WordPress: 10 consejos para asegurar tu sitio web

Resumen

Mucha gente usa WordPress para gestionar su sitio web, así que no me extraña que me pidan que le eche un vistazo a la seguridad del suyo. Como hacker ético, me encuentro WordPress de todas las formas, tamaños y estados. Algunos están muy mal protegidos contra los ataques. Evita que hackeen tu sitio con estos 10 consejos prácticos.

Texto completo

1) Actualiza WordPress (y los plugins y temas)

La mayoría de los ataques a WordPress son consecuencia de una política de actualizaciones descuidada. Los hackers usan bots automáticos para buscar versiones de software desactualizadas con fallos de seguridad conocidos. Cuando descubren que tu sitio es vulnerable, hackearlo suele ser pan comido.

Hoy en día WordPress se puede actualizar automáticamente, así que no tienes que hacerlo tú. Consulta las instrucciones para actualizar WordPress.

2) Plugins y temas

La mala fama de WordPress en seguridad se debe sobre todo a las partes ampliables de la plataforma, en concreto los plugins y los temas. Son los principales vectores de ataque que usan los ciberdelincuentes para hackear y abusar de tu sitio. Sus vulnerabilidades suelen venir de errores y descuidos durante el desarrollo.

Sé muy reticente y cauteloso al instalar plugins en tu sitio. Comprueba quién es el desarrollador del plugin o del tema y si tiene buena reputación escribiendo código seguro. Los plugins y temas con muchas descargas suelen estar bien mantenidos, una buena señal para la seguridad. Actualiza todos los plugins y temas y vigila su historial de seguridad en una web como wpvulndb.com.

3) Usa cifrado (TLS/SSL)

Los sitios WordPress sin cifrado TLS/SSL son un riesgo, porque cada vez que inicias sesión para administrarlos, tu contraseña viaja en texto claro. Eso significa que cualquiera que esté escuchando el tráfico de tu red puede conseguirla fácilmente. Con una contraseña válida, los hackers simplemente inician sesión, y no querrás ponérselo tan fácil, ¿verdad?

Usa TLS/SSL para cifrar toda la comunicación entre el servidor web y tu navegador. Así nadie puede descifrar lo que escribes en el campo de la contraseña mirando el tráfico de red. Los certificados TLS/SSL que necesitas para activar el cifrado HTTPS son muy baratos hoy en día: pídele uno a tu proveedor de hosting para tu sitio.

4) Usa contraseñas seguras

Aunque sigas todos los demás consejos para proteger tu sitio, las contraseñas débiles son otra fuente habitual de brechas de seguridad en WordPress. Como la mayoría de las instalaciones de WordPress tienen un usuario "admin", los hackers pueden usar diccionarios de contraseñas para adivinar la tuya automáticamente.

Piensa en una contraseña segura como algo que nadie haya usado antes. Normalmente significa que sea más larga, con más caracteres distintos y sin palabras ni frases conocidas. Puedes usar un generador de contraseñas para conseguir algo muy difícil de adivinar (y fácil de olvidar...). No uses la misma contraseña en varios sitios y plantéate activar la autenticación en dos pasos para un control de acceso máximo.

5) Usa un ordenador y una red de confianza

Igual que no deberías presumir de dinero y gadgets por calles chungas, debes tener cuidado con dónde (y cuándo) inicias sesión en tu sitio. Un ordenador con spyware, malware o virus puede registrar lo que pulsas (y tu contraseña) y enviárselo a los delincuentes. O incluso sin tecnología: un adversario puede mirar literalmente por encima de tu hombro (en el autobús, en el tren o en una cafetería) mientras escribes tu contraseña.

Ten cuidado con dónde y cuándo trabajas en tu sitio. No trabajes en un ordenador compartido o público si no es necesario. Si trabajas desde una wifi pública, tienes que usar cifrado para que nadie se cuele. Puedes hacerlo con TLS/SSL o con una VPN (como buffered.com). Asegúrate de que tu ordenador, tu tableta o tu smartphone estén actualizados.

