Fez o site com IA. O que é que ficou lá dentro?
O site nasce em minutos e parece pronto. O que a ferramenta deixa por baixo é que dá trabalho: uma base de dados de terceiros que adormece ao fim de uma semana, chaves à vista no código que o browser descarrega, tabelas sem regras de acesso e um endereço que não é seu. Este artigo mostra como verificar tudo isso e o que é preciso para o site ficar online a sério.
Não é um receio teórico
- Uma análise a 1.645 aplicações da própria montra de um dos geradores encontrou 170 com falhas críticas de acesso à base de dados, cerca de uma em cada dez. Ficaram acessíveis nomes, emails, telefones, moradas e dados financeiros. Está registado como CVE-2025-48757.
- Uma varredura a 20 mil endereços de projectos lançados por criadores independentes, em Janeiro de 2026, encontrou credenciais de base de dados expostas no código do lado do cliente em 11% dos casos.
- Nos planos gratuitos, o serviço de base de dados mais usado por estas ferramentas suspende o projecto ao fim de sete dias sem actividade. O site continua a abrir, mas tudo o que dependa de dados deixa de funcionar.
Os cinco restos que ficam quase sempre
1. A base de dados é de outra pessoa, e adormece
O gerador liga o site a um serviço de base de dados externo, na conta gratuita. Sem actividade durante uma semana, o projecto é suspenso e as leituras e escritas param até alguém o acordar. Além disso, os dados dos seus clientes ficam num servidor que não escolheu, muitas vezes fora da União Europeia.
2. Chaves à vista no código que o browser descarrega
Nem todas as chaves são um problema: a chave pública é feita para ser vista, desde que a base de dados tenha regras de acesso. O que não pode acontecer, e acontece, é a chave de serviço, aquela que ignora todas as regras, ficar no código do lado do cliente. Quem abrir as ferramentas de programador do browser lê tudo em segundos.
3. Tabelas sem regras de acesso
É o defeito mais comum e o mais caro. A protecção por linha vem desligada de origem e o código gerado raramente a activa. Sem ela, qualquer pessoa com a chave pública consegue listar a tabela inteira, incluindo contactos, encomendas e mensagens de formulário.
4. O endereço é do fornecedor, não seu
O site vive num subdomínio da plataforma. Perde-se a marca, o Google entende que a página pertence a outro domínio, e no dia em que quiser mudar não leva nada consigo: nem posições, nem ligações, nem histórico.
5. Não há email, nem cópias, nem conformidade
O formulário envia a partir de um endereço de terceiro que nada tem que ver com a sua empresa, ou não envia de todo e ninguém dá por isso. Não há cópias de segurança, não há registo de quem alterou o quê, e o banner de cookies e a política de privacidade, quando existem, são um texto genérico que não corresponde ao que o site faz.
O que a 3HASH faz quando nos entregam um site destes
Recebemos sites gerados por IA com regularidade. O trabalho é sempre o mesmo, e é este. Fica aqui por escrito para saber exactamente o que está a comprar, e para o poder exigir a quem quer que trate disto.
Cópia do que existe, antes de tocar
Guardamos o projecto e os dados como estão. Nunca se corrige nada sem ter para onde voltar.
Fechamos a base de dados
Regras de acesso por linha em todas as tabelas, chaves sensíveis retiradas do lado do cliente e passadas para o servidor. É aqui que o site deixa de ser uma lista aberta.
Trazemos os dados para Portugal
Base de dados e ficheiros para os nossos servidores, em território nacional. Deixa de depender de uma conta gratuita que suspende ao fim de uma semana.
Domínio, certificado e email
Registamos ou apontamos o seu domínio, emitimos o certificado e criamos as contas de email do domínio. Os formulários passam a enviar de um endereço seu.
Conformidade e cópias
Banner de cookies que corresponde ao que o site faz, política de privacidade real e cópias de segurança diárias e encriptadas.
Provamos que funciona
Testamos os fluxos todos, formulários incluídos, e mostramos-lhe o resultado. Um site que ninguém percorreu não está entregue.
Como verificar o seu, em dez minutos
Não é preciso ser programador para fazer os três primeiros. O quarto é melhor pedir a alguém.
