181 | Los 4 pilares de la seguridad en WordPress (sin locuras técnicas)

En el episodio 181 de WordPress Semanal te hablo de los 4 factores fundamentales para tener una web con WordPress lo más segura posible. Vamos allá. Hola hola. Soy Gonzalo de GonzaloNavarro es y bienvenidos a WordPress Semanal, el podcast en el que aprendes WordPress de principio a fin, porque no hay mejor inversión que la de crear y gestionar tu propia web con WordPress. Así que quédate conmigo durante estos minutos porque vamos a hablar de los cuatro pilares fundamentales de la seguridad en WordPress. Voy a intentar hablar de ello con los menos tecnicismos posibles y que termines este episodio con una idea muy clara de cuáles son los grandes bloques en los que te tienes que fijar o a los que les tienes que prestar atención, pero para minimizar las posibles vulnerabilidades en términos de seguridad de tu web. Así que en un momentito te hablo de esos cuatro pilares, pero antes vamos a hablar de las novedades qué está pasando en GonzaloNovarro es esta semana. Y como cada semana tenemos un nuevo vídeo de la Zona Código, que en este caso va sobre un recurso muy útil del CSS que se conoce como Clear Fix y que sería básicamente hacer un aclarado. Y esto se suele utilizar cuando trabajamos con columnas, ya sea que las hemos creado nosotros por CSS o que en nuestro thing o en alguna cosa que usemos se crean de forma automática. Y hay veces que pasa algo, que es que al hacer la pantalla más pequeña y esos contenidos que están en columnas pasan a estar unos debajo de otros, si no hacemos un aclarado, corremos el riesgo de que el contenido que está inmediatamente después de esas columnas vaya ocupando un espacio que no debería de ocupar. Es un poco difícil explicarlo así hablado, pero si te ha pasado seguro que entiendes a lo que me refiero y. Y si bien con la mejora del CSS y con la entrada de CSS más moderno como puede ser CSS Grid o Flexbox, esto cada vez se va a ver menos y cada vez va a haber que utilizarlo menos, pero sigue siendo un recurso súper interesante. Y por eso utilizamos esto de Clear Fix, que es básicamente hacer un aclarado e impedir que esos espacios que van dejando a lo mejor columnas, que imagínate que si tú tienes contenido en tres columnas, pero cuando se va haciendo responsive vas haciendo pantallas más pequeñas, pero pues como digo, se va metiendo el contenido uno debajo del otro, puede que algo se te cuele ahí y que rompa un poco la estructura de tu web o del diseño que tengas en ese momento. ¿Pues bien, os voy a enseñar la mejor forma de hacer un clear fix, porque hay varias formas de hacerlo, pues en la que menos código necesitas y la que más fácil te va a ser de aplicar, independientemente de que puedas acceder al código de cómo se han hecho esas columnas o no, de acuerdo? Es algo que te va a valer para casi todas, casi todas, casi todos los supuestos en los que te veas con este problema. Este es el vídeo 132, ya sabéis que está incluido, es para todos los suscriptores. La zona código, pues es ese lugar donde os enseño a modificar vuestra web por código sin utilizar plugins y además lo hacemos de una forma muy sencilla. En el vídeo os enseño cómo funciona el código que os dejo, el cual simplemente tenéis que copiar y pegar donde os digo, es decir, tampoco necesitáis tener conocimientos de código porque yo os voy guiando y os voy diciendo lo que tenéis que hacer con ese código. Si sois suscriptores y queréis acceder, pues gonzalonabarro es códigos, ahí tenéis los últimos todos, vamos, toda la relación de vídeos que ya son 132 y si queréis ir en concreto a este, pues GonzaloNabarro es códigos 132 y seréis redirigidos al vídeo en cuestión. Fantástico. Más novedades y tenemos el curso del mes, que es una renovación de uno de los cursos más populares de la web, que es el curso de seguridad en WordPress, que está renovado casi al 100% o he incluido a lo mejor más vídeos en lecciones que me parece que estaban quizás incompletas, he rehecho vídeos para darle una aproximación más útil, más sencilla. En la primera versión de este curso de seguridad lo que hice fue intentar daros muchas opciones de código para proteger vuestra web, pero realmente le he querido dar una vuelta y lo he querido enfocar como todo lo que necesitas para tener una web segura y ya después si quieres ir incluyendo más cosas porque tengas necesidades específicas o porque quiera reforzar algunos aspectos u otros, pues muy bien, pero sí que he querido daros esa base más sencilla de implementar y que va a imponer