Um site não termina no dia do lançamento. A partir dali, ele roda sobre um servidor que precisa de atualizações, usa bibliotecas e plugins que recebem correções de segurança, depende de certificados que expiram e de integrações que mudam sem aviso. A manutenção de site é o trabalho recorrente que mantém tudo isso funcionando, e é também o item mais mal definido nos contratos de criação de sites.
Este guia explica o que a manutenção inclui, com rotinas por frequência, quanto ela costuma custar por mês, o que deve estar escrito no contrato (SLA, backups, relatórios) e onde fica a fronteira entre manutenção e evolução do site, que é a origem da maioria das cobranças inesperadas.
Resposta rápida: manutenção de site é o conjunto de rotinas que mantém o site no ar, seguro, rápido e funcional: monitoramento, backups com restauração testada, atualizações de software, correção de falhas, segurança e relatórios. Levantamentos de mercado de 2026 apontam de R$ 200 a R$ 2.500 por mês para sites de pequenas e médias empresas. O valor depende da plataforma, do número de integrações e do tempo de resposta contratado.
Seção 04
O que é manutenção de site?
Manutenção de site é o serviço contínuo de preservar o que já existe: disponibilidade, segurança, desempenho e funcionamento das páginas e integrações. A ideia é que o site entregue no lançamento continue funcionando igual ou melhor ao longo do tempo, mesmo com o ambiente mudando à sua volta.
Ela é diferente de três coisas com que costuma ser confundida:
- Hospedagem é o aluguel da infraestrutura onde o site roda. Um bom provedor cuida do servidor, mas não atualiza os plugins do seu WordPress nem testa o seu formulário.
- Suporte é o atendimento a dúvidas e pedidos. Faz parte da manutenção, mas não a substitui.
- Evolução é tudo o que acrescenta algo ao site: páginas novas, funcionalidades, integrações, redesign. Tem escopo e orçamento próprios.
Seção 05
Por que um site precisa de manutenção
O motivo mais concreto é a segurança. Sites em plataformas populares são alvo de ataques automatizados que procuram versões vulneráveis de plugins e temas. O relatório anual da Patchstack, empresa especializada em segurança de WordPress, registrou 5.948 novas vulnerabilidades no ecossistema em 2023, 96,77% delas em plugins. No mesmo ano, 481 componentes vulneráveis foram retirados do repositório oficial por abandono [1]. Um plugin que ninguém mais atualiza é um risco permanente, e só uma rotina de manutenção percebe isso a tempo.
A própria documentação do WordPress trata a atualização como a principal medida de segurança e recomenda backup antes de cada atualização [2] [3]. A lista OWASP Top 10, referência global de riscos em aplicações web, inclui entre eles o uso de componentes vulneráveis e desatualizados [4].
Há também razões que não envolvem ataques:
- Linguagens e servidores saem de suporte. Versões de PHP, Node.js e bancos de dados têm data para deixar de receber correções de segurança. O PHP 8.1, por exemplo, deixou de recebê-las no fim de 2025 [5].
- Certificados expiram. Certificados TLS gratuitos, como os da Let's Encrypt, valem 90 dias e dependem de renovação automática funcionando [6]. Quando ela falha, o navegador exibe um alerta de "site não seguro".
- Integrações quebram. APIs de CRM, de WhatsApp e de pagamento mudam versões. O formulário pode parar de enviar leads sem nenhum erro visível.
- O desempenho se degrada. Imagens enviadas sem otimização, scripts de marketing acumulados e plugins novos pioram aos poucos as Core Web Vitals, que o Google usa em seus sistemas de classificação [7].
- Obrigações de privacidade. A LGPD exige medidas de segurança aptas a proteger os dados pessoais tratados (art. 46), incluindo os que chegam pelos formulários do site [8].
Seção 06
O que um plano de manutenção de site inclui
Um plano sério se mede pelo que ele executa, registra e reporta, não pelo nome do pacote. As rotinas abaixo são a base. Peça que o fornecedor diga por escrito quais delas estão incluídas e com que frequência.
Monitoramento contínuo
- Disponibilidade (uptime): verificação automática a cada 1 a 5 minutos, com alerta para a equipe responsável.
- Firewall de aplicação (WAF) e bloqueio de força bruta na área administrativa.
- Monitoramento de formulários: um envio de teste periódico que confirma que o lead chega ao e-mail e ao CRM.
Rotinas diárias
- Backup automático de arquivos e banco de dados, guardado fora do servidor do site e com retenção definida (por exemplo, 30 dias).
- Varredura de malware e verificação de integridade de arquivos.
