Manutenção de site: o que inclui, o que acontece sem ela e como contratar

O site ficou pronto, foi ao ar e ninguém mais mexeu nele. Um dia, um cliente avisa que o navegador mostrou um alerta vermelho ao abrir a página. Em outro, o site simplesmente não abre, porque o domínio venceu e o boleto foi para um e-mail que ninguém lê. Ou o telefone que está lá é o antigo, e os contatos foram parar em outro lugar. Tudo isso é falta de manutenção.

Este guia explica o que é manutenção de site, os tipos de manutenção, o que entra numa rotina, o que o Google faz com site invadido ou fora do ar, o que a LGPD pede de quem tem formulário e como avaliar e comparar propostas. As afirmações vêm da documentação do Google, da documentação oficial do WordPress e da legislação brasileira, listadas nas fontes.

1. O que é manutenção de site

Manutenção de site é o conjunto de tarefas que mantêm o site funcionando depois que ele fica pronto: seguro, no ar, rápido e com informação certa. Ela não tem a ver com redesenhar o site nem com criar páginas novas, embora possa incluir pequenas alterações. É o equivalente a manter a loja aberta, limpa e com a vitrine atualizada.

Um site é feito de partes que mudam sozinhas, mesmo quando você não mexe nele. O sistema (WordPress, um construtor, um código próprio) recebe versões novas. Os plugins também. O servidor atualiza a linguagem em que o site roda. O domínio vence. O certificado de segurança expira. Cada uma dessas mudanças pode quebrar alguma coisa se ninguém acompanhar.

Por isso a pergunta não é se o site precisa de manutenção, mas quem faz, com que frequência e o que acontece quando algo dá errado. Um site parado, sem ninguém cuidando, não fica do jeito que estava: ele envelhece, e fica mais exposto a cada mês.

2. Os quatro tipos de manutenção

A engenharia de software costuma dividir a manutenção em quatro tipos, e a divisão ajuda a entender o que está num orçamento. A tabela resume cada um com exemplos de site.

A maioria dos contratos de manutenção cobre bem a preventiva e a corretiva. A adaptativa costuma aparecer como surpresa ("o servidor mudou e o site precisa de ajuste"), e a perfectiva às vezes é cobrada à parte. Ao ler uma proposta, pergunte em qual desses tipos cada item se encaixa. O que fica de fora é o que vai virar cobrança extra.

3. Atualizações: sistema, plugins e tema

Se o seu site usa WordPress, a documentação oficial é direta: você deve sempre atualizar para a versão mais recente. Ela recomenda fazer uma cópia de segurança antes de começar, para poder restaurar o site se algo der errado, e conferir se plugins e temas são compatíveis com a versão que você vai instalar.

A mesma documentação diz que não existe uma ordem de atualização que sirva para todo site: alguns plugins precisam ser atualizados antes do WordPress, outros só funcionam depois. E pede para visitar o site depois da atualização, para ver se tudo funciona como esperado. É justamente essa conferência que falta quando a atualização é feita às pressas.

Desde a versão 3.7, o WordPress aplica sozinho as atualizações menores e de segurança na maioria dos sites. As versões maiores ainda dependem de alguém clicar em "Atualizar agora". Plugins e temas têm as suas próprias atualizações, e um plugin abandonado pelo autor deixa de receber correções. Parte da manutenção é saber quais plugins o site usa e trocar os que pararam no tempo.

Sites feitos em construtores visuais têm menos dessa rotina, porque a plataforma atualiza o sistema por você. Sites sob medida dependem de quem fez: pergunte quais bibliotecas o site usa e quem acompanha as versões delas.

4. Cópia de segurança que funciona

Cópia de segurança (backup) é a cópia do site e do banco de dados guardada fora do servidor principal. Ela é o que permite voltar atrás quando uma atualização quebra o site, quando alguém apaga uma página sem querer ou quando o site é invadido. A documentação do WordPress diz que, se houver problema depois de atualizar, você pode restaurar a cópia.

A cópia só serve se três coisas forem verdade. Ela precisa estar guardada fora do servidor do site, porque, se o servidor cair ou for invadido, a cópia guardada nele vai junto. Ela precisa ser recente o bastante para não perder o que mudou. E ela precisa ter sido testada: muita gente descobre no pior dia que a cópia estava incompleta.

