Seguridad WordPress – Guía para proteger tu web

Cuando vas a crear una web en WordPress solemos prestar atención a la usabilidad, al diseño o si tal plugin que has visto navegando encajaría en tu proyecto.

Eso esta muy bien pero ¿La seguridad de tu WordPress? ¿Te has parado a pensar lo necesario que es?

Imagínate por un momento que te levantas una mañana, enciendes tu ordenador y ves que tu trabajo de tantas horas se ha ido al garete por haber permitido que entrara en tu sistema un “simpático hacker”.  En ese momento te tiembla el cuerpo, vas a buscar la última copia de seguridad en WordPress  y ves que no la tienes hecha.

No pasa nada, te sientas, respiras y piensas la típica frase que de ánimo: No es para tanto, más se perdió en cuba o todo tiene solución menos la muerte… pero en ese momento estás hundido.

Pero bueno, todo pasa. A veces tiene solución el ataque en la web y otra es irreversible. Para evitar esto hay que seguir unas reglas de seguridad en WordPress.

¿Es WordPress Seguro?

Sí, claro que lo es pero si tenemos en cuenta su popularidad, las ganas de atacar y buscar sus vulnerabilidades es constante.

Si preguntas a profesionales que llevan tiempo en este mundo si WordPress es seguro, la mayoría te dirá que sí lo es pero que como cualquier proyecto tienes que protegerse  porque nadie esta libre de verse afectado por un ataque por falta de seguridad y más cuando es tan famoso.

Todo el mundo te dirá que la primera vía de protección es el hosting es por eso que debes prestar atención y elegir bien.

Yo uso Webempresa y te digo que es seguro en exceso, pero ellos siempre han dicho que es primordial serlo, es por eso una de las razones por las que confiar en ellos.

A partir de ahí hay que llevar un seguridad adicional y eres tú el que tienes que encargarte de hacer todo lo posible para que tu web no esté desprotegida  y sea lo más segura posible.

Entonces, ¿Llevando a la práctica tus consejos evitaré que me ataquen, me entre spam o malwares?

La respuesta es no. La protección nunca y para nadie es 100%.

Te digo que no porque si algún pirata del caribe quiere entrar en tu WordPress puede llegar a hacerlo, ningún sistema es 100% seguro y todo CMS es vulnerable y más si es tan popular como WordPress.

Lo que si te garantizo es que en un altísimo porcentaje si aplicas seguridad a tu WordPress será muy difícil que te hagan daño y podrás proteger tu web y dormir tranquil@

Necesitas saber como manejar WordPress al 100%:

Leer tutorial sobre WordPress

10 Consejos de seguridad para WordPress

Existen muchos  factores de protección que debes tener en cuenta para optimizar este CMS.

Por eso debes seguir este checklist de seguridad en WordPress para proteger tu web al máximo.

1. Temas y plugins maliciosos

Si tienes una web en Wordpress y estás tratando de optimizarla instalando diferentes plugins o cambiando su tema, es importante que tengas presente los riesgos de instalar plug-ins a diestro y siniestro sin tener en cuenta sus posibles riesgos.

WordPress cuenta con una generosa selección de plugins que te permiten hacer prácticamente cualquier cosa con tu web, pero, por desgracia, algunos de estos plugins tienen presente código malicioso o en malas condiciones que pueden comprometer seriamente la seguridad de tu web y los datos privados de sus usuarios.

A continuación puedes ver algunos de los principales riesgos a los que te expones a la hora de instalar temas y plugins en Wordpress, y cómo puedes hacer para prevenirlos y garantizar que tu web siga siendo segura y confiable.

Mucho cuidado con lo que hay en la red. Te aconsejo que mires el número de descargas que tiene cada theme que veas. Esto te puede ayudar a comprobar su fiabilidad.

Ten en cuenta que cada vez que instalas un plugin en tu WordPress estas insertando código escrito por un tercero. Esta persona probablemente no tenga tanta exactitud en examinar su código como el equipo de make WordPress.

• Temas procedentes de webs dudosas :

Uno de los principales riesgos a los que te expones cuando gestionas tu web de WordPress pasa por instalar temas procedentes de páginas web externas a WordPress que, con frecuencia, tienen una reputación dudosa o, simplemente, son muy recientes y no disponen de reseñas que te permitan ver hasta qué punto se trata de plataformas aceptables o no.

