Cómo mantener a salvo tu WordPress

Sí, es verdad que las amenazas a la seguridad de páginas web no son exclusivas de WordPress.

Todas las plataformas, ya sean privadas o de código abierto, sufren ataques las 24 horas del día. Afortunadamente, la comunidad WordPress ofrece muchas soluciones para facilitar el trabajo.

A continuación te contamos algunas claves para proteger tu web de las amenazas.

Cómo proteger una web WordPress

Existen ocho acciones fundamentales que todos los usuarios de WordPress deberían tener en cuenta para mitigar las actividades maliciosas y las vulnerabilidades.

Seguir estas prácticas ayuda a garantizar tu web pueda hacer frente a la avalancha de piratas informáticos que están rondando todos los días:

• Usa HTTPS.
• No utilices la palabra «admin» como nombre de usuario administrador.
• Usa de contraseñas seguras.
• Actualiza plugins y temas.
• Copias de seguridad del sitio web.
• Cuantos menos plugins, mejor
• Autenticación de dos factores.
• Instala un cortafuegos y un escáner de vulnerabilidades.

Vamos a repasar cada uno de ellos con un poco más de detalle.

Usa el protocolo HTTPS/SSL

A estas alturas, la mayoría de las webs utilizan HTTPS. Pero si tú no lo estás haciendo, consulta con tu proveedor de alojamiento web la posibilidad de añadir un certificado SSL gratuito.

Sólo tienes que configurar la dirección de WordPress y la dirección del sitio usando https://. Esto se puede hacer en la pestaña de Ajustes Generales.

También puedes echar un vistazo a Really Simple SSL, ya que simplifica realmente la conversión a HTTPS gestionando las redirecciones y otras tareas relacionadas.

Really Simple SSL también ayuda a mitigar amenazas de seguridad como el clickjacking y los ataques de falsificación cruzada de sitios web al ofrecer la opción de añadir cabeceras de seguridad.

Hoy en día, instalar un certificado SSL es una tarea fácil. Muchos alojamientos web ofrecen certificados SSL gratuitos; además, es un importante factor de clasificación en Google.

Después de convertir a HTTPS, es una buena idea comprobar que ninguna página solicita enlaces o contenido HTTP y es imprescindible comprobar si hay contenido mixto. Se habla de contenido mixto cuando se enlaza a activos inseguros del sitio web (scripts, imágenes, vídeos, etc.) desde páginas HTTPS.

Usa un nombre de usuario Admin seguro

Un número aplastante de ataques contra la pantalla de inicio de sesión de WordPress se realizan con el nombre de usuario «Admin».

Hay dos tipos principales de ataques que intentan descifrar la contraseña de inicio de sesión:

• Fuerza bruta.
• Ataque de diccionario.

El ataque de fuerza bruta es cuando el software de hacking automatizado intenta adivinar la contraseña de administrador utilizando diferentes combinaciones de palabras, letras y números. Un ataque de diccionario es cuando el software de hacking utiliza contraseñas comunes para intentar adivinar la contraseña de inicio de sesión de admin.

En muchos casos, el nombre de usuario de administrador que utiliza este software es «Admin». Por esa razón, no usar la palabra «Admin» como nombre de usuario es un simple paso que ayudará a asegurar un sitio WordPress.

Para ir un paso más allá, puedes crear una regla de firewall con el plugin de seguridad Wordfence para bloquear automáticamente cualquier humano o bot que intente iniciar sesión con el nombre de usuario Admin.

Utiliza contraseñas seguras

No permitas que nadie, especialmente los administradores, cree una contraseña que no sea segura.

Incluso los usuarios con pocos privilegios en el sitio web, como el nivel de suscriptor, pueden convertirse en un vector de ataque. Por lo tanto, es importante imponer contraseñas seguras a todos los que puedan iniciar sesión en el sitio de WordPress.

El popular plugin iThemes Security WordPress, con más de 1 millón de usuarios, ofrece la posibilidad de reforzar las contraseñas de inicio de sesión, así como la autenticación de dos factores.

También se puede habilitar una política de seguridad de contraseñas que imponga contraseñas seguras mediante el plugin de seguridad Wordfence.

Actualiza plugins y temas

Algunas actualizaciones de plugins, temas y de la propia instalación de WordPress sirven para corregir (parchear) vulnerabilidades. Para evitarlas, lo mejor que puedes hacer es actualizar el software.

La mayoría de las actualizaciones funcionan bien. En raras ocasiones, una actualización puede cambiar algo en el software que comienza a chocar con otro plugin o tema, haciendo que el sitio se bloquee. Si esto ocurre, es fácil restaurar el sitio a un estado anterior si has hecho una copia de seguridad del mismo.

La mejor forma de actualizar plugins y temas es poner el sitio en funcionamiento y comprobar si funciona como debería con el software actualizado. Hay otra opción: hacer copia de seguridad de la web y luego actualizar. Luego, todo lo que debes hacer es probar que todo funciona como debería, y si no, vuelves a usar la copia de seguridad.

