Para mudar a URL de login do WordPress, você pode utilizar o plugin gratuito WPS Hide Login, que permite substituir o endereço padrão /wp-admin ou /wp-login.php por um caminho personalizado. A configuração é simples, não exige alterações nos arquivos do WordPress e ajuda a reduzir tentativas automatizadas de acesso ao painel administrativo.
O WordPress utiliza endereços de login conhecidos, o que facilita a vida de quem administra um blog, mas também permite que ferramentas automatizadas encontrem rapidamente a página de acesso.
Se você tem um blog, loja virtual ou site institucional, personalizar a URL de login do WordPress pode ser uma medida adicional para dificultar tentativas de acesso realizadas por robôs que procuram os endereços tradicionais.
A boa notícia é que você não precisa modificar códigos, instalar ferramentas complicadas ou alterar arquivos importantes do seu site.
Com um plugin gratuito, é possível criar um endereço exclusivo para acessar o painel administrativo e manter o funcionamento das demais páginas.
Neste artigo, vou mostrar como realizar essa configuração, quais cuidados tomar para não perder o acesso ao WordPress e por que modificar a URL de login deve fazer parte de uma estratégia de segurança mais completa.
Por que mudar a URL de login do WordPress?
Mudar a URL de login do WordPress ajuda a reduzir a exposição da página de autenticação a robôs que procuram automaticamente os endereços padrões da plataforma.
Em uma instalação tradicional, o formulário de acesso pode ser encontrado digitando um destes endereços:
seudominio.com/wp-adminseudominio.com/wp-login.php
Esses caminhos são amplamente conhecidos e podem ser utilizados por ferramentas automatizadas para localizar formulários de login em milhares de sites.
Depois de encontrar a página, alguns robôs tentam combinações de usuários e senhas na tentativa de conseguir acesso não autorizado.
Esse processo é conhecido como ataque de força bruta, uma técnica que utiliza sucessivas tentativas de autenticação para descobrir credenciais.
Ao substituir o endereço padrão por uma URL personalizada, você pode reduzir parte dessas solicitações automatizadas.
Entretanto, existe um detalhe que merece atenção: esconder a página de login não significa tornar o WordPress imune a invasões.
Se alguém descobrir seu endereço personalizado, ainda poderá tentar acessar o formulário. Por isso, senhas fortes, autenticação em duas etapas e outras proteções continuam necessárias.
Quando oriento alunos do curso Monetizando Blogs com o Google AdSense sobre a estrutura dos seus projetos, procuro reforçar que a segurança também merece atenção desde a configuração inicial do WordPress.
Esse cuidado faz parte da organização de um site profissional. Na Formação Império dos Blogs, o aprendizado sobre criação de blogs, WordPress e monetização ajuda a construir essa base antes de avançar para estratégias de tráfego e receita.
O que verificar antes de alterar o endereço de login?
Antes de alterar a URL de login do WordPress, confirme que você possui acesso administrativo e uma maneira de recuperar o site caso ocorra algum problema.
Embora o procedimento seja relativamente simples, uma configuração incorreta ou um conflito entre plugins pode impedir o acesso temporário ao painel.
Minha recomendação é verificar alguns pontos antes de começar:
- Acesso de administrador: utilize uma conta com permissão para instalar plugins e modificar configurações.
- Backup do WordPress: mantenha uma cópia recente dos arquivos e do banco de dados.
- Acesso à hospedagem: confira se consegue utilizar o gerenciador de arquivos ou SFTP.
- Plugins de segurança: verifique se já existe alguma ferramenta modificando o endereço de login.
- Plugins de cache: esteja preparado para excluir o novo endereço do armazenamento em cache.
Outro cuidado é escolher um caminho que não esteja sendo utilizado por uma página existente.
Por exemplo, se seu site já possui uma página publicada em /acesso, não utilize exatamente o mesmo endereço como nova URL administrativa.
Também recomendo evitar nomes muito previsíveis, como admin, login ou painel, caso o objetivo seja diminuir as tentativas automatizadas direcionadas ao formulário.
Você pode utilizar uma combinação personalizada, como:
seudominio.com/acesso-editor-7m2
Esse endereço é apenas um exemplo. O ideal é criar um caminho próprio e armazená-lo com segurança.
Como mudar a URL de login do WordPress com o WPS Hide Login
A maneira mais simples de mudar a URL de login do WordPress é instalar o plugin WPS Hide Login e configurar um endereço personalizado nas opções do painel.
O WPS Hide Login, disponível no diretório oficial do WordPress, permite alterar o caminho utilizado para acessar o formulário de autenticação.
