Los 10 principales problemas de seguridad de WordPress y cómo solucionarlos

Tenga en cuenta que los temas y complementos no utilizados o inactivos representan una seria amenaza para el sitio web de WordPress. Por lo tanto, es de suma importancia que todos los complementos y temas que no estén en uso se eliminen de inmediato para asegurarse de que no queden datos en la base de datos de WordPress. Aquí hay una guía adecuada sobre cómo desinstalar correctamente los complementos de WordPress.

Como precaución general, descargue siempre la versión más reciente de temas y complementos de un recurso confiable para asegurarse de que el complemento o tema no abra una nueva laguna de seguridad en su sitio.

Lo no tan básico

Ahora que comprende los conceptos básicos de seguridad de WordPress, es hora de consultar los siguientes consejos avanzados para reforzar la seguridad de sus sitios web.

SUGERENCIA # 8: Evite las inyecciones de SQL y la piratería de URL

Las inyecciones SQL son ataques en los que los atacantes incorporan comandos SQL en varias áreas de los sitios web (en particular, el cuadro de comentarios y las áreas de texto). Estos comandos pueden comprometer la base de datos SQL y pueden revelar información confidencial almacenada en la base de datos.

La modificación de la URL agregando declaraciones PHP es otra amenaza potencial para la seguridad de WordPress en la que los atacantes pueden desencadenar ataques a la base de datos y otros componentes del sitio web.

La mayoría de los sitios web de WordPress están alojados en un servidor Apache que tiene un truco inteligente para contrarrestar estos ataques. Todos los servidores Apache tienen un archivo .htaccess que define las reglas de acceso para el sitio web.

Para reducir la incidencia de inyecciones de SQL y piratería de URL, agregue el siguiente código al archivo .htaccess para establecer un conjunto sólido de reglas.

 <IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteCond% {REQUEST_METHOD} ^ (HEAD | TRACE | DELETE | TRACK) [NC]
RewriteRule ^ (. *) $ - [F, L]
RewriteCond% {QUERY_STRING} \. \. \ / [NC, OR]
RewriteCond% {QUERY_STRING} boot \ .ini [NC, OR]
RewriteCond% {QUERY_STRING} etiqueta \ = [NC, OR]
RewriteCond% {QUERY_STRING} ftp \: [NC, OR]
RewriteCond% {QUERY_STRING} http \: [NC, OR]
RewriteCond% {QUERY_STRING} https \: [NC, OR]
RewriteCond% {QUERY_STRING} (\ <|% 3C). * Script. * (\> |% 3E) [NC, OR]
RewriteCond% {QUERY_STRING} mosConfig_ [a-zA-Z _] {1,21} (= |% 3D) [NC, OR]
RewriteCond% {QUERY_STRING} base64_encode. * \ (. * \) [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (\ [| \] | \ (| \) | <|> | E | "|; | \? | \ * | = $). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (& # X22; | & # x27; | & # x3C; | & # x3E; | & # x5C; | & # x7B; | & # x7C;). * [NC, O ]
RewriteCond% {QUERY_STRING} ^. * (% 24 & x). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (% 0 |% A |% B |% C |% D |% E |% F | 127 \ .0). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (Globals | encode | localhost | loopback). * [NC, OR]
RewriteCond% {QUERY_STRING} ^. * (Solicitud | seleccionar | insertar | unión | declarar). * [NC]
RewriteCond% {HTTP_COOKIE}! ^. * WordPress_logged_in _. * $
RewriteRule ^ (. *) $ - [F, L]
</IfModule>

Como puede ver, el código "desinfecta" los datos que van a los campos de entrada. Además, todas estas entradas se tratan como una cadena en lugar de una declaración de consulta SQL.

SUGERENCIA # 9: Denegar el acceso a archivos confidenciales en WordPress

Una instalación de WordPress contiene varios archivos confidenciales, como los archivos wp-config.php , install.php y readme.html . Estos archivos deben mantenerse ocultos a todo acceso externo.

Una vez más, .htaccess es tu mejor amigo. Puede agregar las siguientes líneas al archivo para evitar que se borren archivos importantes. El siguiente fragmento de código también evita el acceso a las listas de directorios de usuarios y oculta el servidor sensible y los archivos de WordPress del acceso no autorizado.

 Opciones de todos los índices

<archivos .htaccess>
Orden permitir, negar
Negar todo
</files>

<archivos readme.html>
Orden permitir, negar
Negar todo
</files>

<archivos license.txt>
Orden permitir, negar
Negar todo
</files>

<archivos install.php>
Orden permitir, negar
Negar todo
</files>

<archivos wp-config.php>
Orden permitir, negar
Negar todo
</files>

<archivos error_log>
Orden permitir, negar
Negar todo
</files>

<archivos fantastico_fileslist.txt>
Orden permitir, negar
Negar todo
</files>

<archivos fantversion.php>
Orden permitir, negar
Negar todo
</files>

Si desea profundizar en el uso del archivo .htaccess para optimizar su WordPress, aquí hay una descripción detallada del archivo .htaccess de WordPress.

SUGERENCIA # 10: Cambiar el prefijo predeterminado para la base de datos

Ocultar la versión de WordPress : de forma predeterminada, WordPress agrega automáticamente el número de versión actual a la sección principal de temas. Un gran consejo de seguridad es NUNCA mostrar públicamente la versión de WordPress, simplemente por el hecho de que los atacantes pueden lanzar ataques contra todas las vulnerabilidades conocidas de la versión mencionada en el encabezado.

