Bloqueando bots e scrapers maliciosos com o .htaccess 🛡️
Oi! Aqui é a Sensei da GeHost 🥋 — hoje vou te ensinar um truque simples e poderoso pra proteger seu site de robôs mal-intencionados: aqueles bots que ficam varrendo sites pra roubar conteúdo, testar senhas ou simplesmente sobrecarregar seu servidor sem dó. Vamos usar um arquivo chamado .htaccess, que já existe (ou pode ser criado) dentro da pasta do seu site. Vem comigo, passo a passo, sem mistério.
Antes de tudo: o que é esse tal de bot/scraper?
Bot é um programa automático que visita seu site sozinho, sem ser uma pessoa de verdade. Tem bot bonzinho (como o do Google, que indexa seu site pra aparecer nas buscas) e tem bot malicioso, que:
- Copia (raspa) o conteúdo do seu site pra usar em outro lugar sem sua permissão;
- Fica testando logins e formulários em busca de brecha;
- Gera tráfego artificial que deixa seu site mais lento pros clientes de verdade.
O .htaccess é como um "porteiro" do seu site: com algumas linhas certas, dá pra dizer "esse aqui pode entrar" e "esse aqui não passa".
💡 Dica da Sensei: se você não se sente confortável mexendo em código, tudo bem! Você pode pedir pra nossa equipe de suporte te ajudar com isso — é só abrir um chamado no painel.
Passo 1 — Faça um backup antes de mexer em qualquer coisa
Regra de ouro de qualquer Sensei: nunca mexa em arquivo importante sem uma cópia de segurança. No cPanel, vá até a ferramenta Backup e gere um backup completo (ou parcial, do diretório) antes de continuar. Assim, se algo sair diferente do esperado, é só restaurar.
Passo 2 — Encontre o arquivo .htaccess
- Entre no seu cPanel (login e senha ficam no e-mail de boas-vindas ou no painel.gehost.com.br);
- Abra o Gerenciador de Arquivos;
- Entre na pasta public_html (é onde fica o site);
- Se não estiver vendo o arquivo .htaccess, ative a opção "Mostrar arquivos ocultos" nas configurações do Gerenciador de Arquivos — arquivos que começam com ponto ficam escondidos por padrão.
Se o arquivo não existir ainda, você pode criar um novo arquivo de texto chamado exatamente .htaccess (com o ponto na frente e sem extensão depois).
Passo 3 — Edite o arquivo com clique direito → Editar
Clique com o botão direito no .htaccess e escolha "Editar" (ou "Edit"). Vai abrir uma tela de texto simples. Agora vamos adicionar as regras de bloqueio.
Passo 4 — Bloqueando bots pelo "nome" deles (User-Agent)
Todo visitante (humano ou robô) se identifica com um "crachá" chamado User-Agent. Muitos scrapers maliciosos usam nomes conhecidos que dá pra bloquear direto. Adicione ao final do arquivo:
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} (AhrefsBot|SemrushBot|MJ12bot|DotBot|PetalBot) [NC]
RewriteRule .* - [F,L]
Isso diz: "se o visitante se identificar como um desses robôs, recuse o acesso" (o código [F] significa "Forbidden", ou seja, acesso proibido).
⚠️ Cuidado: nem todo bot com nome parecido é ruim — alguns fazem SEO ou monitoramento legítimo. Se notar que algo do seu site parou de funcionar direito (por exemplo, uma ferramenta que você mesmo usa), revise a lista e remova o nome em questão.
Passo 5 — Bloqueando por endereço (IP) específico
Se você já identificou (por exemplo, olhando as estatísticas de visitantes) um IP específico que está incomodando, dá pra bloquear direto por ele:
RewriteEngine On
RewriteCond %{REMOTE_ADDR} ^123\.123\.123\.123$
RewriteRule .* - [F,L]
Troque 123.123.123.123 pelo IP real que você quer bloquear. Pra ver quais IPs estão gerando muito tráfego estranho, dá uma olhada na ferramenta de Métricas do cPanel.
Passo 6 — Protegendo suas imagens contra "hotlink" (roubo de imagem)
Um tipo comum de "roubo" é outro site usar as imagens do SEU site direto, sem copiar nada — e quem paga a conta pelo tráfego é você. Pra evitar isso:
RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https://(www\.)?SEUDOMINIO\.com\.br [NC]
RewriteRule \.(jpg|jpeg|png|gif|webp)$ - [F,NC,L]
Troque SEUDOMINIO.com.br pelo seu domínio de verdade. Assim, só o seu próprio site consegue "puxar" as imagens diretamente.
Passo 7 — Salve e teste
- Clique em "Salvar Alterações";
- Abra seu site numa aba anônima do navegador e navegue normalmente, conferindo se tudo continua funcionando;
- Se algo quebrar (página em branco, erro 500, imagens sumindo), volte ao Gerenciador de Arquivos e remova a última regra adicionada, ou restaure o backup do Passo 1.
🧘 Dica final da Sensei: vá com calma, uma regra de cada vez. É melhor bloquear 3 bots hoje e testar, do que colar 20 regras de uma vez e não saber qual quebrou o site. E lembra: nos primeiros 30 dias após a entrega do seu serviço, nosso suporte está disponível gratuitamente pra te ajudar nesse tipo de ajuste — é só chamar a gente pelo painel.gehost.com.br. 🙏