menos desde el punto de vista técnico. Y creo que en ese sentido el curso ha mejorado mucho, por supuesto, pues como digo hay vídeos totalmente nuevos y tenéis dos aproximaciones, una, proteger vuestra web a través de código, vosotros mismos ponéis el código, incluso os enseño a crear vuestro propio plugin de seguridad donde ir metiendo todas las funciones o las modificaciones que queráis hacer a vuestra web a través de código de nuevo para protegerla. Y luego tenemos una aproximación para un usuario que no quiera necesariamente tener que lidiar con código, aunque sepas usarlo, pero hay muchas veces que es más cómodo simplemente teniendo un plugin completo de seguridad que ofrezca prácticamente todo lo necesario, pues también lo tenéis a vuestra disposición. En concreto vemos tres de los más populares, iThem Security, Wordfence y Sucuri Security. Yo quizás al final en líneas generales me gusta recomendar ithem Security porque es muy fácil de utilizar, ya cuando lo instalas prácticamente te trae todo lo necesario para las grandes medidas que se suelen hacer en términos de seguridad y luego pues tú puedes ir añadiendo otras si quieres, pero por supuesto si utilizáis otra solución porque os es más cómoda o porque la conocéis mejor, pues no hay problema, pero al que normalmente viene de primeras y no ha utilizado nunca ninguno, suelo recomendar a itim Security por su facilidad de uso. Así que tenéis el enlace a este curso en las notas del programa. Y una vez vistas las novedades, vamos con el plugin de la semana, que es para precargar contenidos y conseguir así una mejor experiencia de usuario. El plugin se llama Instant Page y básicamente lo que hace es añadir un trocito de JavaScript al final de tu web para que cuando tus visitantes pasen el ratón por encima de cualquier enlace ya se empiece a cargar ese contenido, esa URL se detecta y empieza a cargarlo por detrás, así cuando el usuario haga clic, la página ya está, ya estará o total o parcialmente cargada y y eso va a dar una sensación de que carga muchísimo más rápido. Y realmente como digo, este plugin puedes usar el plugin o puedes usar el código directamente, porque digamos han creado un plugin para facilitártelo, que lo instalas en WordPress y ya está, pero si te vas a la página oficial de Instant Page verás que tienen el código, es un código JavaScript que lo copias, lo pegas antes del cierre del body de tu web, que si usas algún plugin para pegar scripts o por ejemplo, si usas Genesis ya te trae la opción de pegar código en el header o antes del footer o como sea que tú pegues este tipo de scripts, pues lo puedes hacer. Y si no, pues simplemente instalas este plugin que tampoco te va a hacer, te va a impactar más en el rendimiento más allá de este trocito de código de JavaScript que digo. Y es una muy buena opción, de nuevo, para que mejore la experiencia de nuestros usuarios. Seguramente no notes impacto si lo que quieres es sacar más puntuación en Google Page Speed o en GT Metrix o en estas, seguramente no tenga ningún impacto, pero sí tus visitantes, que es lo importante, lo van a notar, lo tenéis en las notas del programa, recordad que este es el episodio 181 y podéis ir de forma muy rápida si escribís en vuestro navegador Gonzalo es fantástico. Pues ahora ya sí, vamos con el tema central, los cuatro pilares de la seguridad en WordPress. Y el primero de ellos es sentido común y ajustes sencillos. Básicamente, si entiendes cómo funcionan las actualizaciones en WordPress, tienes mucho ganado. Habrás escuchado, si estás en esto de WordPress, te escucha, te gusta informarte sobre ello y demás, pues todo el mundo te dirá tienes que tener tu web actualizada, pues porque así tendrás mejoras, evitarás problemas de seguridad y todo esto es verdad. Pero si encima entiendes que sobre todo esto pasa porque al igual que cuando en una actualización se dice que tú puedes leer la información, cuando hay una actualización disponible de cualquier cosa de WordPress, del core o de los plugins o de los themes, hay una descripción, lo que pasa que la mayoría de la gente no la lee, pero puedes leer la descripción y puedes leer los cambios que vas a tener en esa actualización, pues si por ejemplo esa actualización lo que está haciendo es resolver una brecha de seguridad, que muchas veces la descubren, pues empresas que se dedican a la seguridad en WordPress como Sucuri, siempre están viendo qué pasa con WordPress, a ver si hay algún problema y si lo hay, pues avisar para que se solucione, pues al igual como digo que tú puedes