Si bien el núcleo de WordPress es seguro gracias a las revisiones constantes de la comunidad y empresas especializadas, siempre existen vulnerabilidades potenciales, como en cualquier software. Mantener WordPress actualizado es clave para minimizar riesgos.
Sin embargo, la mayoría de los problemas de seguridad no provienen del propio WordPress, sino de cómo se utiliza. Aquí te explicamos los puntos clave para mantener tu sitio seguro.
El punto débil de WordPress
El inicio de sesión es uno de los aspectos más vulnerables de WordPress. Aunque la solución más básica es usar un usuario y contraseña únicos y seguros, WordPress no incluye de forma nativa un sistema contra ataques masivos ni autenticación de dos factores (2FA). Por tanto, implementar estas medidas es esencial para reforzar la seguridad.
Nota: No es necesario cambiar u ocultar la página de inicio de sesión; el problema no está en su URL, sino en la protección de las credenciales.
La seguridad del hosting
La seguridad del hosting
El hosting es la base de cualquier sitio WordPress, y su configuración influye enormemente en la seguridad. Estos son los aspectos fundamentales:
1. Configuración del hosting para WordPress
- PHP y base de datos: Utiliza versiones recomendadas y configura correctamente archivos como
php.iniymy.cnf. - Servidor web: Asegúrate de que Apache o nginx estén optimizados para WordPress.
- Permisos de usuarios y ficheros: Cada sitio web debe tener su propio usuario y permisos independientes para evitar que un ataque afecte a otros sitios.
2. Mantenimiento del hosting
El proveedor de hosting debe actualizar regularmente el sistema operativo y los softwares instalados (PHP, bases de datos, etc.). Pero a veces no da ese servicio, así que en Signum comunicación nos ocupamos de que el hosting esté siempre actualizado y con las versiones más recientes y estables de PHP.
3. Firewall a nivel de hosting
Un buen hosting debe incluir un firewall que limite puertos abiertos y permita configuraciones específicas para WordPress. En el hosting que le ofrecemos a nuestros clientes tenemos configurado un sistema de Firewall que limita el acceso desde IP de países conflictivos (como por ejemplo China, Rusia, India, Pakistán, etc). Limitar el tráfico de estos países es muy importante para evitar un gran número de ciberataques. Además, contamos con un potente antivirus que escanea de manera constante cada página web instalada en nuestro servidor.
4. Anti-DDoS
Es importante que el hosting cuente con medidas básicas para mitigar ataques masivos.
5. Configuraciones adicionales en WordPress
- Límites en wp-login.php: Reducir las peticiones por segundo o limitar el acceso a ciertas IPs puede prevenir ataques de fuerza bruta.
- Certificado TLS: El hosting debe incluir y configurar un certificado TLS (como Let’s Encrypt) para asegurar que todo el tráfico funcione bajo HTTPS.
Configuración segura de WordPress
1. Ajustes generales
- Correo de administración: Verifica que la dirección sea correcta para recibir notificaciones importantes.
- Zona horaria: Configura la zona horaria de forma precisa (ejemplo: «Madrid» en lugar de UTC+1).
2. Plugins esenciales para seguridad
- Block List Updater: Ayuda a prevenir spam rellenando el campo de palabras rechazadas.
- Antispam Bee: Analiza comentarios localmente, cumpliendo con el RGPD.
- Stream: Registra actividades y cambios en el sitio para mayor control.
- 2FA: Implementa un sistema de autenticación en dos pasos para usuarios Administrador, Editor y Autor.
- WPVulnerability: Informa sobre vulnerabilidades en plugins, temas y configuraciones del sitio.
3. Copias de seguridad
Realiza copias de seguridad periódicas y almacénalas en distintos sistemas (local y remoto). Utiliza plugins que permitan recuperaciones rápidas y confiables.
Los usuarios en WordPress: el eslabón más débil
Para minimizar riesgos:
- Contraseñas seguras: Obliga a los usuarios a utilizar contraseñas fuertes.
- Roles adecuados: Limita el uso del rol Administrador y fomenta el uso de roles menores como Editor.
- Límites de accesos: Implementa plugins para limitar intentos de inicio de sesión.
- Autenticación en dos pasos: Hazlo obligatorio para roles críticos.
- Logs de actividad: Monitorea acciones dentro del sitio.
Mantenimientos de plugins y CORE WordPress
Actualiza WordPress, plugins y temas con frecuencia:
- Automático: Las actualizaciones automáticas no son las más recomendables ya que pueden darse incompatibilidades entre versiones de plugins y generar un error crítico en la web. Por este motivo, en Signum comunicación todas las actualizaciones de nuestros clientes son realizadas y supervisadas por expertos en WordPress.
- Manual: Realizamos revisiones semanales de todos los plugins y CORE de WordPress. Antes de realizar cualquier actualización, hacemos copias de seguridad de la web y la base de datos, de esta manera podremos restaurar en caso de fallo o incompatibilidad en las versiones.