Uma vantagem é que o plugin não renomeia o arquivo wp-login.php nem modifica diretamente os arquivos principais do WordPress.
Ele intercepta as solicitações de acesso, fazendo com que a página de login seja disponibilizada no endereço configurado.
1. Instale o plugin WPS Hide Login
Acesse o painel administrativo do WordPress utilizando sua conta de administrador.
No menu lateral, siga este caminho:
Plugins > Adicionar plugin
No campo de pesquisa, digite:
WPS Hide Login
Localize o plugin e clique em Instalar agora.
Depois que a instalação terminar, clique em Ativar.
A ferramenta estará disponível para configurar o novo endereço de login.
2. Acesse as configurações do plugin
Com o WPS Hide Login ativado, acesse:
Configurações > WPS Hide Login
Dependendo da tradução e da versão utilizada, a opção também pode aparecer na parte inferior da página de configurações gerais.
Você encontrará um campo destinado à definição da nova URL de login.
É nesse campo que deverá inserir o caminho personalizado que deseja utilizar.
3. Defina sua nova URL de login
No campo de URL de login, substitua o valor existente por um endereço de sua preferência.
Por exemplo:
acesso-editor-7m2
Nesse caso, considerando um domínio fictício, o novo endereço será:
https//seudominio.com/acesso-editor-7m2
Você não precisa informar o domínio completo no campo destinado ao caminho. Basta configurar o identificador solicitado pelo plugin.
Prefira letras minúsculas, números e hífens, evitando caracteres especiais que possam dificultar a digitação.
Além disso, escolha um nome que você consiga identificar facilmente, mas que não seja utilizado em outras páginas.
4. Configure o redirecionamento de acessos antigos
O WPS Hide Login também oferece uma configuração relacionada ao destino utilizado quando alguém tenta acessar caminhos que foram desativados pelo plugin.
Em configurações comuns, o caminho informado para esse comportamento é 404.
Isso permite que visitantes não autenticados que tentem acessar o endereço antigo recebam uma resposta de página não encontrada, conforme o comportamento do plugin e do site.
Se você não possui uma necessidade específica, pode manter a configuração padrão.
Não recomendo direcionar a antiga URL de login para a nova, porque isso facilitaria a descoberta do endereço personalizado.
5. Salve as alterações
Depois de escolher o endereço, clique em Salvar alterações.
O WordPress passará a utilizar a nova rota configurada pelo plugin.
Antes de encerrar sua sessão, copie o endereço completo e salve-o em um gerenciador de senhas ou em outro local seguro.
Não feche a sessão administrativa antes de confirmar que a nova URL funciona corretamente.
Esse pequeno cuidado pode evitar bastante trabalho caso exista algum conflito de configuração.
Como verificar se a nova URL de login está funcionando?
A melhor maneira de verificar a alteração é testar o endereço personalizado em uma janela anônima, mantendo a sessão administrativa original aberta.
Esse teste permite comparar o comportamento dos endereços antigos com o novo formulário de autenticação.
Primeiro, abra uma janela anônima do navegador e digite a nova URL.
Confira se a página de login aparece normalmente e se os campos de usuário e senha estão funcionando.
Depois, acesse os caminhos antigos:
seudominio.com/wp-admin
seudominio.com/wp-login.php
Para visitantes não autenticados, esses endereços não deverão apresentar o formulário tradicional quando o WPS Hide Login estiver funcionando corretamente.
O comportamento pode variar de acordo com a configuração do plugin, mas normalmente o visitante encontrará uma página de erro ou outro destino configurado.
Existe uma diferença importante: usuários que já estão autenticados ainda podem acessar as áreas administrativas autorizadas por meio de /wp-admin.
O plugin altera a rota de autenticação, não elimina o diretório administrativo do WordPress.
Caso você encontre alguma dificuldade para acessar o painel, também recomendo a leitura do artigo WordPress Login: Como Acessar o wp-admin e Resolver Erros, no qual explico outros problemas relacionados ao acesso administrativo.
Comparação prática dos endereços
| Situação | Antes da alteração | Depois da alteração |
|---|---|---|
Acesso pelo /wp-login.php | Exibe o formulário de login | Deixa de exibir o formulário padrão para visitantes não autenticados |
Acesso pelo /wp-admin sem autenticação | Encaminha para o login | Não deve revelar a nova página de autenticação |
| Nova URL personalizada | Não existe como rota de login | Exibe o formulário configurado |
| Usuário já autenticado | Acessa o painel normalmente | Continua acessando o painel conforme suas permissões |
| Recuperação de senha | Utiliza o fluxo padrão | Deve funcionar pelo fluxo ajustado pelo plugin |
Esse teste também ajuda a identificar conflitos com ferramentas de segurança, cache e redirecionamento.
