WordPress es el sistema de gestión de contenido más popular (CMS). Los problemas de seguridad de WordPress son una parte esencial de los usuarios de WordPress. Pero esta popularidad tiene un precio. Los sitios web inseguros de WordPress pueden ser un objetivo fácil para los piratas informáticos que buscan aprovechar las vulnerabilidades conocidas para su ventaja.
Después de una instalación nueva, WordPress es 99.99999% seguro. Pero puede volverse vulnerable a medida que pasa el tiempo y a medida que escala su sitio web, emplea complementos o temas y lleva el tráfico a la línea.
Tenga en cuenta que la seguridad de WordPress se trata de la reducción de riesgos, no de la eliminación del riesgo. Dado que el riesgo nunca desaparecerá, mantener la seguridad de su sitio web de WordPress siempre necesitará una evaluación regular de las rutas de ataque y los peligros potenciales.
En este artículo, discutiremos los entresijos de los problemas de seguridad de WordPress y las pautas sobre los pasos que puede seguir para proteger su sitio y su tráfico de piratas informáticos y malware.
¿Por qué es importante la seguridad de WordPress?
Si desea mantener sus sitios web seguros, debe protegerlos contra malware, phishing y ataques DDoS. Los ingresos y la reputación de su empresa podrían sufrir significativamente por un sitio web comprometido de WordPress. Los piratas informáticos pueden instalar software peligroso, difundir malware a sus usuarios y robar contraseñas e información de usuario.
Peor aún, es posible que deba reembolsar a los delincuentes por su ransomware para obtener acceso a su sitio web. Además, Google incluye una lista negra de 20.000 sitios web cada semana para malware y más de 50.000 para phishing. La seguridad de WordPress es algo de lo que debes tener cuidado adicional si tu sitio web es un negocio.
Como propietario de un negocio en línea, debe salvaguardar el sitio web de su empresa, en el mismo sentido, como los propietarios de tiendas físicas deben salvaguardar sus establecimientos.
¿Qué tan seguro es la seguridad de WordPress?
La mayoría de la gente está de acuerdo en que WordPress es un sistema de gestión de contenido seguro. Pero al igual que otros CMS, si no inviertes para asegurar tu sitio web, puede estar abierto a ataques. No se puede evitar el hecho de que los sitios web impulsados por WordPress son con frecuencia el objetivo de los hacks.
Un servicio de firewall llamado Wordfence detuvo la asombrosa cantidad de 18.500 millones de solicitudes de asalto de contraseña en los sitios web de WordPress, según su informe de seguridad de WordPress.
Recuerda que WordPress creó el 43% de Internet. Incluso teniendo en cuenta la cuota de mercado de WordPress, aproximadamente veinte mil millones de ataques siguen siendo significativos.
Ahora que conoces los detalles, volvamos un poco. Tenga en cuenta que estos números no son culpa de WordPress antes de eliminar su cuenta de WordPress. Más bien, para ser más precisos, hay un problema con el software de WordPress.
Como resultado, hay acciones que usted, como usuario responsable, puede tomar para respaldar las iniciativas de seguridad de WordPress. WordPress cuenta con un gran equipo de seguridad de investigadores e ingenieros de élite que buscan debilidades en su sistema. Para que puedan abordar cualquier problema antes de que un hacker tenga acceso a él.
Además, el equipo de seguridad actualiza su software regularmente con parches de seguridad. La forma en que WordPress pone a disposición de los usuarios puede causar problemas para los sitios de WordPress. El uso de software de código abierto tiene varias ventajas, incluida la capacidad de optimizarlo, la personalización infinita y la accesibilidad para todos los usuarios. En consecuencia, decenas de miles de desarrolladores han producido temas y complementos que amplían en gran medida la capacidad de esta plataforma.
¿Cuáles son algunos problemas comunes de seguridad de WordPress?
Entonces, ¿qué sucede si no toma ninguna acción para proteger su sitio web de WordPress e ignora las estadísticas? Resulta que es posible mucho. Estos son algunos de los tipos más típicos de ataques cibernéticos que se dirigen a los sitios web de WordPress.
Intentos de inicio de sesión de fuerza bruta
Este tipo de ataque es uno de los más sencillos. Sucede cuando un sistema automatizado ingresa rápidamente a muchas combinaciones de nombre de usuario y contraseña para adivinar las credenciales correctas. No solo se puede acceder a los datos de inicio de sesión, sino a cualquier dato protegido por contraseña mediante la piratería informática.
Scripting entre sitios (XSS)
El ataque XSS viene a continuación. Este tipo de ataque ocurre cuando un hacker "inyecta" código dañino en el backend del sitio web objetivo para robar datos y deteriorar severamente la funcionalidad del sitio web.
