — a abertura de uma página com verificação de caminho com falha não gera mais um erro 404, enquanto os novos caminhos ainda não estiverem funcionando
- Correção — as tarefas de segurança não mostram mais uma tabela vazia, quando todas as tarefas são aprovadas
- Correção — agora, a opção “Última verificação” mostra há quanto tempo a varredura foi executada, e não a hora exata
7.0.07 (20 de julho de 2026)
- Segurança — agora, as configurações de autenticação de dois fatores ficam vinculadas à conta à qual pertencem. Assim, o método de autenticação de dois fatores, o aplicativo de autenticação, os códigos de e-mail, os códigos de backup e as chaves de acesso podem ser gerenciados apenas pelo titular da conta, ou por um administrador autorizado a editar esse usuário
- Security – Passkey enrollment is now always self-service, corresponding to the device the passkey is created on
- Segurança — agora, as atualizações e exclusões de acessos temporários se aplicam apenas às contas temporárias. Assim, as contas regulares nunca são afetadas por essa tela
- Segurança — agora, a função atribuída a um acesso temporário é validada, e esse acesso nunca pode conceder mais permissões do que aquelas que o usuário que o criou já tem.
- Segurança — agora, os links do acesso mágico exigem as mesmas permissões que a tela na qual são exibidos
7.0.06 (15 de julho de 2026)
- Correção — a edição de um tipo de post personalizado que usa a taxonomia integrada de categoria/tag não causa mais falha no editor de blocos
- Fix – Block Editor no longer crashes with “Cannot read properties of undefined” when Hide User Enumeration is on
- Correção — agora, o menu de navegação da página de configurações não perde mais o layout nos sites em que outro plugin ou tema restringe as tags HTML permitidas
7.0.05 (8 de julho de 2026)
- Novo – Forçar a configuração da autenticação de dois fatores (2FA): exige que as funções de usuário selecionadas configurem a autenticação de dois fatores, antes que possam acessar o painel, com uma tela de configuração guiada exibida logo após o acesso.
- Correção — a página de acesso temporário não gera mais um erro fatal quando aberta por um usuário que foi excluído, ou cujo acesso expirou
- Correção — a configuração do e-mail para autenticação de dois fatores e o acesso mágico não exibem mais alertas de PHP, quando o usuário solicitado não existe mais
- Fix – WP-CLI commands no longer emit a PHP 8.5 “Undefined array key hostname” warning
- Fix – Settings page navigation menu no longer loses its layout on sites where another plugin or theme restricts the allowed HTML tags; the menu now keeps its own classes and attributes regardless of the site’s wp_kses filters
7.0.04 (29 de junho de 2026)
- New – Frontend Check now also verifies the theme’s CSS and JS files load, catching a broken layout on pages that still return 200
- Novo – detecta quando arquivos CSS/JS/fontes são carregados pelo WordPress, em vez de pela configuração do servidor. Recorre a caminhos seguros e exibe um aviso na página de configurações
- Update – Redesigned the Frontend Check results into clear, uniform rows that stay readable with long URLs
7.0.03 (2 de junho de 2026)
- Correção – WPML/Polylang com um caminho personalizado ou renomeado da API REST: o editor de tradução avançado do WPML e outras chamadas à API REST, não apresentam mais erros de rede no painel administrativo.
- Correção — as solicitações à API REST feitas através do formulário “?rest_route=” não são mais tratadas erroneamente como solicitações normais de página e, portanto, bloqueadas
- Fix – Renamed REST API path: legacy, cached and external clients still calling the default wp-json path are now recognized correctly instead of being 404’d
- Correção – módulo de compatibilidade para o WPML: as rotas de sincronização do editor de tradução avançado e as solicitações admin-ajax do WPML/ICL não são mais reescritas com o prefixo do idioma ativo
- Correção — alguns sites podiam exibir uma página em branco, quando a otimização do código-fonte estava ativada. Agora, a função de localizar e substituir cabeçalhos/tags é à prova de falhas e nunca deixa a saída em branco, mesmo em caso de erro de expressão regular.
- Correção — a limpeza das regras do pré-carregamento/especulação, agora remove as entradas “wp-admin” e “wp-*.php” sem invalidar o JSON das regras
- Segurança — detecção reforçada da API REST: o firewall não podia mais ser contornado adicionando /wp-json/ (ou ?rest_route=) à string de consulta de outra solicitação
- Segurança — a proteção contra ataques de força bruta também abrange a autenticação com senha no aplicativo da API REST
- Security – Fixed unauthenticated Open Redirect via the redirect_to parameter on the custom logout URL.