ver esa información, un hacker o un bot preparado para leer toda esa información también puede hacerlo. Por eso es tan importante actualizar la web, porque si se lanza una actualización que dice esto corrige una vulnerabilidad en tal, tal, tal de WordPress, pues si tú no lo actualizas vas a tener esa vulnerabilidad y además el hacker o el bot preparado para investigar tu web se va a dar cuenta que tú tienes una versión antigua de la web que es vulnerable y va a intentar atacar esa vulnerabilidad. De ahí la importancia de tener WordPress siempre actualizado. No es actualizar por actualizar, es actualizar con un sentido. ¿Más cositas, como WordPress requiere este mantenimiento, este estar encima de las actualizaciones y ver qué pasa aquí, allá, pues por qué no eliminar todo aquello que no uses? Si hay themes que no usas, elimínalos. Si hay plugins que no usas, elimínalos. No solo déjalos desactivados, sino elimínalos, porque te darás cuenta que los que tienes desactivados también hay que actualizarlos. Pues entonces, para evitar tener que estar manteniendo cosas que no usas, elimínalas. Si da igual, si cuando lo quieras volver a utilizar no tienes más que añadirlo, sí, acostúmbrate a eso. Si adoptas una mentalidad de minimalismo en cuanto a lo que tienes dentro de tu web, a los contenidos, las extensiones y. Y en general a todo se refiere, al final te va a ir mejor porque vas a tener como digo, que mantener menos cosas y pues si hay menos cosas, menos riesgo de que algo vaya mal. Seguimos con el sentido común y es si en su momento no pudiste elegir un usuario, una contraseña fuerte o por lo que sea, no pusiste un usuario y una contraseña fuerte, pues es momento de cambiar ese usuario y esa contraseña y hacerlos fuertes de verdad. Y para que os hagáis una idea de la importancia de esto, os voy a dejar un vídeo en los del canal de YouTube de Sukuri en el que te enseñan cómo hacen los hackers para hackear los passwords en WordPress y vais a ver lo sencillo que es. Para ello simplemente tienen que irse a GitHub, descargarse una lista de los passwords y los admins o los nombres de usuario más comunes, cargar un pequeño script y automáticamente ese script hace un repaso por todas las webs con WordPress que encuentre y prueba todas las combinaciones posibles con esos nombres de usuario y con esos passwords. El vídeo es muy cortito, os lo recomiendo que lo veáis para ver lo fácil que lo tiene cualquiera para poder hacer eso. Por eso, algo muy fácil de conseguir y que te va a ahorrar seguramente un problema gordo es eso, es cambiar simplemente tu usuario y contraseña y ponerlos difíciles, no poner el mismo nombre de tu web, no poner el típico usuario admin, no poner los típicos usuarios que generan los hostings cuando creas una web con su constructor o con su generador de webs con WordPress automático, contraseñas que no vayan a ser las típicas de 1234, si puedes poner caracteres raros y demás, pues hacerlo. ¿De acuerdo? Que ya sé que se dice mucho y parece una tontería, pero si veis el vídeo que os digo os vais a dar cuenta de lo importante que es hacer esto. Sí, Y dentro de este primer punto de cosas de sentido común y que realmente son ajustes sencillos que podéis implementar, pues por ejemplo los ajustes de WordPress, podéis hacer por ejemplo no desmarcar la casilla de enviar pinbacks y trackbacks porque eso permite o puede llegar a ser un foco por el que te puedan entrar si hay algún tipo de vulnerabilidad, así que es mejor tenerlos desactivados. También algo que es muy fácil que hagáis es que vayáis a vuestro hosting y comprobéis que tenéis, pues si no la última versión de PHP, la inmediatamente anterior, es decir, tener las versiones de PHP actualizadas. También es interesante que sepáis descartar plugins y themes que sean potencialmente peligrosos. A mí me gusta siempre echar un vistazo al desarrollador que ha hecho el plugin, ver si tiene otros plugins, ver por supuesto si el plugin está siendo actualizado regularmente, irme a la pestaña de soporte y ver si el desarrollador o la empresa que está detrás de ese plugin está encima del soporte y si no lo está, dentro de WordPress muchas veces también fíjate porque ponen no damos soporte al plugin a través de WordPress. Org, pero si vais a nuestra web, sí damos soporte, pues ir a su web y comprobar, preguntarles algo y comprobar si verdaderamente le están dando soporte, porque eso va a querer decir que están encima del plugin y si hay algún problema lo van a actualizar. Todo eso hay que tenerlo en cuenta cuando instalamos