Seguridad de WordPress: una guía básica para principiantes

La seguridad es uno de los componentes más importantes de cualquier sistema informático, por lo que debemos implementarlo en un entorno de red donde procesa datos confidenciales de visitantes y clientes. Ten mucho cuidado...

WordPress es el CMS más utilizado en el mundo y tiene una participación de mercado mucho mayor que la de sus competidores. Por lo tanto, también es la persona más vulnerable a los ataques y los intentos de acceso a los datos.

Desafortunadamente, la mayoría de los casos de intrusión o piratería de WordPress no son el resultado del CMS atacado con más frecuencia, sino una mala conducta o Mala gestión por parte del administrador Desde el sitio web: no tiene que ser un gran experto Protección contra piratas informáticos WordPress Y otro tipo de intrusos: todo lo que tienes que hacer es usar la lógica y tener cuidado.

Por otro lado, condeno enérgicamente el uso de los kits de seguridad de WordPress, es decir, complementos universales como iThemes Security, WordFence Security o All in One Security.

¿Causa principal? Entonces, en circunstancias normales El 90% de las funciones ofrecidas no se utilizan Y otros (por ejemplo, un sistema de análisis en tiempo real o un firewall que analiza el tráfico de datos en tiempo real) ¿Estás consumiendo demasiados recursos? Y ralentizará la velocidad de carga del sitio web.

Yo personalmente prefiero Implementar funciones por separado Porque los necesito en lugar de instalar uno de esos gigantes que son responsables del bajo rendimiento de muchos sitios web debido a la sobrecarga de PHP.

Para entender esto, lo primero que necesita saber es que ejecutar WAF a nivel de WordPress (como WordFence Security) es diferente de ejecutar WAF a nivel de servidor (como mod_security con buenas reglas). No usan los mismos recursos (usan menos mod_security), no funcionan al mismo nivel y no son igualmente eficientes.

En este artículo discutiremos Seguridad de WordPressSin embargo, intentaremos explicar qué debemos proteger, cuándo y cómo, para evitar afectar la experiencia del usuario y el rendimiento del sitio web.

Darte una idea Efecto de un complemento de paquete de seguridad sobre el rendimientoSiempre son lo primero que apago cuando ejecuto WPO en un sitio web.

Por ejemplo, los sitios web que realizan un análisis de seguridad en tiempo real de WordFence nunca podrán competir en velocidad de carga con los sitios web que no los utilizan porque el análisis de WordFence siempre se retrasará.

Ese Ejemplos de uso excesivo de recursos Y a través del complemento de seguridad genérico para saturar el host con 1 GB de RAM:

En una prueba previamente grabada con un diagrama de CloudLinux en cPanel, podemos ver los efectos de activar el complemento en un sitio web con tráfico normal hasta que se activa el complemento.

Ahora que he comentado mi intención de escribir este artículo, comencemos con una introducción real al tema.

Prevención y lógica: dos pilares

Como dije arriba La lógica juega un papel importante en la seguridad de WordPressEn la mayoría de los casos, si usa la lógica, la infección no ocurrirá.

existe Dos debilidades WordPress suele ser pirateado por:

• El complemento no está actualizado, tiene un problema de seguridad o se descargó de una fuente de malware.
• Contraseñas débiles o autenticación insegura.

Sin embargo, estas son solo dos razones principales Hay otros factores que afectan la seguridad de WordPress. Y hay muchas otras cosas que debemos tener en cuenta, pero quiero dejar claro que con medidas básicas de seguridad y algunas medidas lógicas y preventivas, podemos lograrlo. WordPress seguro y totalmente seguro Lucha contra todas las amenazas.

Infección y "recaída"

¿Sabes cuál es la principal razón por la que nunca te infectarán mejor? Bueno, porque una vez que te infecten, tienes que hacerlo Desinfecte a fondo su sitio web Si no quiere seguir infectando.

Durante el proceso de infección, además de eliminar archivos, un atacante también puede cambiar muchos archivos y complementos de WordPress. Esto permite a los atacantes obtener acceso a los caballos de Troya incluso si se eliminan los archivos que son visibles a simple vista. de nuevo.