6) Desactiva la API REST de WordPress

La API REST de WordPress da acceso a todos los datos de tu sitio en formato JSON legible por máquinas. Se puede acceder fácilmente a entradas, páginas, categorías, etiquetas, comentarios, archivos multimedia, usuarios, ajustes y más. Por ejemplo, prueba a añadir esto a la dirección de tu sitio: /wp-json/wp/v2/users y obtendrás una lista de todos los nombres de usuario válidos. ¿De verdad quieres compartir eso con los hackers?

Desactiva la API REST para evitar el scraping de contenido (plagio) y la filtración de datos de usuarios. Los datos de los usuarios son personales y no deben compartirse públicamente si te importan la privacidad y la seguridad (piensa en el RGPD. Puedes desactivar la API REST con plugins como Disable REST API o REST API Toolbox. Echa un vistazo al artículo detallado de Jeff Star para saber más sobre cómo proteger la API REST de WP.

7) Desactiva el acceso por XML-RPC

XML-RPC es una función de WordPress que permite controlar tu sitio de forma remota mediante XML (RPC significa "remote procedure call", llamada a procedimiento remoto). Este mecanismo te permite gestionar tu sitio sin entrar en WP-Admin, por ejemplo con servicios externos o apps. Por desgracia, XML-RPC es un punto débil, porque es básicamente una puerta trasera que los hackers pueden intentar forzar con fuerza bruta o con comandos especiales.

Evita los problemas de xml-rpc.php desactivando esta función de WordPress por completo. Puedes hacerlo con el plugin Disable XML-RPC o configurando el servidor web a mano con un archivo htaccess.

8) Oculta o protege la página de inicio de sesión (wp-admin)

Todo el mundo sabe que para entrar en WordPress basta con añadir '/wp-admin' a la dirección del sitio. Cualquier hacker puede empezar a probar contraseñas por fuerza bruta en tu sitio gracias a eso. Es mucho más difícil forzar una cerradura si no la encuentras.

Plantéate ocultar o sustituir la página wp-admin. Los expertos lo llaman "seguridad por oscuridad", es decir, confiar en el secreto para estar seguro. Puedes usar un plugin para esto o configurar el servidor web para limitar el acceso a wp-admin filtrando por dirección IP. Mira este artículo con formas de ocultar y proteger la página wp-admin. Eso sí, ojo: confiar solo en el secreto no basta. Aplica también los demás consejos.

9) Un hosting fiable

Aunque apliques todos estos consejos para proteger tu sitio WordPress, puede no bastar si tu hosting es inseguro. El hosting es el servicio que hace que tu sitio esté disponible en internet, mediante ordenadores especiales llamados servidores. Igual que el propio sitio, el servidor web que lo publica también tiene que ser seguro. Piensa en un hosting como en un barco: si se hunde, se lleva consigo a todos los pasajeros (sitios web)...

Invierte en un hosting fiable eligiendo una empresa con buena reputación. Escoge una que encaje bien con tu negocio y plantéate un VPS (gestionado) dedicado. Ten en cuenta que los hostings baratos suelen serlo porque el servidor se comparte con (muchos) otros sitios (posiblemente inseguros). Sigue leyendo para entender los problemas de seguridad del hosting compartido.

10) Copias de seguridad y revisiones

Aunque tu sitio funcione bien ahora, las cosas pueden empeorar en el futuro. La seguridad nunca es absoluta, siempre puede llegar el mal tiempo. Prepárate para los problemas y no dejes que los fallos de seguridad pasen desapercibidos.

Revisa tu sitio con regularidad, o contrata a alguien para que lo haga por ti. Con un plugin como WP Security Audit Log puedes detectar ataques y comportamientos sospechosos a tiempo. Haz copias de seguridad de tu sitio para poder recuperarte de un desastre informático. Los accidentes le pasan a cualquiera: haz una copia de seguridad para no perder todo tu trabajo. Mira este artículo para conocer distintas formas de hacer copias de seguridad de tu sitio WordPress.

Conclusión

La seguridad de tu sitio web es como la de tu oficina o tu casa. Cuando te vas, cierras las ventanas y echas la llave, ¿verdad? No descuides la seguridad de tu sitio: es tan importante como su diseño y su contenido.

Si aplicas estos consejos, a los ciberdelincuentes les costará mucho más hackear tu sitio. Hazlo tú mismo o pídele a alguien que te ayude.