7.0.02 (11 de maio de 2026)
- Fix – Compatibility with WPML and Polylang: static asset URLs (wp-content, wp-includes) no longer get the language prefix prepended (e.g. /en/wp-content/…) when “Change Relative URLs to Absolute URLs” is enabled
- Correção — agora, as páginas protegidas por senha (senha integrada do WordPress para posts) são enviadas corretamente no Nginx e em outros servidores, sem reescritas no nível do servidor, quando o URL de acesso é personalizado
- Correção — os links da base de conhecimento nas notificações administrativas foram atualizados para apontar para a nova documentação
- Correção – pequenos erros e erros de ortografia
7.0.01 (15 de abril de 2026)
- Atualização — foi adicionada a opção de reverter para a última versão estável na página “Backup/restauração”
- Correção – foram corrigidas as cores no estilo do modo escuro
- Correção — as regras de reescrita não eram exibidas corretamente na barra de notificações, quando era necessário adicionar manualmente à configuração do servidor
- Correção – erros ortográficos e pequenos erros
7.0.00 (31 de março de 2026)
Lançamento importante: pontuação de segurança, criador de páginas de acesso, autenticação de dois fatores com chave de acesso, registro de ameaças de segurança, registro de eventos do usuário, mapa de ameaças geográficas e regras expandidas do firewall 7G/8G. Atualização gratuita para todos os usuários.
- Novo – pontuação de otimização de segurança (de 0 a 100) com indicador dinâmico no painel de visão geral e na página de verificação de segurança
- Novo – registro de ameaças à segurança, para acompanhar ataques bloqueados e solicitações maliciosas (visualização limitada)
- Novo – registro de eventos do usuário, para acompanhar a atividade de acesso e as alterações feitas pelos usuários (visualização limitada)
- Novo – mapa de ameaças geográficas, com os cinco principais países que representam ameaças, no painel de visão geral
- Novo – filtro por país no registro de ameaças à segurança e no registro de eventos do usuário
- Novo – criador de páginas de acesso, com logo personalizado, imagem de fundo, cores e predefinições de esquemas de cores
- Novo – predefinições de segurança para ativação com um clique: Mínima, Modo Lite + Firewall + Compatibilidade e Modo Lite + Firewall + Ataque contra força bruta + Registros + Autenticação de dois fatores
- New – Contextual upgrade suggestions based on your site’s actual threat data
- Novo – autenticação de dois fatores por chave de acesso (Face ID, Touch ID, Windows Hello)
- New – Each user can pick their preferred 2FA method from their profile
- Novo – opção de “Confiar no navegador atual” para a autenticação de dois fatores (2FA), ignorar a verificação em dispositivos confiáveis
- Novo – ocultar arquivos comuns do WordPress (wp-config.php, readme.html, license.txt, php.ini)
- Novo – ocultar caminhos comuns do WordPress, usando filtragem por extensão de arquivo (html, txt, lock)
- Novo – ocultar a enumeração de usuários, para bloquear varreduras de detecção de autores
- Novo – compatibilidade com o modo escuro (no navegador)
- Novo – tradução para o idioma indonésio (id_ID)
- Novo – tradução para o idioma turco (tr_TR)
Atualizações do firewall e segurança:
- Atualização — as regras do firewall 7G e 8G foram ampliadas, para bloquear injeção de SQL, XSS, inclusão de arquivos, travessia de diretórios e varreduras automatizadas de vulnerabilidades
- Update – Firewall rules optimized for lowered overhead under high attack traffic
- Atualização — melhorada a detecção de ameaças, para bloquear solicitações maliciosas, antes da execução dos arquivos básicos do WordPress
- Atualização — cabeçalhos de segurança atualizados de acordo com as práticas recomendadas mais recentes
- Atualização – notificação na visão geral, para ativar o firewall 7G/8G quando forem detectadas ameaças desbloqueadas
Compatibilidade:
- Atualização – compatibilidade com o WordPress 7.0 e o PHP 8.5
- Atualização – Compatibilidade com o WooCommerce 10.6
- Atualização — compatibilidade com os temas Elementor, Bricks Builder, Blocksy, Nicepage, Avada e Riode
- Atualização – compatibilidade com WP Rocket, LiteSpeed, Nitropack, SiteGround Optimizer e Cloudflare
- Atualização – compatibilidade com o Wordfence, o Sucuri e o Solid Security
- Atualização — compatibilidade com os servidores WP Engine, Kinsta, CloudPanel, Ploi.io e IIS
- Atualização — compatibilidade com o WPML e o Polylang para textos em vários idiomas relacionados a força bruta, autenticação de 2 fatores e acesso mágico
- Atualização — as traduções foram atualizadas em todos os 14 idiomas compatíveis
Interface e experiência do usuário:
- Atualização — o painel de visualização geral foi redesenhado e agora inclui a pontuação de otimização de segurança, o gráfico de ameaças e o mapa geográfico
- Atualização — melhorada a página de verificação de segurança, com pontuação numérica e lista de tarefas a serem realizadas
- Atualização — a seção “Registros” foi reorganizada em “Ameaças à segurança” e “Eventos do usuário”
- Update – Improved activation flow with more clear setup wizard
- Atualização — traduções atualizadas em todos os 16 idiomas compatíveis: árabe, português do Brasil, chinês (simplificado), holandês, finlandês, francês, alemão, indonésio, italiano, japonês, português, romeno, russo, espanhol, turco e inglês (padrão).
