Em abril eu contei aqui sobre o novo visual e as melhorias no WordPress Security Checklist. De lá para cá, o projeto ganhou duas novidades que, para mim, são bem mais significativas do que uma mudança de design: uma organização própria no GitHub e uma skill para agentes de IA.
Uma casa própria no GitHub
Desde 2015, o WordPress Security Checklist morava no meu GitHub pessoal. Agora ele tem seu próprio endereço: a organização WP-Security-Checklist. O código do site está em WP-Security-Checklist/website.
Fiz essa mudança porque senti que o projeto está se tornando maior do que eu. Ele já está disponível em quatro idiomas, foi citado em um manual de ciber-segurança e recebe contribuições de pessoas da comunidade. Não fazia mais sentido que tudo dependesse de uma conta pessoal.
Com uma organização, fica mais fácil:
- Convidar outras pessoas para manter o projeto, sem que ele dependa só de mim.
- Reunir projetos relacionados no mesmo lugar, como a skill que apresentarei daqui a pouco.
- Deixar claro que o checklist é da comunidade, e não de uma pessoa só.
Se você tinha um link para o repositório antigo, não se preocupe: o GitHub redireciona automaticamente para o novo endereço.
Uma skill para agentes de IA
A segunda novidade nasceu no meetup sobre segurança da comunidade WordPress São Paulo que ocorreu há apenas algumas horas. Durante uma conversa rápida, o Gabriel Cano, que tem falado bastante sobre o uso de agentes de IA no desenvolvimento WordPress, sugeriu transformar o checklist em uma skill. Gostei tanto da ideia que abri uma issue na mesma hora, e agora ela está disponível em WP-Security-Checklist/skill.
Uma Agent Skill é um pacote de instruções que ensina um agente de IA, como Claude Code, Codex ou Gemini, a fazer uma tarefa específica. Neste caso, a tarefa é aplicar o WordPress Security Checklist ao seu site.
Dois modos: auditoria e guia
No modo auditoria, o agente inspeciona uma instalação WordPress pelos arquivos, pelo WP-CLI e, opcionalmente, por um URL público que você tenha autorização para testar. Cada item do checklist recebe um status (passou, falhou, revisar, desconhecido ou manual), com a evidência encontrada e a correção sugerida. O relatório começa pelos problemas mais urgentes.
No modo guia, o agente explica os itens e te acompanha no fortalecimento do site, em inglês, português, espanhol ou japonês, com links para o checklist no seu idioma.
Segura para usar em produção
Como estamos falando de segurança, a skill foi pensada para não causar problemas no seu site:
- Somente leitura por padrão. O agente oferece as correções depois do relatório e só as aplica se você pedir.
- Nada intrusivo. Ela só faz requisições
GETeHEADcomuns, e nunca tenta logins, força bruta, exploits ou varredura de portas. - Sem segredos no relatório. Senhas, chaves e Salts são descritos (por exemplo, “definida, 64 caracteres”), nunca exibidos. E-mails aparecem mascarados.
- Resistente a prompt injection. Tudo o que o agente inspeciona é tratado como dado. Um texto em um arquivo que tenta dar ordens ao agente é ignorado e reportado como sinal de adulteração.
- Alerta sobre invasões. Sinais de que o site foi comprometido vão para o topo do relatório. Arquivos suspeitos nunca são abertos, executados ou apagados.
Como instalar
Em qualquer agente compatível (Claude Code, Codex, Cursor e outros), com Node.js instalado:
npx skills add WP-Security-Checklist/skill
No Claude Code, também dá para instalar como plugin:
/plugin install wpsc --marketplace WP-Security-Checklist/skill
O README do repositório tem outras opções, inclusive uma que não precisa de Node.js nem de git.
Como usar
Depois de instalar, é só pedir ao agente em linguagem natural. Por exemplo:
- “Me ajude a aplicar o checklist de segurança no meu site WordPress.”
- “Audite este site WordPress com o checklist de segurança.”
- “O que significa o item sobre XML-RPC? Devo desativar?”
Ou usar /wordpress-security-checklist + sua ação ou prompt.
Sempre em sincronia com o site
O checklist continua tendo uma única fonte: o repositório do site. A lista de itens que a skill usa é gerada automaticamente a partir dele, e um script de sincronização falha se algum item novo não tiver instruções de como verificá-lo e corrigi-lo. Assim, o site e a skill não ficam desatualizados um em relação ao outro.
Como contribuir
O projeto continua gratuito e open source, e agora tem mais espaço para quem quiser participar:
- Sugestões de texto, novos itens e traduções vão para o repositório do site.
- Melhorias na auditoria ou nas regras de segurança da skill vão para o repositório da skill.
Obrigado ao Gabriel pela sugestão e a todo mundo da comunidade WordPress Brasil que têm usado e compartilhado esse projeto durante os anos.
Se você testar a skill no seu site, conta para mim como foi, ou abra uma issue que dou uma olhada.
