111. A Secrets API está a caminho

O WordPress está a trabalhar num sistema de encriptação para as credenciais armazenadas no sistema, tanto para APIs de serviços externos como para as utilizadas por outros plugins e ferramentas.

Transcrição do programa

Olá, sou José Freitas e estás a ouvir o WPpodcast, com as notícias semanais da Comunidade WordPress.

Neste episódio, encontras a informação de 24 a 30 de agosto de 2026.

A comunidade recebeu uma proposta de grande alcance para o WordPress 7.2: uma Secrets API, a primeira forma nativa de armazenar credenciais no WordPress.

Atualmente, qualquer plugin que precise de guardar uma chave de API escreve-a em texto simples na tabela de opções, o que significa que acaba em todas as cópias de segurança, em todos os clones de staging e em todos os terminais partilhados. Com a chegada dos serviços de IA com chaves associadas a modelos de pagamento por utilização, perder uma credencial desta forma deixou de ser um problema menor.

A proposta apresenta funções simples com encriptação obrigatória e sem possibilidade de a desativar, sem qualquer filtro que possa intercetar um segredo em texto simples no momento em que é obtido e com suporte para WP-CLI desde o primeiro dia, precisamente para evitar que as credenciais fiquem expostas no histórico do terminal.

O plano de trabalho é algo invulgar: antes de chegar ao core, será publicado como um plugin autónomo para que a comunidade possa testá-lo em sites reais. Só depois chegará o patch para o core, com uma API idêntica à do plugin. A interface de administração ficará deliberadamente adiada para o WordPress 7.3, para evitar apressar uma decisão de design importante.

A proposta já gerou um debate técnico sério nos comentários, sobretudo por parte de profissionais de alojamento gerido, que explicam que os seus sistemas externos de armazenamento de segredos são apenas de leitura para o WordPress e que a encriptação tem de ser feita nos seus HSM (Hardware Security Module – Módulo de Segurança de Hardware) externos, e não dentro do WordPress. É algo que a proposta atual não resolve bem, porque parte do princípio de que o fornecedor de armazenamento nunca recebe o segredo em texto simples. Continua a ser pedido feedback ativamente e tudo indica que o desenho final poderá mudar consideravelmente em relação a esta primeira versão antes de chegar a um patch efetivo.

É importante explicar que HSM significa Hardware Security Module, isto é Módulo de Segurança de Hardware. É um equipamento físico, dedicado e à prova de violação, usado para gerar, guardar e usar chaves criptográficas com máximo nível de segurança

A equipa de IA confirma dados diretamente relacionados com este tema: a Secrets API para o WordPress 7.2 já foi testada previamente, essencialmente porque é a mesma API que tem sido utilizada há vários meses como experiência de encriptação de chaves dentro do plugin de IA. A equipa alinhou formalmente a favor da sua integração no core no WordPress 7.2, embora peça que a documentação inclua uma forma simples de detetar se a função está disponível, permitindo migrar de forma limpa código antigo que ainda guarda segredos em texto simples.

Equipa de Segurança anunciou a Core Security Initiative

A equipa de Segurança anunciou a Core Security Initiative, um esforço coordenado que também ajuda a explicar algo que temos observado nas últimas semanas: a avalanche de correções de segurança na série 7.0.

Segundo a própria equipa, o volume de relatórios de segurança cresceu enormemente durante o último ano, em grande parte porque os modelos de IA mais avançados tornam a análise de código em busca de vulnerabilidades cada vez mais acessível.

É algo que está a acontecer em todo o ecossistema de software, não apenas no WordPress. E, segundo a equipa, é um bom problema: mais olhos sobre o código tornam o WordPress mais seguro, mas obrigam a aumentar a capacidade de classificação, validação e resolução desses relatórios.

A iniciativa assenta em três frentes:

• A primeira passa por um processo de lançamento mais sólido e automatizado, com melhores testes end-to-end, para que as correções de segurança possam ser disponibilizadas de forma fiável e previsível.
• A segunda consiste em reduzir o número de relatórios em aberto, acrescentando mais pessoas à equipa e mais voluntários, com o objetivo declarado de chegar a zero problemas pendentes.
• A terceira passa por utilizar a própria IA para procurar proativamente vulnerabilidades antes que alguém as explore, complementando os relatórios recebidos através dos processos de divulgação responsável.

Playground permite versões históricas

O WordPress Playground tornou-se algo consideravelmente mais ambicioso do que uma simples sandbox: agora permite executar qualquer versão histórica do WordPress diretamente no navegador, desde a 0.7 até à 6.2, muito antes da existência do editor de blocos ou da REST API.

A atualização é ativada através de uma nova caixa “Include older versions” no painel de definições e, nos bastidores, realiza um trabalho bastante sofisticado: para as versões do WordPress entre a 0.7 e a 4.9 utiliza uma versão WebAssembly do PHP 5.2.17, enquanto para as versões 5.0 a 6.2 fixa o PHP 7.4, porque estas versões intermédias funcionam de forma mais fiável aí do que em versões modernas do PHP. O seletor mostra até o nome de código de cada versão, pelo que testar o WordPress 2.8 “Baker” é tão simples como escolhê-lo numa lista.

