Medidas de seguridad en WordPress

WordPress necesita más cosas que una simple configuración inicial.

Cuando creamos una web en WordPress solemos prestar atención a la usabilidad, al diseño o en si tal plugin que has visto encajaría en tu proyecto. Eso esta muy bien pero ¿y la seguridad? Te paras a pensar lo necesario que es tomar medidas de seguridad en WordPress?

Imagínate por un momento que te levantas una mañana, enciendes tu ordenador y ves que tu trabajo de tantas horas se ha ido al garete por haber permitido que entrara en tu sistema un “simpático hacker”.

En ese momento te tiembla el cuerpo.

Vas a buscar tu copia de seguridad  y ves que no la tienes hecha.

No pasa nada, te sientas, respiras y piensas la típica frase que de ánimo: No es para tanto, más se perdió en cuba o todo tiene solución menos la muerte… pero en ese momento estás hundido.

Pero bueno, todo pasa. A veces tiene solución el ataque y otra es irreversible.

Para evitar esto hay que tomar una serie de medidas de protección necesarias.

¿Instalando determinados plugins y llevando a la práctica tus consejos evitaré que me ataquen, me entre spam o malwares?

La respuesta es no. La protección nunca y para nadie es 100% segura aún estando en el 2.016

Te digo que no porque si algún pirata del caribe quiere entrar en tu WordPress puede llegar a hacerlo, es difícil pero puede.

Lo que si te garantizo es que en un altísimo porcentaje protegerás tu WordPress y será muy difícil que te hagan daño.

¿Cuales son las principales medidas de seguridad en WordPress?

Si preguntas a profesionales que llevan tiempo en este mundo si WordPress es seguro, la mayoría te dirá que sí lo es pero que como cualquier proyecto tienes que protegerlo porque nadie esta libre de verse afectado por un ataque.

Todo el mundo te dirá que la primera vía de protección es el hosting es por eso que debes prestar atención y elegir bien.

Yo uso Webempresa y te digo que es seguro en exceso, pero ellos siempre han dicho que es primordial serlo, es por eso una de las razones por las que confiar en ellos.

A partir de ahí hay que llevar un seguridad adicional y eres tú el que tienes que encargarte de hacer todo lo posible para que tu web no esté desprotegida.

Sigue los consejos y no te lo tomes a la ligera porque luego puede ser tarde y ya he oído algunos casos de hackeo web y en ocasiones pueden tirar a la basura todo el trabajo Seo de años, imagina las pérdidas económicas que puedes llegar a tener.

Por eso te dejo estos consejo de seguridad para WordPress, toma nota y úsalos cuanto antes.

Protección frente a comentarios Spam

Como ya te he explicado en anteriores lecciones. Cuando tu blog va teniendo visibilidad y visitas a través de los comentarios te suele entrar siempre Spam.

Para evitarlo es tan simple que tienes que tener configurado el plugin Akismet. Este como sabes viene por defecto.

Existen mas plugin de seguridad web de este tipo pero Akismet ofrece una gran protección y es sencillo de configurar

Si te interesa este plugin, te cuento como se activa.

〉 〉 Cómo se Configura Akismet

Para configurar Akismet, hay que seguir una serie de pasos.

Accede en el panel de control a la opción “plugin instalados”

Haz clic en “Ajustes akismet”

En la siguiente pantalla tendrás que conseguir tu clave API, para ello pincha en “consigue clave API”

Si ya la has obtenido anteriormente solo tendrás que copiarla manualmente en la opción de abajo.

Una vez rellenados los campos de nombre email y contraseña elegimos el plan básico para no tener que pagar nada. Es más que suficiente para estar protegidos.

Si te fijas a la derecha te saldrá una barra para hacer una donación en la que puedes incrementar más o menos cantidad. Cómo imagino que no querrás donar nada, lo bajamos a cero euros.

Seguidamente, rellena los campos que te aparecen en la izquierda.

Una vez rellados todos los campos, haz clic en “actívate this site”

En la siguiente pantalla te muestra la Api y unas opciones para marcar.