- Correção – menu suspenso e ícone de ajuda nos idiomas em RTL
5.5.04 (26 de março de 2026)
- Atualização – Regras de firewall na inicialização dos arquivos básicos do WP
- Atualização – Adicionada compatibilidade com a galeria de fotos da 10Web
- Fix – Security Check to update the options and handle properly
- Correção – Pequenos erros
5.5.02 (10 de fevereiro de 2026)
- Correção – Compatibilidade com o servidor IIS
- Correção – Compatibilidade com o LiteSpeed Quic Cloud
5.5.01 (22 de dezembro de 2025)
- Atualização – Adicionada a opção de ocultar caminhos comuns do WordPress com extensão html, txt, lock
- Atualização – Adicionada a opção de ocultar arquivos comuns do WordPress, como wp-config, readme.html, license.html e php.ini
- Atualização – Adicionada a opção de ocultar referências do mapa de origem
- Atualização – Adicionada a opção de ocultar a enumeração de usuários
5.4.08 (09 de dezembro de 2025)
- Atualização – Compatibilidade com o WP 6.9
- Correção – remoção do wp-*.php e do caminho admin dos caminhos de pré-carregamento no WP 6.9
- Atualização – autenticação de 2 fatores (2FA) para permitir que cada usuário selecione o método de 2FA no perfil
- Atualização – autenticação de dois fatores (2FA) para conexão através de chave de acesso e impressão digital
- Atualização – autenticação de dois fatores (2FA) para confiar no navegador atual
5.4.07 (29 de setembro de 2025)
- Atualização – Compatibilidade com o plugin WP Social e WP Social PRO
- Atualização – Compatibilidade com o LiteSpeed Quic Cloud em IPV6
- Atualização – Fazer o teste da API REST funcionar quando os links permanentes são definidos como o parâmetro padrão do PHP
- Atualização – A versão mínima exigida do PHP é 8.0 na seção de verificação de segurança
- Atualização – Adicionado novo recurso: Autenticação de dois fatores com chave de acesso (2FA)
- Atualização – Coloque mais chatbots de IA conhecidos na lista de permissões das regras do firewall
5.4.06 (21 de agosto de 2025)
- Atualização – Regras de firewall para maior compatibilidade
- Atualização – Processo de verificação de URL seguro
- Atualização – Compatibilidade com o plugin Debloat
5.4.05 (27 de maio de 2025)
- Atualização – Adicionado suporte a IA nas configurações do plugin
- Atualização – Firewall 7G e 8G para maior compatibilidade com os plugins do WP
- Update – Compatibility with Riode theme for Brute Force
- Correção – Compatibilidade do acesso/cadastro do WooCommerce com o reCaptcha V3
- Correção – Erro na verificação de atualização
5.4.04 (21 de março de 2025)
- Atualização – Compatibilidade com o WP 6.8
- Corrigido – A função _load_textdomain_just_in_time era chamada incorretamente
5.4.03 (11 de março de 2025)
- Atualização – Compatibilidade com as novas regras de reescrita do WP Engine
- Atualização – Adicionada a opção de personalizar todos os temas ativos e inativos
- Correção – Segurança do arquivo quando as regras de reescrita não forem carregadas corretamente
- Fix – Prevent Brute Force from updating the warning text lacking space when switched off
- Correção – Prevenção do alerta do PHP quando o endereço IP for desconhecido na verificação de IP do força bruta
- Correção – Carregamento do i18n na página de acesso para mensagens do medidor de força da senha, quando a opção “Limpar acesso” estiver ativada
- Correção – Segurança do arquivo quando as regras de reescrita não forem carregadas corretamente
- Correção – Mapeamento dinâmico de arquivos para carregamento através do index.php, para melhor compatibilidade com todos os tipos de servidores
5.4.02 (04 de março de 2025)
- Atualização – Atualização de segurança na chamada do caminho do wp-activate.php
- Atualização – Traduções em todos os idiomas para as últimas alterações
- Atualização – A proteção contra força bruta para carregar o Google Enterprise reCaptcha
- Atualização – Compatibilidade do Brute Force com outros plugins
- Fix – Headers check regarding Brute Force to get the real IP behind Proxy
- Correção – Inclusão do tema ascendente na lista de nomes de temas personalizados, se o tema descendente for carregado
- Correção – Problema de layout no painel administrativo, quando a notificação de outros plugins estava sendo carregada nas configurações do Wp Ghost
- Fix – Prevent redirecting URLs to concealed paths like new admin path or new login path
- Correção – Caminhos alterados nos arquivos de cache, quando os arquivos CSS e JS eram carregados dinamicamente
- Correção – Ocultação do novo acesso no redirecionamento do cadastro, quando o cadastro estiver desativado
- Correção – Remoção de novas linhas das regras de reescrita
Security:
Ocultar Mi WP – Plugin de seguridad de WordPress
Ocultar meu WP – Segurança do WordPress
Cacher mon WordPress – Plugin de sécurité WordPress
Verstecken Sie mein WordPress – WordPress Sicherheits-Plugin
