Guía de seguridad de WordPress para tu sitio web

En el entorno digital, tanto en plataformas privadas como de código abierto, la exposición a ataques es constante, sin importar el momento del día.

Seguridad en páginas web

En esta ocasión, nos centraremos en abordar estrategias para disminuir los riesgos en tu página web construida en WordPress. Para ello, hemos organizado nueve consejos destinados a fortalecer la seguridad en esta plataforma.

Utilizar contraseñas seguras

Evita que cualquier individuo, en especial aquellos con privilegios de administrador, elija contraseñas que carezcan de seguridad. Aunque pueda parecer una medida obvia, te sorprendería la cantidad de contraseñas comunes, como «admin», «1234» o «qwerty», que siguen utilizándose.

Incluso los usuarios con niveles de acceso más bajos, como los suscriptores, pueden convertirse en puntos vulnerables para ataques. Por lo tanto, es esencial imponer la creación de contraseñas sólidas a todos aquellos que tengan acceso al inicio de sesión en tu sitio de WordPress.

Un reconocido complemento, el plugin de seguridad de WordPress llamado iThemes Security, que cuenta con más de un millón de usuarios, ofrece la capacidad de fortalecer las contraseñas de inicio de sesión, así como la implementación de la autenticación de dos factores. También es factible activar una política de seguridad de contraseñas mediante el plugin Wordfence Security, otro recurso ampliamente utilizado en la comunidad de WordPress.

Incluir certificados HTTPS/SSL

En la actualidad, la gran mayoría de los sitios web han adoptado el protocolo HTTPS. Si tu sitio aún no lo ha hecho, te recomendamos consultar con tu proveedor de hosting acerca de la posibilidad de agregar un certificado SSL gratuito. Muchos servicios de alojamiento ofrecen certificados SSL sin costo alguno, lo que además es un factor bien conocido en el algoritmo de clasificación de Google.

Si estás en el proceso de actualizar tu sitio de un estado no seguro a uno seguro, considera la utilidad del plugin Really Simple SSL, el cual cuenta con más de 5 millones de instalaciones. Este plugin simplifica en gran medida la transición a HTTPS al encargarse de las redirecciones y otras tareas asociadas, mientras también contribuye a mitigar riesgos de seguridad como el clickjacking y otros tipos de ataques al ofrecer opciones de seguridad adicionales.

Es importante tener presente que, después de realizar la migración a HTTPS, resulta aconsejable verificar que ninguna página del sitio siga enlazando a contenido o enlaces HTTP. Esta situación se conoce como contenido mixto y ocurre cuando se accede a enlaces no seguros (HTTP) desde páginas seguras (HTTPS) del sitio. En ambos casos, es crucial detectar y corregir rápidamente los problemas de contenido mixto al reemplazar los enlaces con versiones seguras (HTTPS).

Utilizar un nombre de administrador seguro

Una cifra significativa de ataques de seguridad se focaliza en la pantalla de inicio de sesión de WordPress y tiende a emplear el nombre de usuario «admin». Existen dos tipos fundamentales de ataques que buscan vulnerar las contraseñas de inicio de sesión: Fuerza bruta o Ataque direccionado.

La táctica de fuerza bruta implica que el software de hackeo automatizado intenta adivinar la contraseña del usuario «admin» mediante diversas combinaciones de palabras, letras y números. Por otro lado, el ataque de diccionario se basa en el uso de contraseñas comunes para tratar de descifrar la contraseña de inicio de sesión del usuario «admin».

En muchos casos, este software malicioso se dirige al nombre de usuario de administrador conocido como «admin». Evitar la utilización de la palabra «admin» como nombre de usuario se erige como un paso sencillo que contribuirá a reforzar la seguridad de tu sitio WordPress.

Si deseas intensificar tus medidas de protección, puedes emplear el plugin de seguridad Wordfence para establecer una regla de firewall que bloquee automáticamente cualquier intento de inicio de sesión con el nombre de usuario «admin», tanto por parte de humanos como de bots.

Actualizar plugins y temas

Ciertas actualizaciones en WordPress, como las de plugins, temas y la base misma del sistema, desempeñan un papel fundamental al corregir vulnerabilidades, efectuando parches para garantizar la seguridad. La falta de actualización de estas partes del software puede exponer el sitio a riesgos.

La mayoría de las actualizaciones transitan sin problemas. En escasas ocasiones, una actualización puede generar cambios en el software que, al interactuar con otro plugin o tema, desencadenan conflictos y ocasionan la inoperancia del sitio. En tal caso, la restauración del sitio a un estado previo es sencilla siempre y cuando cuentes con una copia de seguridad.

Otra opción es configurar la actualización automática de todos los plugins, lo cual te eximirá incluso de considerar esta tarea. En caso de que surja un problema, la solución radica en devolver el sitio a su estado anterior mediante la restauración de una copia de seguridad.

Realizar copias de seguridad de tu sitio web

Realizar respaldos diarios de un sitio web resulta de vital importancia. Existen numerosos escenarios que pueden desencadenar problemas, ya sea por la instalación de un nuevo plugin o la inserción de algún fragmento de código, y en tales circunstancias, contar con una copia de seguridad se erige como el recurso salvador ante eventos catastróficos que puedan afectar al sitio.

Autenticación en dos pasos

La autenticación de dos factores recibe su nombre debido a que se requieren dos métodos de identificación para acceder a un sitio de WordPress con esta característica habilitada. El primer método consta del nombre de usuario y la contraseña. El segundo método se compone de una segunda forma de autenticación, generalmente a través de una aplicación como Authy o Google Authenticator, alojada en el teléfono móvil del usuario. Por consiguiente, inclusive si un intruso logra obtener el nombre de usuario y la contraseña, no podrá acceder sin completar la segunda fase de autenticación.

Usar menos plugins

Cada vez que incorporas un plugin, incrementa la probabilidad de que uno de ellos pueda introducir una vulnerabilidad en tu sitio. Antes de proceder con la instalación, es importante prestar atención al número de instalaciones existentes y a la fecha de la última actualización.

Más allá de las consideraciones de seguridad, la excesiva utilización de plugins puede impactar en el rendimiento del sitio y aumentar las posibilidades de que el código de dos o más plugins colisione, generando un bloqueo.

Opta por evitar los plugins de propósitos múltiples. Algunos complementos pueden llevar a cabo múltiples funciones, cuando en realidad solo necesitamos una de ellas. En su lugar, procura instalar un plugin específicamente diseñado para atender esa necesidad concreta que tienes.

Usar un plugin de seguridad

Los plugins de seguridad desempeñan un papel valioso al sellar posibles brechas de seguridad y obstaculizar los intentos de hackers que buscan aprovecharse de esas vulnerabilidades. Wordfence emerge como una elección popular en la esfera de la seguridad para sitios WordPress, respaldada por más de 4 millones de instalaciones activas. En esta misma página web, hacemos uso de Wordfence para prevenir la proliferación de comentarios no deseados.

Funcionando como un firewall, Wordfence despliega una defensa para salvaguardar un sitio web contra potenciales ataques de hackers, con la capacidad de bloquear tanto bots automatizados como hackers reales en tiempo real, si su actividad se asemeja al comportamiento típico de un atacante.

Además de su función de protección, Wordfence refuerza la seguridad de un sitio al ofrecer autenticación de dos factores y desactivar la ejecución de códigos PHP en directorios donde su presencia no debería ser permitida. Es relevante tener en cuenta que también existe una versión de pago, al igual que en la mayoría de los plugins.