Por lo tanto hay El proceso de limpieza de WordPress... En Raiola Networks llevamos ofreciendo este servicio a propósito desde 2014. Es importante que sepa que si se infectó y no curó WordPress completamente, es probable que su instalación aún esté infectada.

Complemento: ¿que se debe considerar?

Como dijimos El complemento de WordPress es una de las debilidades Si no tenemos cuidado, corremos el riesgo de ser pirateados.

Idealmente Actualizar complemento Siempre que salga una nueva versión. Esa es la teoría, pero en la práctica tenemos que estar preparados para errores operativos y del desarrollador, Yoast SEO es un ejemplo de lo que sería suicida. Actualizar El mismo día se lanzó una actualización que últimamente causó muchos bloqueos en los sitios web.

Aparte de la falta de complementos actualizados, hay ocasiones en las que Diferentes razones por las que WordPress nos infecta a través de complementos:

• El complemento no se ha actualizado durante mucho tiempo o el autor ha detenido el desarrollo.
• Hay una brecha de seguridad o una brecha de día cero y, debido a la "novedad", la probabilidad de protección es baja.
• El complemento no es válido o se ha descargado de una fuente no confiable, con malware o puertas traseras.

Sabiendo esto, podemos tomar determinadas decisiones, algunas de las cuales, sin embargo, son difíciles de implementar debido al trabajo realizado.

Cuando el complemento ya no se actualiza

Si el complemento problemático no se ha actualizado durante mucho tiempo y el desarrollo se ha detenido durante más de 6 meses o ha llegado el día cero y el complemento no se ha actualizado durante mucho tiempo, Tenemos que cambiar este complemento...

Entiendo la dificultad de sustituir un plugin por otro, sobre todo cuando buscamos determinadas funcionalidades, pero es muy necesario para la seguridad de nuestro WordPress y no debemos ser perezosos.

Si el complemento no es válido o contiene malware

A menudo, algunos atacantes son propietarios de los sitios web que alojan. Complemento extendido con una licencia agrietada Para infectar a quienes instalan estos complementos.

Para muchas personas que buscan complementos premium gratuitos, esta es una buena solicitud. Esto lo convierte en una de las principales causas de infección. Incluso si solo los instalamos para su posterior escaneo y eliminación, los archivos modificados u ocultos pueden infectarlo meses después debido a los comandos del atacante.

Acabo de explicar que Una causa importante y muy común de infecciones....

Cuando aparece el día cero en el complemento

Lo que no podemos detener son los días cero. En algunos casos podemos usar WAF para proteger sitios web, pero depende del tipo de ataque.

Si el complemento tiene cero días, esa es la situación ideal. Utilice WAF para mejorar la seguridad Aunque el autor no ha publicado una actualización, esto no garantiza nada. Sistema de proxy inversoPor ejemplo, CloudFlare o Sucuri pueden ayudarlo a proteger su sitio en tales situaciones.

Como dije, si eso Si el plugin en cuestión no ha recibido una actualización durante mucho tiempo, debemos modificarlo inmediatamente para tener la misma funcionalidad y recibir la actualización.

Gestión de actualizaciones de complementos

Como dije, la teoría es que Actualizar complemento Tan pronto como se publique la última versión.

Esto es teoría, pero en la práctica puede ser difícil utilizar diferentes complementos y diferentes configuraciones para administrar las actualizaciones para una gran cantidad de instalaciones de WordPress.

Existen herramientas como InfiniteWP que nos brindan la capacidad de administrar múltiples actualizaciones de instalación al mismo tiempo.

La versión 5.5 de WordPress implementa la actualización automática de los complementos instalados desde el repositorio oficial de WordPress.
Esto es bueno, pero también malo, porque la actualización se producirá tan pronto como se publique, lo que puede bloquear su sitio web.

Tema: ¿Qué se debe considerar?

Temas y plantillas de WordPress Funcionan como complementosDebemos tomar las mismas precauciones y precauciones enumeradas en la aplicación.

Los temas también se pueden descargar de un sitio pirateado como software no válido y malicioso y seguirán recibiendo actualizaciones. Si ya no se actualizan, también tendremos que cambiarlos.

El problema con el tema es que en muchos casos Modifica tu código sin implementar subtemas... esto hizo que muchos administradores actualizaran los temas.