El riesgo de sufrir una infección por malware en una página web de este tipo es bastante superior, de manera que siempre deberías comprobar la fiabilidad de estas páginas utilizando plataformas especializadas como Trustpilot, o, mejor aún, instalar solo temas disponibles dentro de la propia WordPress.

• Plug-ins maliciosos:

Aunque la tienda de plug-ins de Wordpress está monitorizada y continuamente bloquea plugins con malware o código pobre, lo cierto es que, como ocurre también en la Play Store y la App Store, resulta muy difícil poder garantizar que todos los plugins disponibles en ella estén 100% libres de código malicioso o defectuoso.

La razón no solo responde al enorme volumen de opciones que tienes para elegir, sino al hecho de que todos estos plugins se actualizan continuamente, lo que hace imposible revisarlos de forma manual y dificulta mucho la tarea para los softwares anti-malware automatizados, sobre todo cuando el código malicioso es de nuevo cuño y no ha sido visto nunca antes.

En este sentido, de nuevo, una de las mejores herramientas con las que cuentas para guiarte sobre la seguridad de los plugins es la reputación de los desarrolladores y el número de descargas e instalaciones con que cuenta cada uno.

Yo utilizo la plantilla la mejor plantilla y el mejor page builder en la actualidad, échale un vistazo a estás y otras plantillas.

• Generate Press
• Elementor page builder: El mejor editor constructor builder en la actualidad
• Las mejores plantillas para WordPress
• Las mejores plantillas para Woocommerce
  

  ---

2. Actualizaciones dentro de WordPress

Tienes que tener WordPress siempre actualizado. La mayoría de los ataques llegan porque no has actualizado la plantilla o los plugins desde hacer algún tiempo.

Esto es esencial. Cada vez que veas un mensajito en rojo en tu WordPress debes actualizar.

Si has metido la pata y has actualizado antes de tiempo y tu web se ha estropeado o tiene algún tipo de error en sus funcionalidades siempre puedes volver a la versión anterior como explico en este video.

3. Seguridad en Perfil de usuario

Cambia el nombre de admin que WordPress pone por defecto al usuario nada más instalar WordPress por primera vez,.

Date cuenta que la palabra admin va a ser lo primero que una persona o robot va intentar para acceder a tu CMS a través de la contraseña.

Igualmente olvídate de palabras como administrador o admin123 o algo por el estilo.

Para cambiar el nombre es tan simple como acceder en el panel de WordPress a Usuarios>todos los usuarios. Edítalo y cambia el nombre escogiendo en la opción «mostrar nombre publicamente» el nuevo creado

4. Contraseña de acceso, seguridad en usuario y email

Es importante que tengas cuidado con las contraseña y pongas barreras para personas o bots que quieran entrar en tu WordPress. Para ello puedes tomar las siguientes medidas:

• Cambio de contraseña de acceso a WordPress:

Cambia el nombre de tu contraseña cada cierto tiempo no esta de más. Hazlo cada 4 o 5 meses al menos.

No uses solo letras, utiliza también caracteres especiales y numéricos.

Una buena contraseña es algo asi: 7bFuYtjGi*T/@a

Además, te debes proteger, no le des tus contraseñas del panel de control o de tu WordPress a nadie.

Si un programador necesita entrar para arreglarte algo, añade en tu WordPress un nuevo usuario y dale acceso temporal.

En el caso que quieras facilitarle el acceso accediendo con las tuyas, cambia de nuevo las claves una vez haya terminado.

• Cuidado con donde usas el email:

Intenta no usar el mismo correo electrónico para todo.

Imagínate que con el correo que estás usando en WordPress lo usas para todo. Pueden acceder a tu correo, twitter, Facebook… Nunca se sabe…

• Prohibe el acceso a bots: 

Usar un plugin como Wp Limit login Attempts te dará mayor seguridad ya que cuando se producen 3 intentos fallidos bloquea el acceso a quien intenta entrar en tu web.

Igualmente otro plugin como Wps hide login cambia la ruta por defecto tudominio.com/wp-admin dotando de mayor seguridad a tu WordPress.

También puedes bloquear el acceso al panel de control a todos los países que queramos.

