Categoría: Seguridad Informática

Independientemente de los plugins que podamos instalar otras herramientas que existen en el Marketplace de WordPress. 

Es de bastante utilidad, realizar algunos ajustes para tener todavía más seguridad en nuestro blog. 

Nos vamos en este caso al menú ajustes y después a comentarios.

Tenemos que activar la opción: “El comentario debe aprobarse manualmente”.

Por otro lado es importantisimo tener actualizados todas las partes que componen nuestro WordPress:

• Tener actualizada nuestra versión de WordPress. Lo que comúnmente se llama el “cuore” del WordPress.
• (Cuidado en tener una copia de seguridad realizada antes de tener actualizar por si falla algo).
  • Es recomendable hacer copias de seguridad manuales. No con PlugIns aque si que es verdad que algunos Plugins de pago tienen su utilidad es siempre mejor no estar limitado a otros proveedores.
  • Si quieres saber como se hace una copia de seguridad sin Plugins, Visita mi artículo de cómo hacer copia de seguridad por FTP.
• Instalamos las actualizaciones de los Plugins. Pero antes de actualizarlos insisto. Hacer una copia de seguridad por si cualquier cosa falla poder volver al punto anterior donde todo funcionaba correctamente.

Cuando establecemos medidas adicionales para hacer más seguro un sitio web o cualquier sistema de información esto es lo que se denomina robustecer.

En este caso vamos  a robustecer nuestro WordPress con  un plugin.

Seguimos estos pasos:

Después en el campo de búsqueda ponemos “Honeypot Anti-Spam” como se ve en la imagen.

Si bajamos con el Scroll hacia abajo podemos ver:

Le damos a Instalar ahora. Y después a Activar.

Esto lo que va a hacer es que va a crear un campo invisible en los comentarios de WordPress de nuestro blog donde los bots siempre lo van a rellenar. Y una vez que se rellené este plugin no va a permitir que ese comentario llegue a nuestro gestor de contenidos.

Para quienes no sepan lo que es un bot, un bot no es ni más ni menos algo que se le llama robots virtuales. Qué lo que hacen es rellenar formularios de forma automática tanto formularios de contacto, como comentarios de blogs.  realmente lo que es sin más es un programa pequeñito que mediante variables va a buscar los formularios en Internet y los va rellenando y de esa manera intenta meterse en la base de datos de WordPress. Y así, introduce malware. 

Este tipo de ataque es como se conoce a el ataque de tipo: ”inyección de SQL”

Nada mas instalar nuestro CMS (“content management system” (sistema de gestión de contenido)). Tenemos que:

• Asegurarnos que cada usuario tiene su perfil correspondiente los privilegios que le correspondan. Solamente puede ser “Administrador” el usuario que gestiona el proyecto o el llamado “WebMaster”. El resto serán: Autores, Editores, etc.
• Tanto el usuario que es administrador, como el resto de perfiles de usuarios que vayan a colaborar en nuestro proyecto cada uno de ellos tiene que tener unas contraseñas seguras.

Esto se hace en:

Voy a Usuarios/Todos los usuarios

Aquí veré todos los usuarios creados con sus perfiles y privilegios.

En concreto voy a ver los que tienen permisos de administrador que son los mas relevantes en cuanto a privilegios. Por eso tengo que pinchar en administrador como se pone aquí debajo.

Una vez veo los diferentes usuarios pincho en el que me interese securizar.

Pinchando en Editar veo esto:

En la parte de abajo compruebo que tiene un perfil de administrador. O del privilegio que yo le quiera dar.

Y si bajo un poco mas, veo esto:

Es aquí donde si pincho en “Establecer una nueva contraseña” podre darle una contraseña robusta difícil de huaquear.

Por ultimo le tendríamos que dar al botón de:

Con todo esto ya tendríamos a este usuario totalmente segurizado.

Nota: NUNCA poner nombres de usuario con nombres claves como por ejemplo “Admin” o una contraseña tipo “1234”. Seria muy muy fácil poderlo hackear por ejemplo con un método que se llama Fuerza Bruta. No doy mas pistas… 🙂

A la hora de elegir diferentes compañías de alojamiento. Nos suelen dar dos posibilidades:

Instalar WordPress de forma automática con un asistente propio de la compañía que nos ofrece ese alojamiento que suele esta en su panel de control.

O instalarlo nosotros de manera manual.

Sea cual sea la opción que tengamos. Tenemos que tener las siguetees consideraciones:

• El prefijo de la base de datos no tenga “wp_****” siendo *** lo que sea. Ya que Por defecto WordPress utiliza el prefijo wp_ para todas sus tablas. Un atacante por medio de inyección SQL lo primero que intentará es crear un usuario buscando la tabla wp_users.  Afortunadamente podemos (y se recomienda) cambiarlo.
• Contraseñas de la base de datos como de FTP, sean totalmente diferentes. Intentar que nada se parezca a nada.  Para hacer esto mucho mas fácil podemos ir a la pagina web: https://www.clavesegura.org/es

En este caso poniendo “todos los caracteres” y una “longitud” de 12. Obtendremos una contraseña robusta: syZ[SK8[UEG0 con mayúsculas, minúsculas, números y caracteres especiales que son las que es lo mínimo que tiene que tener una contraseña para ser segura.

Una vez instalado WordPress con estos parámetros de seguridad comentados. Tendremos que, tener una configuración mínima de este gestor de contenidos para poder operar con seguridad.

El Hosting no es ni mas ni menos, que el lugar físico donde vamos a alojar la información. 

En este caso es en un alojamiento web donde instalaremos nuestro gestor de contenidos WordPress.

De toda la variedad de ofertas que tenemos en el mercado, a la hora de elegir en que compañía lo vamos a alojar, tenemos que tener en cuenta los siguetees puntos clave:

• Tienen que tener: 
  • Cortafuegos.
  • Denegación de ataques por peticiones simultaneas. “ataques DoS”. Si queréis mas información al respecto me lo podéis pedir y hago un artículo para ello.
  • De lo mas importante es que tengan las cuentas aisladas. 
    • Cuentas en las cueles vamos a compartir un servidor compartido que es casi siempre lo que contratamos, pero en este tipo de servidores necesitamos que sean como “casas independientes” dentro del servidor. Es decir si entran a nuestro edificio de vecinos pueden robar a mi vecino pero a mi no por que tengo unas medidas de seguridad externas. Las medidas de seguridad internas de nuestra casa las describo en los artículos:
      • Configuración básica de WordPress con algunos ajustes por defecto.
      • Personalizar la configuración de WordPress para optimizar esa seguridad.