Cuando tenemos un tema que no se ha actualizado en mucho tiempo, nos infectan como complementos. Incluso si requiere un trabajo de "rediseño" adicional, tenemos que cambiarlo a otra cosa.

Actualizaciones de WordPress

Ese Núcleo de WordPress También debe actualizarse periódicamente. Este tipo de actualización debe corresponder a la actualización de complementos y temas. ¿Lo que quiero decir? Bueno, si actualizamos todos los complementos a la última versión disponible, Idealmente, instale WordPress en la última rama estable. Para evitar problemas de compatibilidad.

WordPress ha tenido durante mucho tiempo un sistema de actualización automática que puede actualizar automáticamente versiones menores en la misma rama estable. pero debe intervenir manualmente para cambiar de sucursal o realizar actualizaciones importantes.

Hoy en día es muy "raro" piratear WordPress debido a los agujeros de seguridad en WordPress, ya que estos problemas generalmente surgen de agujeros de seguridad en complementos y temas. Sin embargo, necesitamos actualizar WordPress a la última versión de nuestra rama, preferiblemente la última versión.

Recuerde, puede volver a la última versión de WordPress. Si no está seguro de qué hacer, consulte esta publicación sobre cómo cambiar a una versión anterior de WordPress.

Autenticación y acceso seguro

Como dije antes La verificación de identidad es una de las debilidades WordPress.

En muchos casos, el problema puede estar relacionado con la contraseña de acceso, pero en muchos otros casos el problema surge en el entorno de producción de uno de los administradores del sitio.

Buenas noticias Hay varias formas de garantizar esto Toda esta parte y Prevención de ataques de fuerza bruta en el accesoY al mismo tiempo bloqueamos a todos los posibles intrusos.

Contraseña y autenticación

Si bien esto puede parecer trivial, en muchos casos la invasión proviene de ellos mismos. Contraseña de usuario...

En esta zona hemos encontrado Dos debilidades Cosas para considerar:

• Necesitamos fortalecer una contraseña débil.
• Un caso de phishing en el que se roban contraseñas de la computadora del administrador.

A veces, estas dos debilidades se combinan con permisos excesivos o roles de usuario mal configurados.

No hay ciencia para hacer una contraseña más segura, es pura lógica: tienes que establecer una contraseña segura antes de que se pueda generar.

Ö Suplantación de identidad Y otras tecnologias Robar la contraseña en la computadora del administrador En cuanto al sitio web, no quiero hablar mucho porque no quiero hablar sobre problemas de seguridad de Windows. Lo más importante si estás usando Windows es tener un buen software antivirus instalado en tu computadora y tomar algunas precauciones en un entorno Macintosh o Linux. El resto son cuestiones de prevención y lógica, como en WordPress.

Hay otra forma de acceder a WordPress usando. proteger Confirmación en dos pasos... si desea saber cómo implementar la verificación en dos pasos, o Dos factores En WordPress puedes ver el siguiente video:

También puede utilizar otros métodos, como: Acceso a memoria USB...

El propósito de estos dos métodos es Contraseña liberada con Maximice el acceso a áreas privadas Al igual que el panel de WordPress.

Cambiar la URL de inicio de sesión de WordPress

Además de todo lo anterior, también podemos Proteger la URL de acceso Cambiándolas WordPress.

Esto lo permite el propio otro CMS (por ejemplo, Prestashop). En el caso de WordPress, sin embargo, tenemos que utilizar complementos.

Darte una idea El 99,9% de los ataques son iniciados por robots. Identifique patrones y sígalos. En estos modos, la URL de inicio de sesión predeterminada se ataca cuando se encuentra el CMS.

Algunos paquetes de seguridad como WordFence Security o iThemes Security le permiten cambiar las URL wp-admin y wp-login.php, pero esto no requiere un complemento tan extenso Cambiar inicio de sesión wp-admin Podemos cambiar fácilmente la URL de forma gratuita: https://es.wordpress.org/plugins/change-wp-admin-login/

Prevenir ataques de fuerza bruta

al Prevenir ataques de fuerza bruta Podemos utilizar diferentes métodos para lograr diferentes Parte del entorno de la red...