Minha dica é conferir o procedimento tanto no computador quanto no celular, principalmente quando o site possui diferentes usuários administrativos.
Cuidados com plugins de cache e redirecionamentos
A nova URL de login precisa ficar fora do cache de páginas para evitar problemas de autenticação e exibição de formulários.
Plugins como LiteSpeed Cache, WP Rocket e outras ferramentas de otimização podem armazenar páginas para acelerar o carregamento do site.
Esse comportamento é útil para artigos, páginas institucionais e conteúdos públicos, mas os formulários de autenticação exigem tratamento diferente.
Uma página de login não deve ser entregue a outros visitantes a partir de uma cópia pública armazenada em cache.
Configuração no LiteSpeed Cache
Se você utiliza o LiteSpeed Cache, confira as regras de exclusão de cache após modificar a URL de login.
Nas configurações do plugin, procure a área relacionada às exclusões de URLs.
Em instalações que apresentam essa organização de menus, o caminho costuma ser:
LiteSpeed Cache > Cache > Excluir
Na opção destinada às URLs que não devem ser armazenadas em cache, inclua o caminho personalizado, conforme o formato solicitado pela ferramenta.
Depois de salvar, limpe o cache e realize um novo teste em janela anônima.
Se utiliza Cloudflare, também confira se há alguma regra de cache que possa atingir o novo endereço.
O WPS Hide Login informa que o WP Rocket possui compatibilidade própria com seu funcionamento. Mesmo assim, vale verificar o acesso após alterações ou atualizações dos plugins.
Atenção aos plugins de membros e lojas virtuais
Se seu WordPress utiliza WooCommerce, áreas de membros ou ferramentas que oferecem login personalizado, teste esses recursos antes de considerar a alteração concluída.
Alguns plugins ou temas podem utilizar referências diretas ao arquivo wp-login.php.
Nesses casos, modificar o caminho de autenticação pode afetar redirecionamentos ou determinadas funcionalidades.
Para blogs convencionais, sem sistemas de cadastro e autenticação personalizados, a configuração costuma ser mais simples.
Se você também está organizando a estrutura visual do seu blog, vale conhecer os melhores temas WordPress gratuitos para AdSense, observando não apenas a aparência, mas também a compatibilidade com plugins e as opções de personalização.
Mudar a URL de login deixa o WordPress mais seguro?
Mudar a URL de login pode reduzir tentativas automatizadas direcionadas aos caminhos tradicionais, mas não substitui os mecanismos que realmente protegem as contas administrativas.
Essa distinção merece atenção porque muitas pessoas acreditam que esconder /wp-admin impede qualquer tentativa de invasão.
Na prática, o endereço personalizado ainda pode ser descoberto por diferentes meios.
Além disso, ataques podem utilizar outras interfaces e vulnerabilidades, sem depender exclusivamente da página de login.
A própria documentação de segurança do WordPress sobre ataques de força bruta recomenda utilizar várias camadas de proteção, incluindo senhas fortes, autenticação em duas etapas e limitação de tentativas de acesso.
Veja como cada recurso contribui para a segurança:
| Medida de segurança | Principal função |
|---|---|
| URL de login personalizada | Reduz a exposição a acessos automatizados nos caminhos tradicionais |
| Senha forte e exclusiva | Dificulta a descoberta das credenciais |
| Autenticação em duas etapas | Exige uma verificação adicional no acesso |
| Limitação de tentativas | Restringe repetidas tentativas de login |
| Firewall de aplicação (WAF) | Filtra determinadas requisições maliciosas |
| Atualizações do WordPress | Corrigem falhas conhecidas em componentes atualizados |
Minha recomendação é combinar essas medidas de acordo com as necessidades do seu projeto.
Utilize autenticação em duas etapas
A autenticação em duas etapas, conhecida como 2FA, acrescenta uma verificação além da senha.
Dependendo da ferramenta, o administrador precisa confirmar o acesso por meio de um aplicativo autenticador ou outro método de segurança.
Isso diminui o risco de acesso indevido quando uma senha é descoberta.
Uma opção para adicionar essa proteção é o Wordfence Security, que oferece recursos de segurança para WordPress, incluindo autenticação em duas etapas.
Em 2026, o plugin também passou a oferecer suporte a passkeys, uma alternativa de autenticação que pode reduzir a dependência de senhas tradicionais.
