--- title: "WordPress: 10 consejos para asegurar tu sitio web" date: 2019-03-31 language: es topics: ["cloud", "cyber-security", "hacking", "howto", "networking", "server", "web", "webdesign"] source_url: https://willem.com/es/2019-03-31_wordpress-10-consejos-para-asegurar-tu-sitio-web/ --- # WordPress: 10 consejos para asegurar tu sitio web *Mantén a los hackers fuera del sistema de gestión de contenidos más popular del mundo* > Mucha gente usa WordPress para gestionar su sitio web, así que no me extraña que me pidan que le eche un vistazo a la seguridad del suyo. Como hacker ético, me encuentro WordPress de todas las formas, tamaños y estados. Algunos están muy mal protegidos contra los ataques. Evita que hackeen tu sitio con estos 10 consejos prácticos. ## 1) Actualiza WordPress (y los plugins y temas) La mayoría de los ataques a WordPress son consecuencia de una política de actualizaciones descuidada. Los hackers usan bots automáticos para buscar versiones de software desactualizadas con fallos de seguridad conocidos. Cuando descubren que tu sitio es vulnerable, hackearlo suele ser pan comido. Hoy en día WordPress se puede actualizar automáticamente, así que no tienes que hacerlo tú. Consulta las instrucciones_para_actualizar_WordPress (https://codex.wordpress.org/Updating_WordPress). ![Actualizar WordPress desde el panel de wp-admin](https://willem.com/global/images/79572e4a515e.webp) ## 2) Plugins y temas La mala fama de WordPress en seguridad se debe sobre todo a las partes ampliables de la plataforma, en concreto los plugins y los temas. Son los principales vectores de ataque que usan los ciberdelincuentes para hackear y abusar de tu sitio. Sus vulnerabilidades suelen venir de errores y descuidos durante el desarrollo. Sé muy reticente y cauteloso al instalar plugins en tu sitio. Comprueba quién es el desarrollador del plugin o del tema y si tiene buena reputación escribiendo código seguro. Los plugins y temas con muchas descargas suelen estar bien mantenidos, una buena señal para la seguridad. Actualiza todos los plugins y temas y vigila su historial de seguridad en una web como wpvulndb.com (https://www.wpvulndb.com/plugins/). ![Comprueba la reputación de un plugin de WordPress mirando su número de descargas y su valoración](https://willem.com/global/images/db2e086fcde8.webp) ## 3) Usa cifrado (TLS/SSL) Los sitios WordPress sin cifrado TLS/SSL son un riesgo, porque cada vez que inicias sesión para administrarlos, tu contraseña viaja en texto claro. Eso significa que cualquiera que esté escuchando el tráfico de tu red puede conseguirla fácilmente. Con una contraseña válida, los hackers simplemente inician sesión, y no querrás ponérselo tan_fácil (https://blog.wpscans.com/sniff-wordpress-login-credentials-wireshark-http-connection/), ¿verdad? Usa TLS/SSL para cifrar toda la comunicación entre el servidor web y tu navegador. Así nadie puede descifrar lo que escribes en el campo de la contraseña mirando el tráfico de red. Los certificados TLS/SSL que necesitas para activar el cifrado HTTPS son muy baratos hoy en día: pídele uno a tu proveedor de hosting para tu sitio. ![Espiando una contraseña de WordPress capturando paquetes con Wireshark (vía blog.wpscans.com)](https://willem.com/global/images/7ed5f0ee69b4.webp) ## 4) Usa contraseñas seguras Aunque sigas todos los demás consejos para proteger tu sitio, las contraseñas débiles son otra fuente habitual de brechas de seguridad en WordPress. Como la mayoría de las instalaciones de WordPress tienen un usuario "admin", los hackers pueden usar diccionarios_de_contraseñas (https://duckduckgo.com/?q=password+dictionairy) para adivinar la tuya automáticamente. Piensa en una contraseña segura como algo que nadie haya usado