¿Qué sentido tiene que países como Ucrania, China o Rusia accedan a tu web? Lo recomendable bloquear el acceso a todos estos países y dejar activo sólo el país desde el que accedemos a nuestro WordPress

No vas a bloquear el acceso a tu blog si no al panel de administración de WordPress. Para ello, te recomiendo utilizar el plugin Admin Block Country

6. Certificados de seguridad y PHP

• Certificado SSL (HTTPS:

Asegúrate de que tu alojamiento (hosting) tiene activado los certificados de seguridad SSL y la última versión de php.

Estos certificados son necesarios si en tu web hay una pasarela de pago, formularios, accesos y otros donde la necesidad de proteger datos es fundamental.

Los certificados SSL están orientados sobre todo al ecommerce donde es más que necesario realizar la encriptación de datos pero en cualquier web que tenga registros es necesario también.

Este certificado permite migrar tu web de http a https y el proceso es muy fácil.

• La última versión de php no sólo te dará seguridad, también velocidad en la web.

7. Plugin antimalware y Captcha

Tu web no está segura si no usas un plugin de seguridad. Este se debe usar desde el principio.

Pero ¿Por qué me van a intentar fastidiarme si soy más bueno que el pan?

Porque no todo el mundo tiene buenas intenciones y da igual que seas un santo. Debes preocuparte imprescindiblemente por la seguridad de tu blog porque te pueden pasar estas cosas:

1.  Se pueden dar intentos de login o ataques masivos.
2.  Pueden querer crear redes de bolnet en tu web usando la potencia para ataques mayores.
3. Pueden entra en  tu servidor para enviar spam desde el.
4. Pueden acceder a tu administrador e inyectarte multitud de malwares.
5. Programas automáticos (bots).
6. Puédes sufrir ataques por fuerza bruta o de diccionario para averiguar tu contraseña

En definitiva, personas que quieren hacer daño por pura competencia, rencor profesional, simplemente maldad o porque no hay una persona detrás y el ataque lo está haciendo un  robot que si nota una vulnerabilidad en tu web te puede tocar sufrir las consecuencias.

El uso de la fuerza bruta esta automatizado y las combinaciones de palabras que usan los programas son infinitos.

• Protección antimalware:

Hay que defenderse y hacer todo lo posible por tener la máxima seguridad.

Sucuri security es un plugin localizador de malwares y una herramienta para reforzar la seguridad.

• ¿Uso de plugin de antivirus?

Podría decirte que instalando el plugin Wordfence o Ithemes security pero lo cierto es que si ya cuentas con un buen hosting y sigues los pasos que vas a ver en este checklist es más que suficiente para tener una buena seguridad en WordPress.

El motivo de no usarlos es que consumen demasiados recursos.  Por eso te recomiendo que si instales el plugin BBQ block bad queries, es ligero y protegerá las carpetas de WordPress ya que es un firewall seguro, pero ojo, nunca está de más un extra de protección.

Leer:

Los mejores plugins de seguridad para WordPress

Proteger área de administración en WordPress

• Captcha:

El sistema captcha es la barrera principal antispam. Esta barrera es como la puerta principal y un plugin como akismet sería la segunda puerta.

El sistema captcha es un sistema para detectar que la persona que esta accediendo a nuestra web mediante sus datos no es un robot. Para ello te pide que insertes manualmente un número o elijas una serie de imágenes.

En algunos sectores no creo que sea acertado. Debes de pensar en la seguridad si, pero también en el usuario.

8. Protección frente a comentarios Spam

Cuando creas un blog y este va teniendo visibilidad y visitas a través de los comentarios te suele entrar siempre Spam.

Para evitarlo es tan simple que tienes que tener configurado el anti-spam.

Cuando instalas WordPress, por defecto incluye el plugin Akismet. Este no es malo ya que filtra por seguridad en una carpeta spam aquellos comentarios fraudulentos.

El plugin Anti-spam va más allá al detectar que los comentarios son robots y ni siquiera permite la entrada de estos en WordPress, directamente los bloquea.

9. Copias de seguridad en WordPress

A pesar que hay servidores que hacen copias de seguridad de tu web (algunos la hacen incluso cada 4 horas como Webmpresa), te recomiendo instalar un plugin de seguridad web. No tiene que pasar nada y no hace falta pero es mejor curarse en salud y hacer copias de seguridad de WordPress por lo menos una vez al mes.

Es mejor curarte en salud, hacer copias de seguridad de tu WordPress cuando quieras y tener acceso a ellas es una buena forma de estar tranauilo. Si encima tu servidor también las tiene guardadas , pues mejor que mejor.