Antes de combinar diferentes plugins de segurança, confira a compatibilidade entre eles e evite habilitar funcionalidades duplicadas sem necessidade.
Mantenha o WordPress e seus plugins atualizados
Além de proteger o login, acompanhe as atualizações do WordPress, dos plugins e do tema utilizado.
Uma URL personalizada não corrige vulnerabilidades existentes em componentes desatualizados.
Também evite instalar plugins desconhecidos ou versões modificadas obtidas em sites não confiáveis.
Para quem pretende transformar um blog em um negócio digital, esses cuidados fazem parte de uma estrutura que precisa funcionar de maneira consistente.
Na formação completa para criar e monetizar blogs, os conhecimentos de WordPress são trabalhados junto com SEO, Google AdSense e marketing de afiliados, permitindo desenvolver projetos voltados para monetização com uma base técnica organizada.
A segurança contribui para proteger o trabalho realizado na criação do site, na publicação de artigos e no desenvolvimento das fontes de receita.
Perdi a nova URL de login do WordPress: como recuperar o acesso?
Se você esquecer o endereço personalizado, poderá recuperar o acesso desativando temporariamente o WPS Hide Login pela hospedagem ou consultando a configuração salva no banco de dados.
Esse é um dos principais motivos para manter acesso ao gerenciador de arquivos da hospedagem.
O plugin não modifica permanentemente o arquivo original de login. Quando ele é desativado, o WordPress normalmente volta a permitir o acesso pelo endereço tradicional.
Recuperação pelo gerenciador de arquivos
Entre no painel da sua hospedagem e abra o gerenciador de arquivos.
Localize a pasta em que o WordPress está instalado.
Em instalações comuns, o caminho utilizado para armazenar plugins é:
/wp-content/plugins/
Dentro dessa pasta, procure:
wps-hide-login
Renomeie temporariamente essa pasta para:
wps-hide-login-desativado
Essa alteração impede que o WordPress carregue normalmente o plugin.
Em seguida, tente acessar novamente:
https//seudominio.com/wp-login.php
Se o problema estava relacionado exclusivamente ao endereço configurado pelo WPS Hide Login, o formulário padrão deverá voltar a ficar acessível.
Depois de entrar no painel, você poderá corrigir a configuração, restaurar o nome da pasta e reativar o plugin.
Não é necessário excluir os arquivos como primeira tentativa de recuperação.
Recuperação pelo banco de dados
Outra possibilidade é verificar a configuração salva no banco de dados MySQL.
Segundo a documentação do WPS Hide Login, o caminho personalizado pode ser encontrado no registro identificado como:
whl_page
Em instalações convencionais, esse valor fica na tabela de opções do WordPress.
O prefixo dessa tabela pode variar, portanto não é obrigatório que ela tenha o nome wp_options.
Essa alternativa é mais indicada para quem possui familiaridade com phpMyAdmin ou ferramentas semelhantes.
Se você não tem experiência com banco de dados, prefira o método do gerenciador de arquivos ou solicite orientação ao suporte da hospedagem.
Alterar registros diretamente no banco sem compreender sua função pode provocar outros problemas.
Quando a recuperação não funciona
Se o formulário continuar indisponível mesmo depois da desativação do plugin, verifique outros possíveis fatores:
- Regras de redirecionamento configuradas na hospedagem.
- Plugins de segurança que estejam bloqueando solicitações.
- Configurações de cache e firewall.
- Problemas relacionados ao arquivo
.htaccess. - Erros de autenticação que já existiam antes da alteração.
Evite modificar vários componentes ao mesmo tempo. Realize uma mudança por vez para identificar a causa do problema.
É possível mudar a URL de login do WordPress sem plugin?
É possível modificar o comportamento da autenticação do WordPress com desenvolvimento personalizado, mas essa alternativa exige conhecimentos técnicos e cuidados com futuras atualizações.
Algumas pessoas tentam resolver o problema renomeando diretamente o arquivo wp-login.php.
Não recomendo essa prática.
O arquivo pertence à estrutura principal do WordPress e pode ser restaurado ou substituído durante atualizações.
Além disso, outras funcionalidades da plataforma podem depender de referências ao caminho original.
Alterações inadequadas também podem afetar processos como recuperação de senha, autenticação e redirecionamentos administrativos.
Outra alternativa seria desenvolver uma solução personalizada utilizando os recursos internos do WordPress, mas isso exige testes de compatibilidade e manutenção.
Para a maioria dos blogs, utilizar um plugin mantido e compatível com a instalação tende a ser a escolha mais prática.