Yo lo dejo por defecto porque prefiero que me indique revisar manualmente que spam me ha entrado.

La opción comentarios la dejo desmarcada. Si tu quieres puedes marcarla y ver al lado de cada comentario el número de aprobados…

Guarda los cambios.

¡Ya esta!

Ya puedes estar tranquilo, acabas de librarte de eso miles de comentarios tan molestos que llenan nuestra bandeja de texto y que además pueden llegar a ralentizar tu WordPress.

Con akismet estarás seguro, detecta a los robots de los spammer y los bloquea.

Si accedes ahora a tu panel de control, podrá ver que  tienes la opción Akismet en ajustes. Si accedes a él puedes hacer cambios en la configuración.

Pasado un tiempo gráficamente cada mes podrás ir viendo además los posibles correos spam que han podido ir entrando.

WordPress cada instalación nueva que vayas realizando la va insertando por distintos sitios del panel de control.

Copia de seguridad con Duplicator

A pesar que hay servidores que hacen copias de seguridad de tu web (algunos la hacen incluso cada 4 horas), te recomiendo instalar un plugin de seguridad web.

Es mejor curarte en salud, hacer copias de seguridad de tu WordPress cuando quieras y tener acceso a ellas. Si encima tu servidor también las tiene guardadas pues mejor.

Si tengo que elegir un plugin seguro para WordPress me quedo con el programa para copias de seguridad Duplicator. Se trata de un programa para hacer backup rápido, sencillo y fiable. En un par de clics tienes tu copia descargada.

Duplicator es un plugin que también te servirá para clonar tu sitio Web de forma sencilla.

¿Para qué? Para hacer pruebas o para hacer un cambio de plantilla o maquetador. Es tan fácil como una vez terminada, sustituir por la antigua.

Te enseño cómo hacerlo en este tutorial:

• Cómo clonar una web en 10 minutos
  

  ---

Plugin de seguridad frente a ataques y malwares.

Tu web no está segura si no usas un plugin de seguridad. Este se debe usar desde el principio.

Se que no quieres instalar otro más a la lista pero en algunos casos es obligatorio. Más abajo te explico cuando.

〉 〉 ¿Que te puede ocurrir si no estas protegido?

Pero ¿Por qué me van a intentar fastidiarme si soy más bueno que el pan?

Porque no todo el mundo tiene buenas intenciones y da igual que seas un santo.

Debes preocuparte imprescindiblemente por la seguridad de tu blog porque te pueden pasar estas cosas:

• Se pueden dar intentos de login o ataques masivos.

• Pueden querer crear redes de bolnet en tu web usando la potencia para ataques mayores.

• Pueden entra en  tu servidor para enviar spam desde el.

• Pueden acceder a tu administrador e inyectarte multitud de malwares.

• Programas automáticos (bots).

• Puedes sufrir ataques por fuerza bruta o de diccionario para averiguar tu contraseña

En definitiva, personas que quieren hacer daño por pura competencia, rencor profesional o simplemente maldad.

El uso de la fuerza bruta esta automatizado y las combinaciones de palabras que usan los programas son infinitos.

Hay que defenderse.

〉〉 ¿Qué hacer para estar protegido?

El primero que tiene que garantizarte seguridad es tu proveedor de hosting. Si este no lo hace, tienes que instalar irremediablemente plugins de seguridad.

Si quieres tener un servidor de garantías lee el articulo sobre qué mirar a la hora de contratar un hosting.

Optar por un hosting barato no solo te puede provocar caídas de servidor, lentitud en la velocidad de carga o una mala atención técnica. Lo peor es que tu web se vea afectada por sus sistemas de seguridad.

Ya comente en otro post la fiabilidad de los hostings baratos. En él te decía que si tienen precios tan económicos , por algún lado tienen que ofrecer menos funcionalidades.

Sus sistemas protección suelen ser un punto principal donde flaquean.

Webempresa es para mí como sabes la mejor empresa de hosting. Con un soporte en español, cuenta con un sistema anihackeos por lo que no necesitas instalar ningún plugin de seguridad.