antes. Normalmente significa que sea más larga, con más caracteres distintos y sin palabras ni frases conocidas. Puedes usar un generador de contraseñas para conseguir algo muy difícil de adivinar (y fácil de olvidar...). No uses la misma contraseña en varios sitios y plantéate activar_la_autenticación_en_dos_pasos_para_un_control_de_acceso_máximo (https://codex.wordpress.org/Two_Step_Authentication). ![Los ataques de diccionario usan listas de contraseñas conocidas (filtradas), que se encuentran en rincones turbios de internet](https://willem.com/global/images/7e3624540722.webp) ## 5) Usa un ordenador y una red de confianza Igual que no deberías presumir de dinero y gadgets por calles chungas, debes tener cuidado con dónde (y cuándo) inicias sesión en tu sitio. Un ordenador con spyware, malware o virus puede registrar lo que pulsas (y tu contraseña) y enviárselo a los delincuentes. O incluso sin tecnología: un adversario puede mirar literalmente por encima de tu hombro (en el autobús, en el tren o en una cafetería) mientras escribes tu contraseña. Ten cuidado con dónde y cuándo trabajas en tu sitio. No trabajes en un ordenador compartido o público si no es necesario. Si trabajas desde una wifi pública, tienes que usar cifrado para que nadie se cuele. Puedes hacerlo con TLS/SSL o con una VPN (como buffered.com). Asegúrate de que tu ordenador, tu tableta o tu smartphone estén actualizados. ![¿Te fías de la wifi gratuita que estás usando? (Imagen vía buffered.com)](https://willem.com/global/images/94b8eedd02ca.webp) ## 6) Desactiva la API REST de WordPress La API_REST_de_WordPress (https://developer.wordpress.org/rest-api/) da acceso a todos los datos de tu sitio en formato JSON legible por máquinas. Se puede acceder fácilmente a entradas, páginas, categorías, etiquetas, comentarios, archivos multimedia, usuarios, ajustes y más. Por ejemplo, prueba a añadir esto a la dirección de tu sitio: **/wp-json/wp/v2/users** y obtendrás una lista de todos los nombres de usuario válidos. ¿De verdad *quieres* compartir eso con los hackers? Desactiva la API REST para evitar el scraping de contenido (plagio) y la filtración de datos de usuarios. Los datos de los usuarios son personales y no deben compartirse públicamente si te importan la privacidad y la seguridad (piensa en el RGPD (https://en.m.wikipedia.org/wiki/General_Data_Protection_Regulation)). Puedes desactivar la API REST con plugins como Disable_REST_API (https://wordpress.org/plugins/disable-wp-rest-api/) o REST_API_Toolbox (https://wordpress.org/plugins/rest-api-toolbox/). Echa un vistazo al artículo_detallado_de_Jeff_Star_para_saber_más_sobre_cómo_proteger_la_API_REST_de_WP (https://digwp.com/2018/08/secure-wp-rest-api/). ![Filtrando datos personales de usuarios desde la API REST de WordPress](https://willem.com/global/images/b4bed4a35679.webp) ## 7) Desactiva el acceso por XML-RPC XML-RPC es una función de WordPress que permite controlar tu sitio de forma remota mediante XML (RPC significa "remote procedure call", llamada a procedimiento remoto). Este mecanismo te permite gestionar tu sitio sin entrar en WP-Admin, por ejemplo con servicios externos o apps. Por desgracia, XML-RPC es un punto débil, porque es básicamente una puerta trasera que los hackers pueden intentar forzar con fuerza_bruta (https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html) o con comandos_especiales (https://medium.com/@the.bilal.rizwan/wordpress-xmlrpc-php-common-vulnerabilites-how-to-exploit-them-d8d3c8600b32). Evita los problemas de xml-rpc.php desactivando esta función de WordPress por completo. Puedes hacerlo con el plugin Disable_XML-RPC (https://wordpress.org/plugins/disable-xml-rpc/) o configurando el servidor web a mano