A vantagem do WPS Hide Login é permitir desfazer a configuração sem modificar permanentemente os arquivos principais da plataforma.
Se a sua preocupação é utilizar muitos plugins, avalie primeiro as funcionalidades de segurança já oferecidas pela hospedagem e por ferramentas instaladas.
Nem sempre adicionar mais um plugin representa a melhor solução quando a infraestrutura já oferece mecanismos equivalentes.
Alterar a URL de login pode prejudicar o SEO do blog?
A alteração da URL de login não modifica diretamente os endereços dos artigos, categorias ou páginas públicas do WordPress, portanto não deve afetar o SEO do blog quando realizada corretamente.
Os mecanismos de busca precisam acessar e interpretar o conteúdo público do site.
Já o formulário de autenticação administrativa não faz parte do conteúdo que você pretende posicionar nos resultados de pesquisa.
A mudança realizada pelo WPS Hide Login não exige modificar os links permanentes dos artigos.
Por esse motivo, você não precisa criar redirecionamentos 301 para todas as páginas nem solicitar uma nova indexação dos conteúdos apenas porque mudou o endereço de login.
Os riscos indiretos aparecem quando uma configuração incorreta afeta o funcionamento geral do site.
Por exemplo, conflitos com plugins de cache ou regras de redirecionamento podem provocar erros de acesso que precisam ser corrigidos.
Também não existe evidência de que trocar /wp-admin por um endereço personalizado seja, por si só, um fator de ranqueamento do Google.
O benefício está relacionado principalmente à administração do site e à redução de determinadas solicitações automatizadas.
Outro cuidado é manter os plugins compatíveis com o tema utilizado. Se você trabalha com o Astra, por exemplo, pode conferir minha análise do tema Astra Free para blogs, SEO e AdSense e conhecer outros aspectos da configuração de um site WordPress.
O melhor caminho é manter a segurança, o desempenho e a experiência dos visitantes funcionando em conjunto.
Cuidados para manter o novo login funcionando
Depois de personalizar a URL de login, alguns hábitos simples ajudam a evitar problemas com o acesso administrativo.
O primeiro é armazenar o endereço em um local seguro e acessível apenas às pessoas autorizadas.
Se outras pessoas administram o site, compartilhe a URL por um meio adequado e mantenha contas individuais, sem distribuir a mesma senha para diferentes usuários.
Também vale realizar uma verificação após atualizações importantes do WordPress ou dos plugins relacionados à autenticação.
Para manter a configuração organizada:
- Salve a URL personalizada em um gerenciador de senhas.
- Mantenha o WPS Hide Login atualizado.
- Verifique se o novo endereço continua excluído do cache.
- Utilize senhas diferentes para cada conta administrativa.
- Ative autenticação em duas etapas quando possível.
- Remova contas administrativas que não são mais necessárias.
- Mantenha um backup recente e acesso à hospedagem.
Se você utiliza formulários de cadastro, recuperação de senha ou sistemas de membros, inclua esses recursos nas verificações.
O objetivo é manter o acesso dos usuários autorizados funcionando corretamente sem facilitar tentativas automatizadas de autenticação.
Conclusão
Mudar a URL de login do WordPress é uma configuração simples que pode ajudar a reduzir tentativas automatizadas direcionadas aos caminhos tradicionais da plataforma.
Com o WPS Hide Login, é possível criar um endereço personalizado sem editar arquivos principais do WordPress e sem precisar desenvolver códigos.
O cuidado mais importante é testar a nova página antes de encerrar a sessão administrativa. Também recomendo salvar o endereço escolhido e manter acesso ao gerenciador de arquivos da hospedagem para eventuais recuperações.
Entretanto, personalizar a URL não deve ser a única medida de segurança utilizada.
Senhas fortes, autenticação em duas etapas, atualizações frequentes e proteção contra tentativas repetidas de login continuam sendo recursos importantes para preservar a administração do site.
Para blogs que trabalham com Google AdSense, marketing de afiliados ou outros modelos de monetização, manter o WordPress protegido também significa cuidar da estrutura que sustenta a publicação de conteúdos e o funcionamento do negócio digital.
Sou Kildary Oliver, especialista em WordPress, SEO e monetização com Google AdSense, e trabalho com blogs desde 2018. Mais de 300 blogs de alunos foram aprovados no AdSense, tenho mais de 28 mil inscritos no YouTube e mais de 10 mil alunos em cursos. Atualizo meus artigos quando o Google muda as regras. Conheça meu trabalho na página Sobre o Autor.