Si un atacante intenta autenticarse para encontrar la contraseña de acceso correcta, se considera un ataque de fuerza bruta. Bloquear a estos usuarios Después de X intentos de acceso (por ejemplo, después de 5 intentos fallidos).

Esto también es posible con la mayoría de los paquetes de seguridad de WordPress, pero no creo que haya que desperdiciar recursos en complementos complejos, ya que existen complementos más simples que ya cubren esta función.

La forma más fácil de prevenir ataques de fuerza bruta en WordPress es usar complementos como Limita el número de registros: https://es.wordpress.org/plugins/limit-login-attempts-reloaded/

También es posible que, como sucede realmente en el servidor de alojamiento compartido de Raiola Networks, en el servidor mod_security con fail2banEs más eficaz para bloquear los intentos fallidos de acceder directamente desde el servidor.

Firewall de aplicaciones web o WAF

Si bien WAF o firewalls de aplicaciones web y lo que pueden hacer a nivel de seguridad para cualquier red, lo he estado disfrutando mucho durante mucho tiempo.

Un WAF bien implementado puede Bajo consumo de recursos simultaneamente Defensor de WordPress Incluso de una amenaza sin precedentes.

Tenemos tres formas WAF en WordPress configurar: A través de un servicio en el servidor, a través de un servicio externo o mediante un complemento.

En el caso de WAF, el servidor suele utilizar un sistema como mod_security.

Si estamos buscando un plugin para implementar WAF en WordPress podemos usar iThemes Security o WordFence Security para implementarlo, pero existen otras soluciones potentes que utilizan muy pocos recursos como: B. Cortafuegos Ninja:

Si quieres comprender mejor cómo funciona Cortafuegos Ninja en WordPressPuedes ver este video tutorial:

En cuanto a la implementación de servicios WAF externos, Rayo de nube Esto es un ejemplo. Si sabemos cómo configurarlo correctamente, CloudFlare puede proteger cualquier sitio web, pero lo discutiremos en la siguiente sección.

Cortafuegos CloudFlare Como

Me gusta CloudFlare. creo que es Gran CDNSegún DNSPerf, es el DNS anycast más rápido del mundo y también un gran firewall o WAF cuando se posiciona como un proxy inverso para sitios web.

CloudFlare nos permite Realice algunos cambios para proteger el sitio web. Lo configuramos:

Si queremos ir más lejos, podemos construir Reglas del cortafuegos Esto nos permite bloquear si es necesario.

Y lo mas importante, Estos bloqueos se realizan de forma completamente externa. Y no afecta el rendimiento del anfitrión, es decir No consume recursos de hosting...

Este video está relacionado:

existe Opciones distintas a CloudFlare Se usa para seguridad externa como Incapsula o Sucuri, pero estas son alternativas orientadas a la seguridad con múltiples opciones de rendimiento. Por otro lado, CloudFlare (con una enorme red global) ha demostrado ser la mejor solución y la primera opción para muchos sitios web grandes cuando se trata de prevenir ataques graves.

Proteger WordPress elimina el spam

En estos días, el spam se encuentra en los sitios de redes sociales donde los usuarios pueden interactuar, como: B. Blogs, muy habituales.

El spam no solo es molesto, sino que cuando se incluyen ciertos enlaces o ciertas palabras clave puede verse como un ataque SEO negativo que nos hace perder nuestra posición.

En WordPress, según el tipo de sitio web, El spam puede ir a diferentes lugares:

• existe Tienda online WooCommerce Los usuarios de spam pueden registrarse.
• existe Foros y comunidades Los spammers pueden registrarse y dejar comentarios.
• existe Blog Puede dejarnos comentarios de spam.
• existe Cualquier formulario de contacto El spam puede llegar a nosotros.

¿Qué podemos hacer para protegernos del spam? Bueno, dependiendo de qué zona queramos proteger, tenemos que tomar una u otra medida.

En Raiola Networks recomendamos Tres tecnologías para proteger contra el spam en el entorno web:

• Bloquea la lista negra.
• Google Recaptcha V3 (invisible).
• Tecnología señuelo.

Dependiendo de la zona en la que queramos aplicarlo, tenemos que utilizar una u otra tecnología.

Proteger los comentarios de WordPress

sistema Comentarios propios de WordPress Es muy limitado y, como siempre he dicho, es muy escaso porque no se ha actualizado en mucho tiempo.