Na hora de contratar, pergunte onde as cópias ficam, de quanto em quanto tempo são feitas, por quanto tempo são guardadas e quando foi a última vez que alguém restaurou uma para testar. Se a resposta for vaga, a cópia provavelmente nunca foi testada.

5. Segurança: o que acontece com site invadido

Site sem atualização é alvo fácil, e a invasão nem sempre é visível. O Google descreve, nas políticas de spam, o conteúdo invadido como qualquer conteúdo colocado num site sem permissão, por falhas de segurança. Inclui código malicioso injetado em páginas existentes, páginas novas com spam criadas pelo invasor e conteúdo que os buscadores veem, mas que você e seus visitantes têm dificuldade de notar.

Há invasões que só redirecionam o visitante em certas condições. O Google cita redirecionamentos que dependem de onde a pessoa veio ou do aparelho que ela usa, e que não acontecem quando você abre o endereço direto no navegador. Ou seja: você testa, está tudo normal, e o cliente que vem do Google cai num site de golpe.

Quando o Google detecta o problema, o relatório de problemas de segurança do Search Console mostra o que foi encontrado. Segundo a Ajuda do Search Console, as páginas afetadas podem aparecer com aviso nos resultados da pesquisa ou com uma página de alerta no navegador quando alguém tenta abrir. Depois de corrigir tudo, você pede revisão no próprio relatório, e a análise pode levar de dias a semanas.

Essa é a razão mais forte para a manutenção preventiva. Corrigir uma invasão custa mais do que evitá-la, e o tempo em que o site fica com aviso é tempo em que o cliente procura você e encontra um alerta de perigo.

6. Domínio, hospedagem e site fora do ar

O domínio é alugado por um período e precisa ser renovado. Se o aviso de renovação vai para o e-mail de um ex-funcionário ou de quem fez o site anos atrás, o domínio vence e o site some. Pior: domínio que vence pode ser registrado por outra pessoa. O Google descreve nas políticas de spam o "abuso de domínio expirado", em que alguém compra um domínio vencido e o reaproveita para manipular resultados de busca.

A hospedagem é o outro lado. Quando o servidor fica fora do ar e responde com erro, o Google reduz o ritmo com que visita o site. A documentação diz que URLs que já estavam indexadas são mantidas por um tempo, mas acabam sendo removidas se o erro persistir. Um site que passa dias fora do ar pode perder páginas que levaram meses para aparecer.

Na manutenção, isso vira três tarefas simples. Saber a data de vencimento do domínio e em nome de quem ele está. Manter a renovação automática ligada, com um cartão e um e-mail que alguém acompanha. E ter algum tipo de monitoramento que avise quando o site sai do ar, em vez de esperar um cliente reclamar.

7. Velocidade e experiência na página

Site que funcionava bem pode ficar lento com o tempo: imagens enviadas sem otimizar, plugins novos, scripts de terceiros acumulados. O Google recomenda que o maior elemento visível da página carregue em até 2,5 segundos (LCP), que a página responda a interações em menos de 200 milissegundos (INP) e que o layout não se mexa enquanto carrega (CLS abaixo de 0,1).

A documentação diz que essas métricas, junto com outros aspectos de experiência na página, se alinham ao que os sistemas de classificação do Google procuram recompensar, sem dizer o peso exato. O que elas medem com certeza é a experiência de quem abre o site no celular, esperando uma página carregar.

Na manutenção, a velocidade deve ser conferida de tempos em tempos, principalmente depois de mudanças. O que cada métrica significa está em Core Web Vitals, e você pode medir o seu site com a ferramenta oficial em teste de velocidade do site.

8. Conteúdo: preço, horário e links

Manutenção não é só técnica. Telefone que mudou, horário de fim de ano, serviço que deixou de ser oferecido, preço reajustado: tudo isso precisa chegar ao site. O Código de Defesa do Consumidor, no artigo 30, diz que a informação ou publicidade suficientemente precisa obriga o fornecedor e "integra o contrato". Preço velho no site pode virar proposta que o cliente tem o direito de cobrar.

Links quebrados são o outro problema. Página que foi apagada, endereço que mudou sem redirecionamento, link para um site de parceiro que saiu do ar. A documentação do Google diz que, quando uma URL responde com erro 404 ou 410, ela é removida do índice se estava indexada. Se a página mudou de endereço, um redirecionamento permanente evita perder quem tinha o link antigo.