Puede agregar el código al backend con más complejidad. O bien, el usuario puede enviarlo como una respuesta directa a un formulario visible. Cuidado con esto.
Inyecciones de base de datos
Este tipo de ataque también se conoce como inyección SQL. Sucede cuando un hacker usa la entrada del usuario como un formulario de contacto para cargar una cadena de código malicioso en un sitio web.
Después de eso, el sitio web mantiene el código en su base de datos. De manera similar a un ataque XSS, el sitio web ejecuta código malicioso para obtener o comprometer datos privados almacenados en una base de datos.
puertas traseras
Una técnica de ataque común también es una puerta trasera. Contiene un código que permite a un hacker pasar el proceso de inicio de sesión estándar de WordPress y acceder a su sitio web cuando lo desee.
Las puertas traseras suelen estar ocultas entre otros archivos fuente de WordPress por parte de los atacantes, lo que hace que sea difícil para los usuarios novatos localizarlos. Los atacantes pueden crear nuevas versiones de esta puerta trasera y usarlas para evitar su inicio de sesión incluso después de desactivarla.
Denegación de servicio (DO)
Ataques con denegación de servicio (DoS) El siguiente tipo de asalto es uno popular llamado ataque de denegación de servicio. Las personas autorizadas no pueden acceder a ciertos sitios web debido a estos ataques.
La forma más común de que ocurran los ataques de DOS es cuando un servidor está sobrecargado de tráfico, lo que provoca un bloqueo. Cuando numerosas máquinas lanzan simultáneamente un asalto de denegación de servicio (DDoS) distribuido, las consecuencias se agravan.
fusil
El phishing es un término con el que quizás ya estés familiarizado. Sucede cuando un hacker se pone en contacto con un objetivo fingiendo ser un negocio o servicio de confianza. Los intentos de phishing generalmente le piden a la víctima que descargue el software.
Proporciona información personal, o incluso visitar un sitio web arriesgado que podría dañar su computadora. Un atacante puede incluso planificar ataques de phishing contra sus clientes haciéndose pasar por usted si logra acceder a su cuenta de WordPress. No es excelente para la reputación de su empresa, como probablemente pueda entender.
enlace caliente
Hotlinking es la práctica de tener contenido (generalmente una imagen) que se encuentra en su sitio web. Se muestra en otro sitio web sin permiso, dando la impresión de que el contenido es original.
Por lo general, ilegal, hotlinking pone a la víctima en una situación difícil porque tienen que pagar cada vez que se copia el contenido de su servidor y se muestra en otro sitio web. Se parece más al robo que a un asalto grave.
complementos
la mayor parte de Seguridad de WordPress Las fallas son el resultado de complementos de terceros. No debe descartar ninguno de ellos, aunque brindan algunos extras geniales que mejoran el funcionamiento de su sitio web.
Los complementos son una forma típica de que los piratas informáticos interfieran con el funcionamiento de su sitio web porque los terceros los desarrollan y les brindan acceso al backend.
Versión de WordPress obsoleta
WordPress a veces lanza nuevas versiones de su software para parchear las vulnerabilidades de seguridad. Cuando se presentan soluciones, las vulnerabilidades se convierten en conocimiento público y los problemas con las versiones antiguas de WordPress a menudo son atacados por los piratas informáticos. Puede evitar este problema manteniendo su sitio actualizado.
La página de inicio de sesión
La página de inicio de sesión de back-end para cualquier sitio web de WordPress, de forma predeterminada, es la URL principal del sitio con "/wp-admin" o "/wp-login.php" agregado al final.
Los atacantes pueden encontrar fácilmente esta página e intentar una entrada de fuerza bruta. Al mantener sus contraseñas variadas y complejas, puede evitar las probabilidades de que un pirata informático adivine las suyas con precisión.
Temas anticuados
Su tema de WordPress puede abrir su sitio a ciberataques. Los temas obsoletos pueden ser incompatibles con la versión más reciente de WordPress, lo que permite un fácil acceso a sus archivos de origen.
Además, muchos temas de terceros no siguen los estándares de código de WordPress, lo que provoca problemas de compatibilidad y vulnerabilidades similares. Una vez más, investigue antes de agregar un tema a su sitio.
Mejores prácticas de seguridad de WordPress: 15 problemas de seguridad de WordPress que debes cuidar:
1. Asegure sus procedimientos de inicio de sesión
Dado que juega un papel importante en el mantenimiento de la seguridad de su sitio web, este es el primer paso. Mantener la seguridad de sus cuentas contra intentos de inicio de sesión no autorizados es el primer y más importante paso en la seguridad del sitio web.