El problema con los comentarios de WordPress es que los robots pueden detectarlos fácilmente. Esto los convierte en el objetivo de muchos spambots.

Podemos Comentario de defensa en todos los aspectos. Incluso si eliminamos el campo URL de los campos que los usuarios deben completar, reducimos el número de spammers ya que pierden interés.

La forma más agresiva de proteger los comentarios de WordPress es Implementar código de verificaciónPero afectará seriamente la experiencia del usuario. El único código de verificación que no dañará al usuario es Google Recaptcha V3, Porque es invisible.

Finalmente podemos Tecnología de cebo Proteja los comentarios del spam. En Raiola Networks disponemos de un plugin de WordPress que nos permite aplicar esta tecnología anti-spam: https://raiolanetworks.es/blog/anti-spam-wordpress/

Proteja los registros del spam

Esta parte es muy fácil de entender y utilizar.

Si es necesario en el área de registro de su sitio web (por ejemplo, compras en línea, redes sociales, foros, etc.) Debe utilizar una lista negra para proteger sus entradas.

Si tiene un blog regular o un sitio web comercial que no requiere publicaciones personalizadasTienes que desactivarlo en la configuración de WordPress:

De esta forma nadie podrá registrarse en nuestro sitio y no tendremos ningún problema. Sin embargo, los sitios web sin un formulario de registro de usuario a menudo tienen formularios de comentarios y de contacto, por lo que se debe evitar el spam.

Proteger comunidades y foros

Cuando trabajamos con BuddyPress o comunidades y foros similares de WordPress como bbPress o wpForo, necesitamos cubrir todas las áreas a las que puede llegar el spam.

El problema con los sitios web que permiten a los usuarios abrir suscripciones y sitios de spam es que Objetivos ligeros para robotsDependiendo del sistema en uso, establecen el modo a registrar. Cuando el robot no llegó, comenzó el spam manual.

Si. ... .Si Referencia de spamYa no está asociado con cebos o códigos de verificación. Tenemos que usar listas negras y sistemas como CleanTalk.

CleanTalk utiliza una extensa base de datos para identificar a los spammers de contenido y registros. Para sitios actualizados por usuarios como foros o comunidades, este es el más completo que he encontrado.

Si necesita más información sobre CleanTalk, puede encontrar el complemento aquí: https://es.wordpress.org/plugins/cleantalk-spam-protect/
Este es un complemento gratuito, pero el servicio se paga mediante suscripción, aunque es muy económico.

Protección de formularios de WordPress

Para proteger el formulario de contacto, normalmente recomiendo un tarro lleno de miel Oh Google Recaptcha V3 (Invisible).

Cómo se logra esto depende completamente del complemento en el que implementemos el formulario de contacto. Revisaré algunos de los casos a los que estoy acostumbrado, uno a la vez.

Con otros complementos de formulario de contacto, la implementación depende del caso.

Otras configuraciones para proteger WordPress

Si bien lo que hemos explicado en este artículo son áreas o debilidades de WordPress que debemos conocer, también existen Otras partes más específicas del CMS Podemos realizar cambios para proteger nuestro sitio web.

Desbloquear XMLRPC.PHP

Este tipo de ataque ahora ha disminuido significativamente, pero hace unos años WordPress desarrolló una serie de problemas que han hecho que este tipo de ataque sea algo común.

Ese Ataque XMLRPC.PHP Este es un ataque de fuerza bruta que la mayoría de los WAF no pueden ni pueden prevenir. lo que conduce a un uso excesivo de recursos en el servidor.

Usa complementos como Problemas de rendimiento Podemos deshabilitarlo, aunque existen tales complementos Control XML-RPC Cambiemos cómo funciona: https://wordpress.org/plugins/manage-xml-rpc/

Permisos de archivos y carpetas

Si bien esto por sí solo no es suficiente para asegurar su instalación de WordPress, es importante tenerlo todo cubierto.

WordPress enumera algunos en su documentación Permisos de CHMOD Coloque los archivos y carpetas instalados. Esta configuración recomendada es la que deberíamos poner: 755 para carpetas Instalación y 644 para archivos...