Uma revisão periódica resolve a maior parte disso. Abra o site como se fosse um cliente, no celular, e confira as informações que mais mudam. E acompanhe o Search Console, que mostra páginas com erro e problemas de indexação antes que eles virem reclamação.

9. Formulários e LGPD

Se o site tem formulário de contato, orçamento ou cadastro, ele coleta dados pessoais, e a LGPD entra na manutenção. O artigo 46 diz que os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas, para proteger os dados pessoais de acessos não autorizados e de situações de destruição, perda, alteração ou vazamento.

O artigo 48 vai além: o controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Um site invadido com formulário que guardava nomes, telefones e e-mails pode ser exatamente esse caso. A manutenção preventiva é uma das medidas técnicas que a lei pede.

Na prática, confira para onde vão os dados do formulário (e-mail, planilha, sistema), quem tem acesso, por quanto tempo ficam guardados e se a política de privacidade do site descreve isso. Formulário que guarda dados no próprio site sem necessidade é mais um alvo para proteger.

10. Quanto custa e como é cobrado

Não existe preço padrão de manutenção, porque o trabalho muda muito de um site para outro. Um site num construtor visual precisa de menos rotina técnica do que um WordPress com vinte plugins. O que existe são formas de cobrança, e cada uma combina com um perfil.

Leia a tabela pela última coluna e veja onde o seu site se encaixa. O risco do "por chamado" é que a manutenção preventiva não acontece: ninguém chama ninguém enquanto nada quebra. O risco da mensalidade é pagar por uma lista que não inclui o que você mais precisa.

Um exemplo para comparar, com números ilustrativos. Se você pede em média quatro alterações por mês e cada uma leva meia hora, são duas horas mensais. Multiplique pelo valor da hora que o fornecedor cobra e compare com a mensalidade que inclui alterações. A conta mostra qual modelo sai melhor para o seu uso. O que pesa no custo total de um site, incluindo o que vem depois da entrega, está em quanto custa um site.

11. Como avaliar quem vai fazer

Antes de assinar, peça por escrito o que está incluído e o que não está. Cinco perguntas cobrem quase tudo. Quais tarefas são feitas e com que frequência? Onde ficam as cópias de segurança e quando foram testadas pela última vez? Em quanto tempo vocês respondem se o site sair do ar, e em quanto tempo resolvem?

As outras duas são sobre acesso e saída. Eu continuo com os acessos de administrador do site, da hospedagem e do domínio? Se eu cancelar, recebo uma cópia completa e atual do site? O fornecedor que cuida bem não tem problema em responder sim às duas. Quem segura os acessos transforma a manutenção em dependência.

Peça também um relatório simples, mensal ou por atendimento, com o que foi feito. Atualizações aplicadas, cópias feitas, problemas encontrados. Sem relatório, você paga por um serviço que não consegue ver e só descobre se ele estava sendo feito quando algo dá errado.

12. Erros comuns

• Atualizar sem cópia de segurança. A documentação do WordPress recomenda a cópia antes de começar, para poder restaurar.
• Cópia guardada no mesmo servidor. Se o servidor cai ou é invadido, a cópia vai junto.
• Domínio no e-mail de quem já saiu. O aviso de renovação se perde, o site some e o domínio pode ser registrado por outra pessoa.
• Testar só abrindo o endereço direto. Há invasões que só redirecionam quem vem do Google ou do celular.
• Preço velho no ar. Pelo artigo 30 do CDC, a informação precisa publicada integra o contrato.
• Manutenção só quando quebra. Sem rotina preventiva, cada problema é descoberto pelo cliente.

Todos esses erros têm a mesma raiz: achar que site pronto é site resolvido. O site que traz cliente é o que está no ar, seguro e certo no dia em que o cliente procura, e isso depende de alguém cuidando dele.

13. Em resumo

Manutenção de site é manter o site seguro, no ar, rápido e com informação certa depois que ele fica pronto. Ela inclui atualizar sistema, plugins e tema com cópia de segurança antes, guardar cópias fora do servidor e testá-las, renovar domínio e acompanhar a hospedagem, conferir a velocidade e revisar preços, horários e links.

Sem ela, os riscos são concretos: site invadido aparece com aviso, páginas com erro de servidor persistente saem do índice do Google, domínio vencido pode ir para outra pessoa e dados de formulário ficam expostos, o que a LGPD trata como obrigação do controlador. Ao contratar, exija por escrito o que está incluído, o prazo de resposta, os acessos em seu nome e um relatório do que foi feito.