plugins y themes. Por supuesto no descargarte plugins y themes premium de estas páginas que te los dan de forma gratuita sin nada a cambio, sin aparentemente nada a cambio, que ellos lo que hacen es coger el plugin inyectarles o meterles un archivo que después cuando tú instales ese plugin o ese thin pirata, ese archivo crea una puerta de atrás, backdoor que se llama, que va a permitir al hacker entrar cuando quiera en tu web y lo que te hacen es, pues normalmente te ponen anuncios para llevarse ellos dinero o te hacen un montón de cosas que además tú no te das cuenta porque lo hacen para que tú no lo veas o tardes mucho en darte cuenta y seguramente se dé cuenta antes Google y te cierren la web o se dé cuenta antes tu hosting y te la bloquee, sobre todo si estás en un hosting compartido para no afectar al resto de personas, de usuarios. Así que eso es importante. Si alguna vez tenéis dudas a este respecto, contactadme desde vuestra pestaña de soporte y os ayudo, os digo si es una fuente fiable o no, o si es un plugin fiable o no. Sí, pues este primer pilar que le he dedicado unos buenos minutos, porque a pesar de ser algo de sentido común y de ser cositas sencillas, es la base, si tienes esto tienes mucho ganado y fíjate que no has tenido ni que instalar plugins de seguridad, ni que meter nada de código ni nada, simplemente son pues eso, sentar unas bases que esto ya además te va a dar el mindset, te va a dar una forma ya de pensar sobre la seguridad en WordPress con la que tendrás mucho ganado. Pues como digo, una vez visto este primer pilar, vamos con el siguiente, que ya a partir de aquí los siguientes pilares sí tienen que ver con protección en sí misma y seguridad en sí misma. Y el segundo gran pilar sería el bloqueo de acceso a archivos sensibles. Hay archivos muy importantes dentro de nuestra web como pueden ser el WP config o el. Htaccess que tenemos y podemos proteger de forma relativamente sencilla, ya sea que lo hagamos por código, que por supuesto lo vemos en el curso, o que lo hagas con uno de los grandes plugins de seguridad como itheem Security. Como digo, te trae la opción de proteger estos archivos tan importantes. Otra opción interesante desde el punto de vista de bloquear el acceso a archivos sensibles sería impedir el acceso a archivos desde el navegador. Que tú dices, ¿Cómo va la gente a poder acceder a los archivos de mi web desde el navegador? ¿Para eso habrá que entrar por FTP? Bueno sí, pero si tú no tienes puesta un bloqueo a esto, te puede pasar que si por lo que sea, tu archivo index php se rompe o lo nombras mal o hay algún problema, se va a ver en el navegador, se va a ver un árbol con los archivos de tu web, porque el navegador al no conseguir localizar ese index te muestra un árbol con los archivos. Pues bueno, esto es muy recomendable por supuesto impedirlo, si bien luego no se va a poder navegar o no se debería de poder navegar o acceder a ello, si pinchas en uno de ellos es peligroso porque bueno, punto número uno, están viendo todos los archivos de los que se compone tu instalación de WordPress, así que esto lo puedes impedir de nuevo, ya sea por código, ya sea con una solución más completa en forma de plugin de tipo firewall como el que te comento de item security o wordfence o alguno de estos. Más cositas, En lo relativo a archivos sensibles, puedes bloquear archivos de instalación, es decir, que se usan cuando instalas WordPress y que se quedan ahí pero luego nunca más vas a usar, y esos archivos tienen información que no vas a querer que pueda acceder nadie a ellas y que ya no van a servir para nada, así que si no sirven pues los puedes bloquear tranquilamente. Hay gente que dice que los elimines, pero es una tontería porque cuando vuelvas a actualizar WordPress te van a volver a aparecer, así que mejor los bloqueas y así te da igual si vuelven a aparecer o no. Bueno y por si alguien lo quiere más específico, me refiero a los archivos install php y setupconfig php, estos archivos una vez WordPress está instalado no sirven para nada. Luego también recomiendo proteger carpetas muy importantes dentro de WordPress, como es la de uploads, que es la que subimos nuestros contenidos multimedia, la de plugins, que es la que contiene los plugins por supuesto, y la de themes, que es donde están los teams que tengamos instalados, pues ahí os recomiendo también crear un archivo. Htaccess, porque podemos tener un archivo. Htaccess en cada carpeta, ya que tenemos uno en la raíz de WordPress. También podemos tener estos archivos en