Veja onde vivem os dados
Abra o site, carregue em ver código-fonte e procure o nome de um serviço de base de dados ou um endereço terminado em .supabase.co. Se aparecer, os dados dos seus clientes estão nesse serviço, não no seu site.
Procure a palavra service_role
Na mesma página de código, use a busca do browser. Se essa palavra aparecer, a chave que ignora todas as protecções está a ser entregue a qualquer visitante. É motivo para desligar o formulário até estar resolvido.
Repare no endereço
Se a barra do browser mostra o nome da plataforma em vez do seu domínio, o site ainda não é seu para efeitos de marca e de Google. É a correcção mais barata de todas.
Peça um teste de leitura à base de dados
Um técnico consegue, em minutos, tentar ler uma tabela sem sessão iniciada. Se conseguir, as regras de acesso não existem. É este teste que separa o site que parece seguro do que é.
Se encontrar alguma destas coisas, não apague nada. Guarde uma cópia do projecto antes de mexer. Muita da confusão nasce de tentar corrigir à pressa e ficar sem a versão que ao menos funcionava.
O que é preciso para aquilo ficar online a sério
São quatro coisas, e nos nossos planos de alojamento vêm as quatro incluídas.
Um domínio seu
Um .pt ou .com registado em seu nome, com o site a responder nele. É o que faz a marca existir e o que permite mudar de fornecedor sem perder nada.
Alojamento com quem responda
Site e base de dados no mesmo sítio, nos nossos servidores em Portugal, com latência inferior a dez milissegundos e suporte humano em português. Fala com quem administra as máquinas, sem call center pelo meio.
Regras de acesso e cópias
Protecção por linha activada nas tabelas, chaves sensíveis só do lado do servidor e cópia diária encriptada, que na 3HASH faz parte do plano e não é um extra de checkout.
Email do seu domínio
Formulários que enviam de um endereço da empresa e chegam mesmo à caixa. É o passo que mais se esquece e o que faz perder contactos sem ninguém se aperceber.
| Ficar no gerador | Alojado em condições | |
|---|---|---|
| Endereço | Subdomínio da plataforma | O seu domínio, com certificado |
| Base de dados | Conta gratuita que suspende ao fim de dias | No mesmo alojamento, sempre acordada |
| De terceiros, ou nenhum | Contas do seu domínio, incluídas | |
| Cópias de segurança | Não existem | Diárias e encriptadas |
| Quando pára | Fórum e documentação | Suporte humano, em português |
Os nossos planos de hosting
Quatro planos de alojamento WordPress gerido, com IVA incluído e facturação anual. O preço de renovação é igual ao da adesão, sem promoções de primeiro ano seguidas de factura a triplicar.
| Plano | Preço | Para quem |
|---|---|---|
| WP Starter | 49 €/ano c/IVA | Um site, uma conta de email, backup diário |
| WP Pro | 99 €/ano c/IVA | Três sites, dez emails, migração assistida |
| WP Business | 199 €/ano c/IVA | Lojas e sites grandes, backups horários, staging |
| Reseller | 399 €/ano c/IVA | Agências e freelancers, com sub-contas |
Pagamento por cartão, MB WAY ou Multibanco. Consulte a página de hosting para o detalhe de cada plano e para os valores em vigor.
Trazemos o site para casa
Mande-nos o endereço do site que gerou e dizemos-lhe, sem custo, o que está exposto e o que falta. Se quiser que tratemos disso, a 3HASH pega no que a ferramenta produziu, fecha a base de dados, traz os dados para os nossos servidores em Portugal e põe o site no seu domínio, com email e cópias de segurança incluídas.
Fontes
- CVE-2025-48757 — falhas de protecção por linha em aplicações geradas, com gravidade 8,26 numa escala até dez.
- Levantamento de 20 mil endereços de projectos independentes, Janeiro de 2026, com 11% a expor credenciais no código do lado do cliente.
- Documentação do serviço de base de dados sobre suspensão de projectos gratuitos por inactividade.
Para ler a seguir
- Mudar de hosting sem o site ir abaixo — o passo a passo da migração, incluindo o correio.
- O que é alojamento gerido — a diferença face a um alojamento comum.