Segurança da loja virtual: HTTPS, LGPD e dados de clientes

Segurança de loja virtual tem duas frentes: proteger o site contra invasão e falha, e proteger os dados pessoais dos clientes conforme a LGPD. Você não precisa guardar dados de cartão para vender (o gateway de pagamento faz isso), mas guarda nome, CPF, endereço e telefone, que são dados pessoais e precisam de cuidado. Este guia lista as medidas essenciais, em ordem de prioridade, e o que fazer se algo der errado.

Este texto é informativo. Para adequação à LGPD, consulte um advogado ou consultor de proteção de dados.

Proteger o site

Medida	O que fazer	Por quê
HTTPS	Certificado válido em todo o site, não só no checkout	Protege dados em trânsito e é sinal de confiança
Atualizações	Manter plataforma, tema e extensões atualizados	Falhas conhecidas são a porta de entrada mais comum
Senhas e acesso	Senhas fortes, verificação em duas etapas, contas separadas por pessoa	Evita invasão por senha fraca ou compartilhada
Extensões	Instalar só o necessário e de fontes confiáveis	Cada extensão é um possível ponto de falha
Backups	Automáticos e testados em um local separado	Permite voltar rápido depois de um problema
Firewall e monitoramento	Proteção contra tráfego malicioso e alertas	Reduz ataques automatizados
Pagamento	Usar gateway ou checkout de pagamento que processa o cartão; não armazenar dados de cartão	Reduz sua responsabilidade e risco

Proteger os dados dos clientes (LGPD)

1. Colete o necessário: se você não precisa de um dado, não peça.
2. Explique para que usa: política de privacidade clara, em linguagem simples. Veja documentos legais da loja virtual.
3. Tenha base legal para cada uso, e consentimento quando for o caso, como em e-mail marketing.
4. Limite o acesso: só quem precisa vê os dados.
5. Defina por quanto tempo guarda e apague o que não é mais necessário, respeitando obrigações legais.
6. Ofereça um canal para o titular pedir acesso, correção ou exclusão.
7. Cuide dos fornecedores que recebem dados: plataforma, ERP, e-mail marketing, transportadora.

Se houver um incidente

• Isole o problema e preserve evidências.
• Troque senhas e revise acessos.
• Avalie quais dados foram afetados e o risco para as pessoas.
• Procure orientação jurídica sobre a comunicação à autoridade de proteção de dados e aos titulares, que tem prazos definidos em regulamento.
• Registre o que aconteceu e o que foi corrigido.

Exemplo ilustrativo: o custo de um acesso indevido

Uma loja hipotética usa uma extensão desatualizada, e um invasor acessa a lista de clientes, com nomes, e-mails e telefones. Mesmo sem dados de cartão, a loja precisa avaliar o incidente, comunicar quando exigido, trocar acessos e lidar com clientes preocupados. O trabalho de dois dias da equipe, a perda de confiança e o risco de sanção são custos maiores do que o das atualizações e do backup que teriam evitado o problema. Os números e o caso são inventados; a lição é que a prevenção é mais barata.

Checklist mensal de segurança

• Atualizar plataforma, temas e plugins ou aplicativos, depois de testar em ambiente separado.
• Revisar quem tem acesso ao painel e remover contas que não são mais usadas.
• Exigir senhas fortes e verificação em duas etapas nas contas de administração.
• Conferir se os backups estão sendo feitos e se a restauração funciona.
• Verificar a validade do certificado SSL.

Se houver um incidente

1. Contenha: troque senhas, suspenda acessos suspeitos e, se necessário, tire o site do ar temporariamente.
2. Avalie o que foi afetado e se houve dados de clientes envolvidos.
3. Restaure a partir de um backup limpo e corrija a causa.
4. Comunique clientes e, quando a lei exigir, as autoridades. Consulte um advogado sobre as obrigações no seu caso.
5. Registre o que aconteceu e o que mudou para evitar repetição.

Erros comuns

• Adiar atualizações por medo de quebrar o site, sem testar em ambiente separado.
• Compartilhar a senha de administrador por mensagem.
• Coletar CPF e data de nascimento sem necessidade.
• Não ter backup, ou nunca ter testado restaurar.
• Copiar uma política de privacidade que não reflete o que a loja faz.

Os pagamentos e as fraudes têm seus próprios cuidados: veja meios de pagamento no e-commerce e fraude em e-commerce. A trilha completa está em como começar a vender online.

Perguntas frequentes

Preciso de certificado SSL? Sim. HTTPS é o mínimo para qualquer loja, e muitas plataformas e hospedagens o incluem.

Posso guardar o cartão do cliente? Em geral, não é recomendável: use um gateway que armazene de forma segura (tokenização) e evite assumir esse risco.

A LGPD vale para pequenas lojas? Sim, para quem trata dados pessoais. O que muda é a escala das medidas; consulte um profissional para adequar ao seu caso.

Preciso de um encarregado (DPO)? A lei prevê a figura do encarregado; as exigências e flexibilizações para pequenos negócios dependem de regulamento. Confirme com um especialista.

Quer aplicar isso na sua operação?

Este artigo mostra o método. Se você prefere ter alguém revisando a estrutura técnica e as políticas da loja com você, veja como criar uma loja virtual, ou fale com a gente e conte em duas linhas o que mais incomoda hoje na sua operação.

Exemplos numéricos deste artigo são ilustrativos e arredondados, e não representam taxas ou médias de mercado. Regras, tarifas e exigências legais mudam: confira as vigentes e, em temas financeiros, fiscais e jurídicos, consulte um profissional antes de decidir. Artigo atualizado em outubro de 2026.