2. Usa contraseñas seguras
Aunque pensamos que los automóviles volarían en el futuro, la gente todavía usa "123456" como contraseña este año. Todos los usuarios que tengan acceso al backend de su sitio de WordPress deben iniciar sesión con contraseñas seguras.
Para todos los demás usuarios, incluso una sola contraseña débil podría ser problemática. Para crear contraseñas seguras y administrarlas por usted, puede que desee utilizar uno de los administradores de contraseñas que sugerimos.
3. Habilite la autenticación de dos factores
Los usuarios que utilicen autenticación de dos factores (2FA) deben utilizar un segundo dispositivo para confirmar su inicio de sesión. Esta es una de las técnicas más fáciles pero más poderosas para proteger su inicio de sesión, y funciona.
4. Limite los intentos de inicio de sesión
Estás salvaguardando tu sitio web al limitar la cantidad de veces que un usuario puede ingresar credenciales incorrectas. El CMS bloqueará a los usuarios si intentan iniciar sesión con demasiada frecuencia, evitando intentos de inicio de sesión de fuerza bruta. Para manejar este deber, puede instalar un plugin como Limite los intentos de inicio de sesión. Sin embargo, algunos servicios de alojamiento y firewalls pueden manejarlo por usted.
5. Agregar un captcha
Si esto le parece familiar, probablemente se deba a que muchos otros sitios web han utilizado esta función de seguridad. A través de su verificación de su identidad como individuo vivo, mejoran la seguridad de su inicio de sesión. Los complementos se pueden usar para incorporar un captcha en su sitio web.
6. Habilite la sesión automática
Y, por último, si está utilizando una computadora pública, tenga mucho cuidado cuando se trata de cerrar la sesión. En el caso de que no pueda cerrar sesión, Auto-Clock Out evita que los usuarios no autorizados lo rastreen. Utilice el complemento de cierre de sesión inactivo para configurar la sesión automática de su cuenta de WordPress.
7 Actualizar versión de WordPress
Las versiones más antiguas de software de WordPress son un objetivo principal. Asegúrese de verificar e instalar actualizaciones de WordPress con frecuencia lo antes posible para reducir las vulnerabilidades para evitar este problema. Realice una copia de seguridad de su sitio web y confirme que sus complementos son compatibles con la versión más reciente de WordPress antes de actualizar a la versión más antigua del software. Además, es posible que deba actualizar sus complementos.
8. Uso de certificaciones SSL (Secure Socket Layers)
Los certificados SSL son el estándar de facto para todo tipo de transacciones seguras en línea. Las empresas de alojamiento los suministran de forma gratuita, e incluso puede comprarlos para garantizar transacciones web muy seguras. La redirección de HTTPS es otro plugin clave que garantiza la tecnología de cifrado entre el servidor y el cliente. Como resultado, todos los datos transmitidos entre su sitio web y el navegador del cliente están encriptados.
9. Instale el complemento de seguridad
Puede mantener su sitio seguro utilizando varios complementos de seguridad de WordPress. Elige el Los mejores complementos de seguridad de WordPress para sus necesidades e instálelas en el sitio.
10. Garantizar la seguridad de la base
La seguridad de la base de datos de WordPress es crítica. Puede hacer que su sitio sea seguro utilizando un nombre de base de datos inteligente e inconcebible. La mayoría de ellos tienen el prefijo "WP" en sus nombres. Cámbialo a algo como "12ab_" para evitar la atención de los hackers. Permita que un profesional técnico o un desarrollador de WordPress supervisen Seguridad de la base de datos.
11. Usa temas y complementos de confianza
WordPress ofrece varios temas y plugins, que también son regiones de alto riesgo. Los propietarios de sitios web deben agregar complementos después de realizar una investigación exhaustiva y tal vez comprarlos de desarrolladores de renombre.
Para evitar peligros, mantenga actualizados los temas y los plugins. Cualquier sitio web debe evitar el uso de componentes desactualizados. Las copias de seguridad regulares de todo el sitio son fundamentales para todos los sitios web de WordPress.
12. Elija el mejor proveedor de servicios de alojamiento web
Es importante seleccionar un servicio de alojamiento web que maneje reserva, tiempo de actividad, seguridad a nivel de servidor y otras funciones para una seguridad efectiva del lado del servidor.
Proporciona desde la ayuda de codificación hasta las medidas de seguridad. Los sitios web más pequeños también deben seleccionar una empresa de alojamiento eficiente que se ocupe de la seguridad del servidor.
13. Depende del firewall de la aplicación web
El firewall de aplicaciones web evita el mal comportamiento de cualquier tipo, incluida la piratería y monitorea el tráfico para detectar cualquier cosa sospechosa en la red.