Rotinas semanais ou mensais
- Atualizações do núcleo da plataforma, de plugins, temas e dependências, primeiro em homologação quando o site tem integrações críticas.
- Teste de restauração do backup. Backup que nunca foi restaurado não é garantia de nada.
- Desempenho: acompanhamento das Core Web Vitals pelos dados de campo do Search Console e do PageSpeed Insights [9], com correção de regressões.
- Saúde de SEO técnico: erros 404, redirecionamentos quebrados, páginas excluídas do índice e sitemap desatualizado.
Rotinas trimestrais
- Revisão de versões de PHP, Node.js e banco de dados frente ao calendário de suporte.
- Revisão de acessos: remover usuários de ex-funcionários e ex-fornecedores e exigir autenticação em dois fatores.
- Revisão de privacidade: scripts de terceiros, banner de cookies e política de privacidade, como detalhado em LGPD e cookies.
- Relatório e roadmap: o que foi feito, incidentes, indicadores e recomendações para o próximo trimestre.
Seção 11
Manutenção não é evolução: a fronteira que evita surpresas
A maioria dos conflitos entre empresa e fornecedor nasce aqui. O cliente espera que a mensalidade cubra "mexer no site". O fornecedor entende que ela cobre manter o site como está. Defina a fronteira por escrito:
Um modelo que funciona bem é incluir na manutenção uma cota mensal de pequenos ajustes, por exemplo duas horas para trocar textos, imagens e telefones, e orçar à parte tudo o que criar algo novo. Funcionalidades novas, integrações e páginas de serviço adicionais entram como evolução. Otimização de conversão é um trabalho próprio, como no nosso serviço de CRO e análise de comportamento. Conteúdo para SEO também é recorrente, mas é outro serviço, de produção de conteúdo SEO.
Seção 12
Quanto custa a manutenção de um site por mês?
Os preços variam muito porque os pacotes incluem coisas muito diferentes. Levantamentos publicados por provedores de hospedagem em 2026 indicam faixas de R$ 30 a R$ 140 por mês para sites pessoais e de R$ 200 a R$ 2.500 por mês para sites de pequenas e médias empresas [10]. Para lojas virtuais, os valores sobem conforme o volume de pedidos e de integrações. A tabela abaixo distribui esse intervalo por perfil de site. É uma referência editorial para orientar a conversa com fornecedores, não uma tabela de preços.
O que mais move o preço, em ordem de impacto:
- 1Tempo de resposta (SLA). Garantir reação em 1 hora, 24 horas por dia, custa muito mais do que em 1 dia útil.
- 2Número de integrações. Cada integração é um ponto de falha que precisa ser monitorado e testado depois de cada atualização.
- 3Plataforma. Um WordPress com 30 plugins exige mais rotina do que um site estático ou headless com poucas dependências. O comparativo WordPress, no-code ou headless mostra como isso pesa no custo total. Um site institucional enxuto, com poucas dependências, também reduz a mensalidade.
- 4Ambiente de homologação. Testar atualizações antes de aplicá-las em produção dobra o trabalho, mas evita a maioria das quedas.
- 5Cota de ajustes e relatórios. Mais horas e relatórios mais analíticos custam mais.
Some à mensalidade os custos que não são manutenção mas aparecem na mesma conta: hospedagem, domínio (no Registro.br, a anuidade de um ".com.br" é baixa, mas precisa estar em nome da empresa e com renovação automática [11]), licenças de plugins premium e ferramentas de e-mail. O custo de criação, que é outro assunto, está em quanto custa um site profissional.
Seção 13
O que deve estar no contrato de manutenção
- Lista de rotinas e frequências, como no quadro acima.
- SLA por gravidade: site fora do ar ou invadido (crítico), formulário parado (alto), erro visual (médio), ajuste de texto (baixo). Para cada um, prazo de primeira resposta e de solução.
- Política de backup: frequência, local de armazenamento, retenção e prazo de restauração.
- Cota de ajustes e o valor da hora excedente.
- Relatório: periodicidade e conteúdo mínimo (atualizações aplicadas, incidentes, uptime, Core Web Vitals, recomendações).
- Propriedade e acessos: domínio, hospedagem, código e contas em nome da empresa. No fim do contrato, entrega de acessos e de um backup completo.
- Exclusões: o que não está coberto, como evolução, conteúdo e mídia paga.
Esses pontos complementam o checklist de o que exigir de uma empresa de criação de sites. Vale incluí-los já no briefing do projeto, para que a proposta de criação venha com a de manutenção.
Aplique isso no seu negócio
Quer saber como implementar essas estratégias na prática? Nossa equipe analisa seu site gratuitamente e monta um plano de ação personalizado.