Si queremos ir más lejos, podemos wp-config.php Esta opción no permite editar el archivo, aunque tenemos que recordar que no podemos actualizar el plugin:

Esto es útil para blindar instalaciones y protegernos de ciertas inyecciones de código, aunque la gestión diaria de las instalaciones es una técnica muy molesta.

Copia de seguridad o copia de seguridad

Si todos los demás métodos fallan ... Copia de seguridad o copia de seguridad...

No importa cuántas medidas preventivas tomemos, siempre habrá desastres y seremos impotentes. En tales situaciones, necesitamos tener una copia de seguridad.

Actualmente no hay ninguna razón para no Copia de seguridad de WordPressHay muchas formas de configurarlos automáticamente y usar el almacenamiento en la nube (Dropbox, Google Drive, Amazon S3, etc.). Podemos hacer estas operaciones desde el servidor o los complementos de WordPress.

En Raiola Networks, ponemos esta herramienta a disposición de todos los clientes de cPanel. PlomeroEs un instalador automático de aplicaciones, también Permite la gestión de la configuración y la copia de seguridad.:

Como puede ver, con Installatron no solo puede Cree una copia de seguridad programada y cárguela en la nube Automáticamente, pero también puede restaurarlos con un clic sin ningún conocimiento técnico.

Dentro de Alojamiento de servicios cPanel Desde Raiola incluso tenemos otro poderoso sistema de respaldo llamado JetBackup que hace copias incrementales de contenido y te permite restaurar archivos individuales.

si Vista CPTambién tiene una herramienta de copia de seguridad de la cuenta que puede crear y restaurar con un solo clic (excepto las programadas, por supuesto). Sin embargo, este es un sistema menos completo:

Si su servidor o host no tiene un sistema de respaldo potente, no tiene un sistema de respaldo directo, o lo usa por separado y desea tener su propio respaldo, puede usar el complemento de WordPress. Complementos de respaldo de WordPressPero mis favoritos son BackWPup y Updraft Plus.

• Copia de seguridad de WPup En la versión gratuita, ofrece copias de seguridad programadas para Dropbox.
• Corriente ascendente En la versión gratuita, ofrece copias de seguridad programadas de Google Drive.

¿Puedes ver la diferencia entre estos dos complementos en la versión gratuita? Si lo comparamos con la versión de pago, encontramos que son complementos más o menos similares y características similares.

El problema con este tipo de complemento de WordPress: No podemos restaurar una copia con un clicPero para recuperarlos necesitamos subir los archivos al servidor como si estuviéramos migrando.

Existen algunas soluciones que le permiten realizar una restauración con un solo clic, pero generalmente se pagan mediante suscripción o pago por uso y almacenan los archivos de respaldo en sus propios servidores.

Se recomienda una cosa más Pruebe sus copias de seguridad guardadas de vez en cuando Para evitar la aparición de copias corruptas cuando las necesitemos para restaurar la red.

Finalmente, debes recordar Las copias de seguridad pueden no ser útiles en caso de infección. Si ha estado infectado en la red durante mucho tiempo y no aparece, es posible que no tenga copias de seguridad tan antiguas o no pueda restaurarlas para evitar perder su contenido. En este caso, todo lo que tienes que hacer es desinfectar.

Desinfectar WordPress

Como dije al principio de este artículo, llevamos varios años en Raiola Networks. Limpia tu instalación de WordPress Si los clientes nos escuchan y toman las medidas adecuadas después de una infección, la tasa de éxito puede llegar al 100%.

En el curso del tratamiento, reemplazamos todos los archivos de WordPress con los archivos equivalentes originales sin excepción. Cuando digo SIN EXCEPCIONES, significa SIN EXCEPCIONES. La instalación infectada no deja archivos. Si un archivo no se puede reemplazar (por ejemplo, wp-config.php) tenemos que verificarlo manualmente.

Para comprobar la instalación después de la desinfección, podemos utilizar complementos, por ejemplo Cortafuegos antimalware y de fuerza bruta Incluso el escáner Seguridad de WordFence...

También recomendado Consultar base de datosPorque ciertos tipos de infecciones pueden llevar al contrabando de malware a la base de datos de WordPress.

Si estás interesado en limpiar WordPress puedes contactarnos a través de esta página: https://raiolanetworks.es/contacto/