La siguiente línea simple de código debe incluirse en el archivo functions.php de su tema para ocultar las versiones de WordPress.

 remove_action ('wp_head', 'wp_generator');

Cambiar el prefijo predeterminado de WordPress para la base de datos : Todas las tablas de una base de datos de WordPress tienen nombres que comienzan con el prefijo Si bien esto parece ser una gran característica, para los piratas informáticos de WordPress, esto simplifica enormemente las cosas al eliminar algunas de las conjeturas.

Un usuario puede limitar esta previsibilidad cambiando el prefijo predeterminado de WordPress de las tablas de la base de datos del usuario mientras instala WordPress. Esto también se puede hacer para sitios web ya activos manipulando las bases de datos de los usuarios en varios lugares. Recomiendo usar uno de los mejores complementos de seguridad de WordPress que implemente una variedad de defensas para el sitio web de WordPress.

Cloudways ayuda a proteger los sitios de WordPress

Después de esta guía detallada para proteger los sitios web de WordPress, vale la pena mencionar que WordPress no se puede proteger de forma aislada. Los usuarios de WordPress también deben optar por un entorno de alojamiento seguro que ofrezca un entorno seguro para el sitio web.

Así es como Cloudways proporciona un entorno de alojamiento de WordPress seguro.

• Infraestructura de nube de primera clase : Cloudways se ha asociado con proveedores de infraestructura de nube de primer nivel que tienen la seguridad como su principal preocupación. Alojar un sitio de WordPress en la nube garantiza un alto nivel de seguridad.
• Cortafuegos : todos los servidores lanzados a través de Cloudways vienen con un cortafuegos preinstalado que actúa como la primera línea de defensa del sitio web.
• Supervisión del servidor : la supervisión de un servidor ayuda a identificar picos de tráfico elevados inesperados que pueden hacer que el sitio web caiga.
• Bot Protection: Bot Protection tiene como objetivo identificar y bloquear el tráfico malicioso, protegerse de ataques como ataques de diccionario, raspado web y ataques de fuerza bruta. También ayuda a reducir el uso de recursos del servidor para las aplicaciones de WordPress. Estos ataques están dirigidos a obtener acceso no autorizado a su sitio web o abrumarlo, pero Bot Protection monitorea todas estas actividades y bloquea proactivamente cuando se detectan.
• Acceso SSH y SFTP : muchos proveedores de alojamiento todavía utilizan FTP para acceder a los archivos. Sin embargo, con SFTP (Protocolo seguro de transferencia de archivos) de Cloudways, su conexión está encriptada y es segura. Si varios equipos están trabajando en un proyecto alojado en un servidor, se les puede asignar acceso a una aplicación en particular en lugar de a todo el servidor.
• Sistema operativo y aplicaciones actualizados : los expertos de Cloudways están atentos a las últimas versiones y garantizan su disponibilidad después de las pruebas de estabilidad y compatibilidad.
• Credenciales generadas aleatoriamente : todas las aplicaciones iniciadas a través de Cloudways tienen credenciales generadas aleatoriamente por defecto que son difíciles de adivinar.
• Copia de seguridad : en caso de desastre, la copia de seguridad del sitio es su mejor opción para una recuperación de desastres más rápida. Puede configurar la frecuencia de respaldo tan baja como una hora.
• Certificado SSL gratuito : Cloudways proporciona una instalación de certificado SSL con un solo clic con una función de renovación automática.
• Entorno de prueba gratuito: Cloudways ofrece un entorno de prueba gratuito de WordPress para asegurarse de que todo siga funcionando según lo previsto.
• Soporte de chat en vivo 24 horas al día, 7 días a la semana : ¿Todavía le preocupa la seguridad y el rendimiento del servidor? El soporte de Cloudways siempre está disponible las veinticuatro horas del día.
• Soporte telefónico: este es el complemento de soporte premium si necesita ayuda, también puede contactar y nuestro ingeniero senior responderá directamente en cualquier momento.

Preguntas frecuentes

P: ¿Cómo soluciono que WordPress no sea seguro?

R: Sigue esta guía y mira todos los puntos que he mencionado, espero que te ayude mucho.

P: ¿Debería utilizar un certificado SSL para proteger mi sitio web de WordPress?

R: Sí, debería, la mayoría de las empresas de alojamiento ofrecen un certificado SSL gratuito con un solo clic.

P: ¿WordPress tiene problemas de seguridad?

R: WordPress es el sistema de gestión de contenido (CMS) más favorecido que se utiliza en la actualidad. Con la ayuda de numerosos temas y complementos, uno puede personalizar fácilmente su sitio web de acuerdo con sus gustos y preferencias. Sin embargo, la seguridad de WordPress es uno de los principales problemas que preocupa a muchos.

Línea de fondo

Los consejos de seguridad de WordPress garantizan un sitio web eficaz y seguro. Sin embargo, muchas personas olvidan que defender un sitio web de WordPress es un proceso continuo que necesita atención continua ante las nuevas herramientas y trucos que surgen en el ciberespacio.

Sugiero encarecidamente a los usuarios de WordPress que mantengan un registro de lo que sucedió en WordPress mediante el uso de un complemento de auditoría de seguridad y el uso del complemento de seguridad preferido de WordPress que fortalece el entorno de WordPress contra las amenazas de seguridad.

Siéntase libre de agregar si cree que me he perdido algo. Lo agregaré a la lista lo antes posible. Si tiene alguna pregunta, publíquela en los comentarios a continuación.