Sabemos que está de moda el uso de el CMS WordPress, por ende se convierte en el foco de los hackers por las vulnerabilidades que tiene. por lo mismo dejamos algunos consejos de seguridad para que uses de ahora en adelante.

WordPress hasta el momento es el CMS con el 80% de amenazas directas, poniendo bajo el ojo su seguridad.

¿Cómo aumentar la seguridad de mi WordPress?

1.- Mantén siempre actualizados

Los Plug-ins, Themas y WordPress, de preferencia no dejes los Plug-ins que se actualicen automáticamente, ya que en ocasiones dejan de ser compatibles y pueden crear que tu sitio quede fuera de circulación .

2.- Nunca uses plugins o themas de dudosa fuente

Que no descargues directamente de el proveedor o de https://wordpress.org

1. Sólo usa la fuente oficial, el repositorio de WordPress.
2. Lee la descripción.
3. Lee el control de cambios.
4. Aprende a interpretar la información del plugin.
5. Pondera las estrellas, lee las críticas.
6. ¿Ofrecen un buen soporte?
7. Revisa su puntuación en RIPS CodeRisk.

3.- Nunca compartas el acceso a tu Host, FTP, o Panel de WordPress

Nunca sabes si la persona sabe utilizarlo y de qué manera va a utilizarlo, para evitar problemas con tu sistema, siempre contrata personal capacitado o empresas que sepan hacer el trabajo.

Muchas veces le facilitamos el acceso a hijo que va a ser el encargado de “Diseñar el sitio” pero en realidad sabes si las herramientas que va a ocupar no darán problemas a corto o largo plazo.

Puedes evitar hasta la suplantación de sitio o que tu sitio se utilizado para spoofing y el pharming, entonces sí tener problemas legales con fraudes usadas por los ciberdelincuentes que buscan engañar a los usuarios de internet para quedarse con información personal y datos bancarios.

4.- Contratar un plan de Host que incluya WordPress

Esto te va a garantizar que el proveedor va aplicar todas las medidas de seguridad para evitar que sus servidores sean alterados o hackeados por el uso de Plugins de dudosa procedencia, poniendo en riesgo el servidor total.

Existe muchos proveedores que ofrecen muchas características para tu sitio web, pero existen pocos que tiene verdadera infraestructura y servicio de soporte eficiente.

Así que si vas a elegir un proveedor de host GRATIS, te decimos que lo pienses dos veces, vas a tener que compartir los recursos del servidor con miles de clientes, tus recursos de desarrollo estarán limitados, la velocidad del servidor siempre será mala, WordPress siempre te enviará errores al instalar Plugins o en el uso de editores como Elementor. Dejando un mal sabor de boca y mucha frustración.

Uno de nuestros proveedores preferidos es Hostgator y Siteground para los sitios de nuestros clientes y de nuestra empresa

5.- Algunos tips para aumentar la seguridad de tu WordPress

1. Hacer respaldos o backups antes de hacer cualquier actualización
2. Cuidado con los clubs GPL y los plugins/themas nulled.
   Nunca sabes si tiene un troyano que abra una puerta trasera a tu WordPress
3. Después de la instalación verifica que el usuario Admin no exista.
   Crea otro usuario administrador con otro nombre de usuario, eso te dará un poco de mayor seguridad
4. Usa contraseñas seguras
   de más de 12 caracteres, puede ser una frase con números, símbolos y Letras en Mayúscula y Minúscula
5. Ínstala algunos plugins de seguridad
   iThemes Security
   Wordfence Security
   All In One WP Security & Firewall
   Autenticación de Dos Factores
   Google Authenticator Para este existen las herramientas para que puedas generar el acceso desde tu celular Android Iphone WindowsPhone
   WPS Hide Login
   Security Ninja
   Hide My WP
   Ninguno es mejor que otro, se pueden utilizar en Combo

6.- El archivo .htaccess WordPress

Debes editar tu archivo .htaccess de tu servidor aumentando este código a el.

Un archivo .htaccess es un archivo de configuración especial que nos ayuda a mejorar la seguridad de WordPress al permitirle incluir varias reglas o directivas para personalizar páginas de error, realizar redireccionamientos o definir restricciones de acceso.