La mayoría de los ataques se producen desde países de habla no hispana y webempresa tiene bloqueado el acceso a la administración desde estos países.

Si tu hosting no te da esa seguridad tienes necesariamente que instalar un plugin de seguridad wordpress.

Si tengo que recomendarte uno, te aconsejo un plugin que he usado para otro dominio no alojado en webempresa.

El plugin es Ithemes security (antiguo better wp  security). Este da una seguridad absoluta.

Yo optaría por la versión gratuita pues es más que suficiente para tener tu web protegida.

Para saber cómo configurarlo puedes leer este artículo de Antonio Cambronero  donde te explica todo perfectamente.

Otro plugin del que hablan muy bien y ofrece las mismas garantías que ithemes security es wordfence security.

12 medidas de seguridad para WordPress

Ademas de la instalación para proteger tu sistema de un plugin para hacer copia de seguridad WordPress, un antispam como es Akismet y un programa de seguridad web hay otros factores de protección que debes tener en cuenta para optimizar este CMS.

1. Plantillas y plugins

No instales plantillas(temas) gratis sin un renombre ni plugins desconocidos.

Mucho cuidado con lo que hay en la red. Te aconsejo que mires el número de descargas que tiene cada theme que veas. Esto te puede ayudar a comprobar su fiabilidad.

Ten en cuenta que cada vez que instalas un plugin en tu WordPress estas insertando código escrito por un tercero.Esta persona probablemente no tenga tanta exactitud en examinar su código como el equipo de make WordPress.

La licencia GPL es otro punto del que te puedes fiar al 100%. Existen plugins y plantillas piratas que podrían darte algún que otro disgusto.

Descárgate los temas o plugins desde las páginas web oficiales o como te he dicho de sitios que ofrezcan seguridad.

Las posibilidades de que un plugin sea malo para tu web son escasas pero siempre es bueno saber que plugin estás instalando. Para no equivocarte aquí tienes unas lista con los mejores plugins para wordpress.

Yo utilizo la plantilla la mejor plantilla y el mejor maquetador en la actualidad, échale un vistazo:

• Generate Press: Mejor plantilla para WordPress
• Elementor page builder: El mejor editor constructor builder en la actualidad.

2. Actualizaciones

Debes actualizar WordPress a la última versión. Esto es necesario.

Ojo:

Espera dos o tres días antes de hacer la actualización. A efectos de evitar ciertos problemas es mejor esperar un poco por si surgen incompatibilidades o pequeños errores en la actualización y así evitar que estos afecten a tu web

Actualizar plugins y temas también es una tarea básica. Estas reformas que WordPress ofrece, suelen usarse entre otros motivos para evitar vulnerabilidades y asi proteger y optimizar tu WordPress.

Ojo:

Infórmate antes de actualizar cualquier wordpress themes.

Una actualización puede provocar pérdidas en aspectos personalizados de tu web.

A no ser que uses un child theme (tema hijo) no es recomendable hacer la actualización a la ligera (hablaremos en otras lecciones ya que es un asunto algo complejo)

Recuerda: Antes de hace cualquier actualización, haz una copia de seguridad.

3. Usuario 

Cambia el nombre de admin que WordPress pone por defecto al usuario.

Si has optado por un hosting que ofrece una instalación automática de WordPress, automáticamente te asignan otro nombre.

Date cuenta que la palabra admin va a ser lo primero que una persona va intentar para acceder a tu CMS. Igualmente olvídate de palabras como administrador o admin123 o algo por el estilo.

4. Contraseña

Cambia el nombre de tu contraseña cada cierto tiempo no esta de más.

No uses solo letras, utiliza también caracteres especiales y numéricos.

Una buena contraseña es algo asi: 7bFuYtjGi*T/@a

5. Correo electrónico:

Intenta no usar el mismo correo electrónico para todo.

Imagínate que con ese correo pueden acceder a tu correo, twitter, Facebook… Nunca se sabe…

6. Contraseñas de tu panel de control de tu servidor

Te debes proteger, no le des tus contraseñas del panel de control o de tu WordPress a nadie.