La tercera opción es configurar todos los plugins para que se actualicen automáticamente. Si algo deja de funcionar bien, vuelves atrás y ya.

Haz una copia de seguridad de tu WordPress

Hacer copias de seguridad de un sitio web a diario es fundamental.

Hay muchas cosas que pueden ir mal, y una copia de seguridad salvará el día cuando algo le suceda a la web. UpdraftPlus y WordPress Backup Plugin son buenas opciones.

Reduce al mínimo el uso de plugins

Cada plugin que se instala aumenta la posibilidad de que uno de ellos exponga el sitio a una vulnerabilidad.

Aparte de las razones de seguridad, el uso de demasiados plugins puede afectar al rendimiento del sitio, así como aumentar la probabilidad de que el código entre dos o más plugins tenga un conflicto y bloquee el sitio.

Planifica con antelación qué plugins quieres utilizar para lograr lo que necesitas.

Algunos pueden realizar múltiples tareas, eliminando la necesidad de instalar un plugin independiente para lograr esa única cosa.

Aplica la autenticación de dos factores

La autenticación de dos factores se denomina así porque se necesitan dos formas de identificación para iniciar sesión en un sitio de WordPress con esta función activada.

El primer factor es el nombre de usuario y la contraseña.

El segundo factor es una segunda forma de autenticación, normalmente con una aplicación como Authy o Google Authenticator que está en el teléfono móvil del usuario. Así, incluso si un hacker consigue acceder al nombre de usuario y la contraseña, no podrá iniciar sesión sin la segunda autenticación.

Hay muchos plugins de WordPress entre los que elegir para añadir esta función. WP 2FA es una opción popular para añadir autenticación de dos factores.

Es compatible con múltiples métodos de autenticación de dos factores, incluyendo Google Authenticator, Authy, enlace de correo electrónico, correo electrónico OTP y notificación push.

Seguridad de inicio de sesión Wordfence

Su plugin independiente de autenticación de dos factores es compatible con Authenticator, Authy, 1Password y FreeOTP.

Además, plugins de seguridad como Wordfence y iThemes Security también tienen opciones para activar la autenticación de dos factores.

Instala un plugin de seguridad para WordPress

Los plugins de seguridad son útiles porque pueden cerrar cualquier agujero de seguridad y bloquear a los hackers que intentan aprovecharse de esas vulnerabilidades.

Hay dos tipos de plugins de seguridad de WordPress:

• Endurecimiento de seguridad y escaneo.
• Firewall.

Estas son algunas herramientas recomendables.

Seguridad Sucuri

Sucuri es una opción de confianza para un plugin de seguridad. Es propiedad de GoDaddy. Escanea un sitio en busca de malware y ofrece opciones para endurecer el sitio contra exploits. Además, incluye un plugin de cortafuegos.

Jetpack Protect

Jetpack Protect ha sido creado por Automattic, la empresa que está detrás de WordPress.com, Akismet, WPScan y WooCommerce, entre otros.

Jetpack Protect realiza un escaneo diario de malware del núcleo de WordPress, plugins y temas.

Este plugin gratuito es relativamente nuevo: se convirtió en un plugin independiente en 2022.

Wordfence Security – Firewall, escaneo de malware y seguridad de inicio de sesión

Wordfence es una opción popular para la seguridad. Actúa como un cortafuegos para proteger un sitio web contra ataques de hacking y puede bloquear bots de hacking automatizados y hackers reales en tiempo real si la actividad se ajusta al patrón de un hacker.

Los usuarios pueden configurar el cortafuegos Wordfence con reglas que pueden bloquear inmediatamente a los piratas informáticos.

Wordfence también ayuda a reforzar un sitio contra la piratería proporcionando autenticación de dos factores y deshabilitando la ejecución de PHP en carpetas donde PHP no debería ejecutarse.

Otra ventaja es que el plugin envía recordatorios por correo electrónico cuando un plugin necesita una actualización.

iThemes Security

iThemes Security es un plugin todo-en-uno que escanea y endurece un sitio web, así como bloquea los robots maliciosos como un firewall. Hay más de un millón de instalaciones activas.

iThemes maneja muchas actividades relacionadas con la seguridad, lo que lo convierte en una opción popular para aquellos que prefieren un plugin que lo haga todo.

Toma medidas de seguridad adicionales para WordPress

Estos son los pasos adicionales para crear una fuerte postura de seguridad.

Comprueba tu versión de PHP

PHP es el software sobre el que se ejecuta WordPress, y que esté obsoleto puede dar lugar a exponer un sitio a vulnerabilidades.

El futuro de la seguridad de WordPress

Los hackers pueden atacar cualquier web, independientemente del sistema de gestión de contenidos (CMS) que se utilice.

WordPress es el CMS más popular del mundo, lo que lo convierte en un objetivo popular de los hackers.

Afortunadamente, WordPress tiene una comunidad masiva trabajando para mantenerlo seguro, lo cual es una ventaja que otras plataformas no tienen.

Todos los propietarios de WordPress deberían considerar tomarse el tiempo necesario para asegurarse de que existen medidas para mantener sus sitios totalmente seguros.