Si tengo que elegir un plugin seguro para WordPress me quedo con el programa para copias de seguridad All in one Migration. Se trata de un programa para hacer backup rápido, sencillo y fiable. En un par de clics tienes tu copia descargada.

All in one es un plugin que también te servirá para clonar tu sitio Web de forma sencilla.

10.  Escoge un hosting de calidad para evitar problema de seguridad

El primero que tiene que garantizarte seguridad es tu proveedor de hosting. Si este no lo hace, tienes que instalar irremediablemente plugins de seguridad.

Optar por un hosting barato como 1and1 no solo te puede provocar caídas de servidor, lentitud en la velocidad de carga o una mala atención técnica. Lo peor es que tu web se vea afectada por sus sistemas de seguridad.

Ya comente en otro post la fiabilidad de los hostings baratos. En él te decía que si tienen precios tan económicos es porque por algún lado tienen que flojear uno de los factores puedes ser que ofrecen menos funcionalidades y uno de ello puede ser la falta de seguridad en los cms.

Sus sistemas protección suelen ser un punto principal donde flaquean.

Webempresa es para mí como sabes la mejor empresa de hosting. Con un soporte en español, cuenta con un sistema anihackeos por lo que no necesitas instalar ningún plugin de seguridad.

La mayoría de los ataques se producen desde países de habla no hispana y webempresa tiene bloqueado el acceso a la administración desde estos países.

Lee el artículo sobre las opiniones sobre Webempresa de otros usuarios.

Herramientas a tu disposición para proteger tu web

Afortunadamente cuentas con una serie de herramientas que puedes utilizar para minimizar estos riesgos y mantener tu web libre de malware, incluyendo:

• Revisa la newsletter de Wordpress:

Con cierta regularidad, WordPress envía a todos sus clientes una newsletter a su casilla de correo electrónico.

Es importante que no te des de baja de la misma, porque con frecuencia incluye información relevante sobre ciberseguridad que puede ponerte en alerta sobre cualquier plug-in en el que se haya detectado algún tipo de contenido malicioso.

• Utiliza una VPN para gestionar tu cuenta:

Acceder a tu panel de control de WordPress utilizando una VPN te ayudará a proteger tus credenciales de acceso y todos los datos que envíes a la hora de gestionar tu página.

Aquí puedes leer ¿Qué es VPN? Básicmante,se trata de una herramienta de ciberseguridad que te permitirá navegar por internet a través de una conexión encriptada de forma robusta, de forma que toda la información que envíes o recibas estará protegida y no será visible por parte de terceros.

• Evita los plug-ins y temas desconocidos:

Es especialmente importante que evites instalar plug-ins o temas que no tienen reputación
previa o que provienen de páginas web externas a WordPress.

Aunque algunos de estos temas pueden ser excelentes, siempre es conveniente que revises su reputación previamente en plataformas neutrales donde otros usuarios hayan comentado sobre su experiencia con ellos.

Asegúrate también de leer reseñas al respecto para tener la certeza de que se trata desoftware confiable.

• Utiliza contraseñas robustas y almacénalas en un lugar seguro:Toda tu gestión web puede quedar expuesta si utilizas una contraseña pobre para acceder a ella. Por eso es fundamental que utilices una contraseña robusta para entrar en tu cuenta de WordPress, y que no uses esta contraseña para acceder a ninguna otra cuenta online.

Lo ideal para hacer esto es que almacenes tu clave en un lugar seguro como un gestor de contraseñas, que la asegurará en una bóveda encriptada y la protegerá frente a cualquier posible ataque.

Resumen para la mejor seguridad de tu WordPress

No creo que haya que obsesionarse con la seguridad de la web pero si tomar medidas para dormir tranquilo sabiendo que nuestra web está protegida.

Es necesario  tener unos mínimos de seguridad y se puede conseguir siguiendo el checklist que muestro en el artículo  de forma sencilla y rápida.

Tienes que pesar que una web es tu proyecto, tu negocio y en muchas ocasiones tu medio de vida. Hay que cuidarla y evitar hackeos a toda costa. Tanto si creas tu mismo tu web como si vas a contratar un diseñador web WordPress, exige seguridad.

¿Tomas medidas de seguridad? ¿Has tenido algún problema? Déjame un comentario y evitemos que nuestras webs sean atacadas.

¡Compártelo y déjame un comentario!