Si un programador necesita entrar para arreglarte algo, añade en tu WordPress un nuevo usuario y dale acceso temporal.

En el caso que quieras facilitarle el acceso accediendo con las tuyas, cambia de nuevo las claves una vez haya terminado.

7. Certificados de seguridad

Asegúrate de que tu alojamiento (hosting) tiene activado los certificados de seguridad SLL.

Estos certificados son necesarios si en tu web hay una pasarela de pago, formularios, accesos y otros donde la necesidad de proteger datos es fundamental.

Los certificados SLL están orientados sobre todo al ecommerce donde es más que necesario realizar la encriptación de datos pero en cualquier web que tenga registros es necesario también.

Este certificado permite migrar tu web de http a https y el proceso es muy fácil.

8. Privacidad

¿Sabes que con la herramienta whatwpthemeisthat  puedes ver qué tema (theme) está usando una web de la competencia? y no solo eso, nos dice todos los plugins que tiene instalado esta persona.

¿Increible verdad?

A nivel personal esto puede ayudarte a la hora de escoger para tu web un determinado formulario o mejorar aspectos en el diseño de tu sitio.

En determinadas temáticas esto no se esconde y puedes preguntar al profesional que plugin usa y te lo dirá probablemente. Habrá quien a lo mejor no lo haga y sin embargo no tenga cerrado el acceso mediante esta herramienta.

Te interesa leer:

Programas para conocer que themes o plugins utiliza una web

El problema es que tener acceso directo a esta información y que esta pueda caer en malas manos es preocupante.

Estos piratas o piratillas  pueden querer aprovechar algún fallo en tu tema para atacarte o incluso pueden querer usar esta información para clonar tu página.

Quieres ocultar esta información. ¿Cuál es la solución? El mejor remedio es modificar el código html.

En otras lecciones contare como hacerlo ya que es pronto para que te metas en código.

9. El Plugin Security Scanner

Security scanner te ayuda a detector vulanabilidades de tus plugins instalados.

10. Sucuri security

Es un plugin localizador de malwares y una herramienta para reforzar la seguridad.

Lo mejor es contratar un buen hosting que tenga antihackeos , de lo contrario prepárate a ralentizar tu web con tanta instalación de plugins de seguridad.

Los plugins para WordPress son muy necesarios para el diseño y configuración de WordPress úsalos inteligentemente.

11. Sistema Captcha

El sistema captcha es la barrera principal antispam. Esta barrera es como la puerta principal y un plugin como akismet sería la segunda puerta.

El sistema captcha es un sistema para detectar que la persona que esta accediendo a nuestra web mediante sus datos no es un robot. Para ello te pide que insertes manualmente un número o elijas una serie de imágenes.

En algunes sectores no creo que sea acertado. Debes de pensar en la seguridad si, pero también en el usuario.

12. Disqus

Disqus sustituye al original sistema de comentarios de WordPress por defecto.

Opino al igual que el sistema captcha, solo usarlo si es necesario.

Para determinados sectores no puedes pedir a alguien que rellene campos por todo porque en muchas ocasiones se irá.

En un uso medio de los sistemas de seguridad creo que esta el acierto.

Infografía: 12 medidas de seguridad en wordpress

Aquí tienes una infografía con los puntos a tener en cuenta para tener tu web protegida.

Conclusión

No creo que haya que obsesionarse.

Pero con estos consejos quiero que te hagas una idea de que elegir y que no.

Lo que si creo que es necesario es tener unos mínimos de seguridad a la hora de crear un blog para WordPress y principalmente tener un buen hosting para ahorrarte tener que instalar plugins innecesarios.

En los artículos relacionados de abajo tienes la tercera(III) y cuarta(IV y última parte) de configuración de WordPress, síguelas para entender al 100% la herramienta.

Y tu cuéntame;

¿cuales son para ti los mejores plugins de seguridad en este 2016 y que medidas tomas?

¡Compártelo y dame tu puntuación!