Este cortafuegos mantiene a raya a los spammers y hackers. Esta precaución de seguridad del sitio web de WordPress requiere una tarifa de suscripción mensual, pero vale la pena.
14. Asegura una conexión segura en el sitio de WordPress
Cualquier transferencia de archivos o datos debe realizarse a través de redes excepcionalmente seguras. En este caso, solicite que su proveedor de alojamiento implemente Protocolos SFTP o SSH. Son superiores a FTP.
15. Ocultar la página de inicio de sesión de administrador
La cadena de URL común “/wp-admin” o “/wp-login.php” permite a los atacantes monitorear su Inicio de sesión de WordPress página fácilmente. El mejor enfoque para evitar que se unan a su sitio es ocultar la página de inicio de sesión de administrador utilizando complementos como WPS Hide Login.
Aquí hay algunos pasos que puede seguir:
- Endurecer el archivo de configuración de los atacantes: Puede mantener seguras las claves de seguridad y información críticas para proteger el archivo wp-config.php de posibles atacantes.
- Usar plugins de esca: WPScan se utiliza para escanear archivos, complementos y temas principales. Este es un enfoque de seguridad simple que funciona bien para sitios pequeños.
- Ocultar la versión de WordPress: El mejor enfoque para guardar su sitio de WordPress es mantenerlo fuera del alcance de los piratas informáticos. Si se dan cuenta de que la versión está desactualizada, comenzarán sus operaciones ilegales. Por lo tanto, es vital mantenerlo oculto.
- Depende del encabezado de seguridad HTTP: Los encabezados de seguridad llevan información para ayudar a los navegadores a manejar el contenido del sitio. Escanee su sitio web con el seguridadheads.com Herramienta para determinar qué encabezados de seguridad HTTP están presentes.
- Sea regular con las copias de seguridad: Las copias de seguridad son esenciales para mantener el sitio actualizado. Puede habilitar actualizaciones automáticas. Esto es algo que su equipo o proveedor de alojamiento puede hacer por el sitio. Si su servicio de alojamiento no ofrece copias de seguridad, puede utilizar los servicios de copia de seguridad de WordPress por un cargo mensual. Algunos de los servicios de respaldo de WP más populares incluyen bóveda y BloqueBóveda.
Complementos de seguridad de WordPress
1. DESCARGA SIGUIENTE3
Next3 Offload es uno de los mejores complementos de seguridad de WordPress basados en la nube que protegen su base de datos.
Este complemento puede Optimice la carga de activos del sitio web y reduzca el tiempo de carga Al descargar archivos de WordPress de la biblioteca multimedia de WordPress a la nube, incluyendo Amazon S3, Espacios digitalesOcean, Conejito CCNy nube de wasabi.
Funciona increíblemente rápido con Amazon CloudFront, Cloudflare y otros CDN y reescribe las URL multimedia al instante.
2. sucurista
más Plugin de seguridad de WordPress popular es el complemento sucuri. Los pasos preventivos para fortalecer la seguridad en las secciones vulnerables de su sitio web se conocen como soluciones de endurecimiento de la seguridad. Este complemento verifica las configuraciones seguras e implementa un conjunto de reglas en el sitio web .htaccess archivo
Por cada alerta que genera el complemento, puede cambiar el remitente y los destinatarios mediante el correo electrónico. Se le informará de cualquier actividad inusual en su sitio web a través de estas alertas.
El complemento de WordPress de Sucuri viene con herramientas para verificar la integridad de los archivos adicionales incluidos con su versión original de WordPress, además de los archivos principales de WordPress (PHP, JavaScript y CSS).
Para una protección mejorada, puede utilizar la función de Firewall de Sucuri Firewall (WAF) para vincularlo al Debe tener complementos de WordPress para todos los sitios web.
idea de narración
Dado que WordPress es una plataforma de código abierto, usted, como propietario del sitio web, es el responsable en última instancia de la seguridad del sitio web.
Un sitio web de WordPress es vulnerable a la infección si descuida las actualizaciones, los nombres de usuario, las contraseñas y las copias de seguridad.
Recuerde estas precauciones de seguridad incluso si usted no es el encargado de la gestión técnica de su sitio web. Averigüe los pasos que está tomando para proteger su sitio web preguntándole a su desarrollador o agencia.
La seguridad para WordPress puede ser un desafío. Por lo tanto, debe mantener una guía completa para proteger su sitio web.
Esperamos que este artículo le brinde una solución perfecta para proteger su sitio.
Si te gustó este artículo, suscríbete a nuestro youtube canal Ofrecemos tutoriales en vídeo de WordPress. También puedes seguirnos en incógn y Facebook Para mantenerse al día con las últimas actualizaciones, noticias y ofertas especiales.