Seção 14
Fazer a manutenção internamente ou terceirizar?
Fazer internamente faz sentido quando a empresa tem alguém técnico com tempo reservado e o site é simples. O risco é a rotina depender de uma única pessoa e ser a primeira a ser abandonada quando a agenda aperta. Terceirizar faz sentido quando o site é um canal comercial relevante, tem integrações ou roda em uma plataforma com muitas dependências. Um meio-termo comum é a equipe interna cuidar do conteúdo e o fornecedor cuidar da camada técnica.
Em um site novo, a manutenção deve começar logo depois da fase de estabilização prevista no cronograma do projeto, sem um intervalo sem responsável.
Seja qual for a escolha, há um teste simples: pergunte quando foi a última vez que um backup do site foi restaurado com sucesso. Se ninguém souber responder, a manutenção não está acontecendo.
Seção 15
Sinais de que o site está sem manutenção
- O painel mostra dezenas de atualizações pendentes.
- O site exibe alerta de certificado ou de "não seguro".
- Os leads pelo formulário caíram sem mudança de tráfego.
- O Search Console acusa aumento de páginas com erro ou de URLs ruins nas Core Web Vitals.
- Usuários que já saíram da empresa continuam com acesso ao painel.
- Ninguém sabe onde está o backup.
Se você reconheceu dois ou mais sinais, uma análise de saúde técnica do site mostra o tamanho do problema antes que ele vire incidente. Em WordPress, nosso serviço de segurança WordPress cobre limpeza, endurecimento e monitoramento. Quando a manutenção já não resolve, o artigo quando refazer o site da empresa ajuda a decidir entre corrigir e reconstruir.
Seção 16
Perguntas frequentes
O que está incluído na manutenção de um site?
Monitoramento de disponibilidade, backups automáticos com restauração testada, atualizações da plataforma, plugins e dependências, segurança (firewall e varredura de malware), renovação de certificados, correção de falhas, acompanhamento de desempenho e SEO técnico, uma cota de pequenos ajustes e relatório periódico.
Quanto custa a manutenção de site por mês?
Para sites de pequenas e médias empresas, levantamentos de mercado de 2026 indicam de R$ 200 a R$ 2.500 por mês. O valor depende do tempo de resposta contratado, do número de integrações, da plataforma e da cota de ajustes incluída. Lojas virtuais costumam custar mais.
Qual a diferença entre manutenção e hospedagem de site?
A hospedagem é a infraestrutura onde o site roda: servidor, rede e, às vezes, backups do servidor. A manutenção é o trabalho sobre o site em si: atualizar a plataforma e os plugins, testar formulários e integrações, corrigir falhas, monitorar desempenho e reportar o que foi feito.
Site institucional simples precisa de manutenção?
Sim, ainda que mais leve. Mesmo um site de poucas páginas tem certificado, servidor, formulário e, em geral, uma plataforma com componentes que recebem correções de segurança. Um site estático com poucas dependências exige menos rotina, mas ainda precisa de monitoramento e backup.
Com que frequência devo atualizar os plugins do WordPress?
Correções de segurança devem ser aplicadas assim que publicadas, de preferência com backup antes e teste depois. As demais atualizações podem seguir uma rotina semanal ou quinzenal. Em sites com integrações críticas, o ideal é testar primeiro em um ambiente de homologação.
Seção 22
Fontes consultadas
- 1Patchstack: State of WordPress Security in 2024 (dados de 2023). patchstack.com/whitepaper/state-of-wordpress-security-in-2024
- 2WordPress.org: Updating WordPress. wordpress.org/documentation/article/updating-wordpress
- 3WordPress Developer Resources: Hardening WordPress. developer.wordpress.org/advanced-administration/security/hardening
- 4OWASP Foundation: OWASP Top Ten. owasp.org/www-project-top-ten
- 5PHP.net: Supported Versions. php.net/supported-versions.php
- 6Let's Encrypt: Como funciona. letsencrypt.org/pt-br/how-it-works
- 7Google Search Central: Noções básicas sobre as Core Web Vitals e os resultados da Pesquisa Google. developers.google.com/search/docs/appearance/core-web-vitals
- 8Presidência da República: Lei nº 13.709/2018 (Lei Geral de Proteção de Dados), art. 46. planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
- 9Google for Developers: Sobre o PageSpeed Insights. developers.google.com/speed/docs/insights/v5/about
- 10Hostinger: Quanto custa manter um site em 2026. hostinger.com/br/tutoriais/quanto-custa-manter-um-site
- 11Registro.br: Registro de domínios .br. registro.br