Con un pequeño fragmento de código que utilizaremos en .htaccess, podemos bloquear el acceso a determinados directorios o archivos, filtrar por IP, evitar listar directorios o impedir el acceso directo a determinados archivos php, como hemos visto hasta ahora. en este tutorial.

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
<IfModule>
# END WordPress

#Bloquear el acceso al archivo wp-config.php
<Files wp-config.php>
Order Allow,Deny
Deny from all
</Files>

La carpeta wp-content contiene imágenes, temas y plugins y es una carpeta muy importante dentro de tu instalación de WordPress, así que tiene sentido evitar que se pueda acceder a esta carpeta de forma no autorizada.

	Order deny,allow
	Deny from all
	<Files ~ ".(xml|css|jpe?g|png|gif|js)$">
	Allow from all
	</Files>

bloquear el acceso directo a los archivos con extensión .php que se encuentren dentro de las carpetas plugins y themes de nuestra instalación:

#Denegar la ejecución de archivos php dentro de las carpetas themes y plugins.
RewriteCond %{REQUEST_URI} !^/wp-content/plugins/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/plugins/directory/to/exclude/
RewriteRule wp-content/plugins/(.*\.php)$ - [R=404,L]
RewriteCond %{REQUEST_URI} !^/wp-content/themes/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/themes/directory/to/exclude/
RewriteRule wp-content/themes/(.*\.php)$ - [R=404,L]

Modificando la línea [R=404, L] podríamos variar el comportamiento y hacer que se muestre un código de error distinto, ya sea un 401 que comunicaría sobre un acceso no autorizado, un 403 para accesos no permitidos u otros que consideremos oportunos.

RewriteCond %{REQUEST_URI} !^/wp-content/plugins/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/plugins/directory/to/exclude/
RewriteRule wp-content/plugins/(.*\.php)$ - [R=401,L]
RewriteCond %{REQUEST_URI} !^/wp-content/themes/file/to/exclude\.php
RewriteCond %{REQUEST_URI} !^/wp-content/themes/directory/to/exclude/
RewriteRule wp-content/themes/(.*\.php)$ - [R=401,L]

Protege tu archivo .htaccess

Cuando alguien intenta acceder a tu archivo .htaccess, el servidor genera automáticamente un error 403, Prohibido, incluso con permisos predeterminados del archivo.

Protegerlo es sencillo implementando el siguiente código en el archivo .htaccess de la carpeta principal del sitio WordPress:

	<Files .htaccess>
	order allow,deny
	deny from all
	</Files>

Evita el SPAM en los formularios de comentarios nativos de WordPress, procedentes de visitas sin cabecera HTTPS (sin URI), habituales de bots de spam, añadiendo el siguiente código en tu archivo .hatccess

RewriteEngine On
	RewriteCond %{REQUEST_METHOD} POST
	RewriteCond %{REQUEST_URI} .wp-comments-post.php*
	RewriteCond %{HTTP_REFERER} !.*dominio.com.* [OR]
	RewriteCond %{HTTP_USER_AGENT} ^$
	RewriteRule (.*) ^https://%{REMOTE_ADDR}/$ [R=301,L]

Cambia “dominio.com” por el nombre real del dominio que utilices en tu sitio web.

Disclaimer

El uso de los códigos aplícalos bloque por bloque y prueba que tu página funcione bien

El uso de los plugins son responsabilidad de el que lo usa, has pruebas con ellos y ocupa el que mejor te funciones

Alberto Hernandez

AlbertoHG

Seguridad informática y desarrollo en EfectoVisual | Web | + posts

Especialista en seguridad en línea (AVG)
Comunicación Social (CECS)
Programación y desarrollo web (Adobe)
Diseñador Gráfico (EDINBA)
Trabajando desde el año 2000 en proyectos digitales, páginas web, aplicaciones de escritorio, UX y UI
Master en Marketing Digital (UP)
Profesor de Photoshop avanzado (IPADE)

• Robo de laptops
• ¿Marketing?
• ¿Por qué mi producto debe tener una página web?
• La importancia de una página web para la empresa