A utilidade prática é evidente para quem desenvolve plugins ou temas:

• reproduzir um problema de compatibilidade reportado por um cliente que ainda utiliza o WordPress 4.9,
• verificar realmente o que deixa de funcionar antes de decidir abandonar o suporte para uma versão antiga ou
• comparar o comportamento do editor clássico com o editor de blocos, sem ser necessário manter uma máquina virtual separada com PHP antigo e uma base de dados própria.

Plugin GatherPress alarga testes

Um grupo de contribuidores está a desenvolver uma alternativa ao Meetup. com para os grupos da comunidade WordPress, baseada no plugin GatherPress, e já está a pedir ajuda para a testar em Events.WordPress.org.

A ideia é que cada grupo tenha o seu próprio site, onde as pessoas possam aderir e confirmar a presença nos eventos, com os organizadores a gerirem tudo a partir da área pública do site, sem terem de passar pelo painel de administração.

Para testar, basta iniciar sessão no grupo de teste com uma conta WordPress, passando automaticamente a ter a função de “Member”. Existem outras duas funções com mais permissões, “Event Organizer” e “Organizer”, também acessíveis a partir da própria página de membros para quem quiser testar essas áreas.

A equipa pede explicitamente uma primeira impressão geral, em vez de um relatório exaustivo de erros:

• aderir a um grupo,
• confirmar a presença num evento,
• consultar patrocinadores e membros e, sobretudo,
• comparar a experiência com o Meetup para perceber o que poderá fazer falta a alguém habituado a essa plataforma.

Os primeiros comentários já revelaram algumas lacunas interessantes: o editor da descrição dos eventos é bastante mais limitado do que o habitual editor de blocos, o fuso horário do evento não é apresentado, algo importante para eventos online com participantes de vários países, e existe pelo menos um caso em que sair de um grupo não elimina corretamente uma confirmação de presença já guardada para um evento.

Existem também pedidos para a criação de um site de teste em espanhol, uma vez que as equipas de tradução do Meta e da WordCamp já estão a trabalhar nas novas strings.

WordPress assina carta aberta relacionada com IA

O WordPress assinou a carta aberta “Open Weights and American AI Leadership”, que apela aos responsáveis políticos dos Estados Unidos para que não imponham restrições prematuras aos modelos de IA de pesos abertos, ou open-weight, aqueles que qualquer pessoa pode descarregar, analisar, modificar e executar na sua própria infraestrutura.

A carta foi publicada a 24 de julho e já conta com mais de 270 empresas e organizações signatárias. O argumento subjacente é o mesmo que qualquer pessoa familiarizada com o código aberto reconhecerá imediatamente: a tecnologia melhora e torna-se mais segura quanto mais pessoas a podem estudar e desenvolver.

Mary Hubbard, CEO do WordPress, enquadra a assinatura precisamente na filosofia que o projeto segue há vinte anos: quem utiliza uma tecnologia deve poder moldá-la de acordo com as suas necessidades, e os modelos de pesos abertos estendem essa mesma liberdade ao domínio da IA.

Entre os pedidos concretos dirigidos aos legisladores estão:

• o alargamento do acesso a capacidade computacional para startups e investigadores,
• o investimento em recursos partilhados, como conjuntos de dados públicos e ferramentas de avaliação,
• a manutenção da disponibilidade de vários tipos de modelos, em vez de reduzir o mercado a um pequeno conjunto de sistemas fechados, e
• não considerar automaticamente como roubo práticas comuns, como utilizar os resultados produzidos por um modelo para melhorar outro.

Jamie Marsland no WordPress Day for AI, em Faro

A organização do WordPress Day for AI, agendado para 24 de outubro, em Faro, anunciou o primeiro orador confirmado: Jamie Marsland.

Head do canal do YouTube do WordPress.com mas também com um canal em nome próprio com mais de 200.000 subscritores, Jamie passa os dias a explicar WordPress a pessoas com problemas reais. Já falou em diversos WordCamp, incluindo o WCEU, o WCUS e WC Ásia. Agora vem a Faro.

A sessão que vai apresentar chama-se “From Idea to Product with AI: Building a Canva-Style WordPress Editor and Beyond”. Vai mostrar como a IA o ajudou a construir o Gogh, um editor de páginas ao estilo do Canva para WordPress que guarda tudo em blocos nativos do Gutenberg.

Vai ainda revelar como o mesmo fluxo de trabalho deu origem a uma aplicação de apoio ao cliente, gerou documentação, criou vídeos e artigos, escreveu textos de marketing e fechou o ciclo, transformando conversas com utilizadores em melhorias concretas do produto.

Por fim, este podcast é distribuído sob uma licença Creative Commons como versão derivada do podcast em espanhol. Podes encontrar todos os links para mais informações, assim como o podcast noutros idiomas, em WPpodcast.org.

Obrigado por ouvires e até ao próximo episódio.