con_un_archivo_htaccess (https://graspingtech.com/disable-xml-rpc-wordpress/). ![Limitando por IP el acceso a XML-RPC con un archivo .htaccess](https://willem.com/global/images/e8fa9fcb7c0e.webp) ## 8) Oculta o protege la página de inicio de sesión (wp-admin) Todo el mundo sabe que para entrar en WordPress basta con añadir '/wp-admin' a la dirección del sitio. Cualquier hacker puede empezar a probar contraseñas por fuerza bruta en tu sitio gracias a eso. Es mucho más difícil forzar una cerradura si no la encuentras. Plantéate ocultar o sustituir la página wp-admin. Los expertos lo llaman "seguridad_por_oscuridad" (https://en.m.wikipedia.org/wiki/Security_through_obscurity), es decir, confiar en el secreto para estar seguro. Puedes usar un plugin para esto o configurar el servidor web para limitar el acceso a wp-admin filtrando por dirección IP. Mira este artículo_con_formas_de_ocultar_y_proteger_la_página_wp-admin (https://www.3nions.com/hide-wp-admin-page-wordpress-login/). Eso sí, ojo: confiar solo en el secreto no basta. Aplica también los demás consejos. ![Es bastante difícil hackear mi página de WP-Admin porque no se encuentra (pista: no está en /wp-admin)](https://willem.com/global/images/a21ba24bbd4e.webp) ## 9) Un hosting fiable Aunque apliques todos estos consejos para proteger tu sitio WordPress, puede no bastar si tu hosting es inseguro. El hosting es el servicio que hace que tu sitio esté disponible en internet, mediante ordenadores especiales llamados servidores. Igual que el propio sitio, el servidor web que lo publica también tiene que ser seguro. Piensa en un hosting como en un barco: si se hunde, se lleva consigo a todos los pasajeros (sitios web)... Invierte en un hosting fiable eligiendo una empresa con buena reputación. Escoge una que encaje bien con tu negocio y plantéate un VPS (gestionado) dedicado. Ten en cuenta que los hostings baratos suelen serlo porque el servidor se comparte con (muchos) otros sitios (posiblemente inseguros). Sigue leyendo para entender_los_problemas_de_seguridad_del_hosting_compartido (https://willem.com/en/2019-02-28_understanding-the-security-concerns-in-shared-hosting/). ![En algún centro de datos hay una máquina como esta alojando tu sitio web](https://willem.com/global/images/b8c695c798fe.webp) ## 10) Copias de seguridad y revisiones Aunque tu sitio funcione bien ahora, las cosas pueden empeorar en el futuro. La seguridad nunca es absoluta, siempre puede llegar el mal tiempo. Prepárate para los problemas y no dejes que los fallos de seguridad pasen desapercibidos. Revisa tu sitio con regularidad, o contrata a alguien (https://digidef.nl) para que lo haga por ti. Con un plugin como WP_Security_Audit_Log (https://wordpress.org/plugins/wp-security-audit-log/) puedes detectar ataques y comportamientos sospechosos a tiempo. Haz copias de seguridad de tu sitio para poder recuperarte de un desastre informático. Los accidentes le pasan a cualquiera: haz una copia de seguridad para no perder todo tu trabajo. Mira este artículo_para_conocer_distintas_formas_de_hacer_copias_de_seguridad_de_tu_sitio_WordPress (https://websitesetup.org/wordpress-backup/). ![Usa WP Security Audit Log para vigilar lo que pasa en tu sitio WordPress (wpsecurityauditlog.com)](https://willem.com/global/images/ba045569ad2d.webp) ## Conclusión La seguridad de tu sitio web es como la de tu oficina o tu casa. Cuando te vas, cierras las ventanas y echas la llave, ¿verdad? No descuides la seguridad de tu sitio: es tan importante como su diseño y su contenido. Si aplicas estos consejos, a los ciberdelincuentes les costará mucho más hackear tu sitio. Hazlo tú mismo (https://codex.wordpress.org/Hardening_WordPress) o pídele a alguien (https://willem.com) que te ayude.