carpetas concretas, pues si, ahí creamos un Htaccess y protegemos esos archivos para que por ejemplo no puedan insertar ahí archivos php, que esto es lo que suelen hacer los hackers, lo que lo que te decía yo de que te instalan por ejemplo un backdoor, una puerta trasera para después poder acceder. Luego lo que hacen es eso, sueltan un archivo PHP, que como WordPress está hecho con PHP, pues se supone que uno no se entera si nos meten este archivo en algún lado, que es auto ejecutable y que eso genera, crea la puerta trasera, como digo, por donde después los hackers pueden entrar y hacer lo que les dé la gana en nuestra web sin que nos enteremos. Así que si protegemos estas carpetas importantes, que es donde se suelen intentar meter estos archivos, pues tendremos mucho ganado. Esto lo vemos en el curso, por supuesto, todo lo que comento lo vemos en el curso de seguridad. Y luego otra ya que hablamos de bloqueo de archivos y de partes sensibles de nuestra web, otra cosa muy común que se suele hacer es impedir que se puedan editar tanto plugins como themes directamente desde WordPress, desde el panel de administración. Si te fijas, si te vas al panel de administración de tu web, te vas a la parte de plugins, va a haber una opción que sea editor de plugins y lo mismo si te vas a apariencia, abajo va a haber una parte dentro de esos submenús, dentro de apariencia que ponga editar apariencia o editar temas creo que pone, pues hay un pequeño código que se puede poner en el wpconfig, lo podéis buscar, lo explico en el curso de seguridad, pero si simplemente queréis buscar este trocito, lo podéis buscar. Básicamente la instrucción que se dice es Disallow file edit y después se dice que es true, podéis buscarlo en google y os aparecerá seguro en alguna página y lo tenéis que poner en el config php, como digo, en el wp config php Y esto básicamente se hace para impedir que un usuario no muy experimentado se pueda cargar algo de la web o o en el hipotético caso de que alguien que no debe tuviese acceso a tu panel de administración, que no pueda editar los archivos desde ahí, que necesitara tener acceso a tu FTP o a tu hosting o a lo que sea para poder liarla, digamos, con tus archivos, y que aunque consiguiese acceso al panel de administración, que no pudiese hacer desde ahí nada, digamos definitivo. Eso es el segundo bloque, que sería impedir el acceso a archivos sensibles o protegerlos más. Después tenemos el tercer gran bloque, el tercer pilar dentro de la seguridad en WordPress, que es proteger el acceso y las sesiones de los usuarios. Cuando digo el acceso me refiero a las páginas de login y la página de administración. Estas dos páginas son fundamentales y desde donde se intenta la mayoría de ataques externos desde fuera, los llamados ataques de fuerza bruta. Entonces si tú dificultas esto, si tú por ejemplo cambias la ruta de tu página de inicio de sesión o incluso bloqueas el acceso al admin, pues tienes mucho ganado, ¿De acuerdo? Porque como te digo y como verás en el vídeo que te he comentado antes de Sucur y pues lo que se, lo que se intenta es ir a la típica página de Wplon, PHP de las webs y hacer muchas pruebas, pero si tú cambias de lugar esa página, pues fíjate todo lo que te quitas de encima. Bueno, esto se hace con un plugin, es muy sencillo, lo vemos en el curso, hay varios plugins para esto, a mí el que más me gusta es WPS Hidelogin y luego otro plugin también chiquitito así como este, muy útil, es uno para evitar, para limitar las veces que se puede intentar acceder a una web. Esto incluso ya muchos hostings te lo traen ya instalado directamente y uno de los más populares, hay muchos, pero uno de los más populares es Loginizer. Puedes elegir cuántos intentos se puede hacer, cuánto tiempo estará bloqueada la gente que haga esos intentos, si se les va a bloquear definitivamente para siempre o no, en fin, un montón de opciones interesantes y desde luego muy útiles para protegerte como digo de los ataques masivos, ataques de fuerza bruta. Después tienes cositas un poquito más avanzadas también muy útiles en este sentido, por ejemplo quitar las sugerencias en la página de login, porque no sé si te has fijado, pero si tú por ejemplo el usuario lo pones bien, te sale un mensaje que te dice has puesto la contraseña incorrecta para ese nombre de usuario, con ese mensaje estamos dando mucha información, estamos diciendo que se ha acertado el nombre de usuario pero la contraseña todavía no, con lo cual por ejemplo los programitas estos que te digo yo que van haciendo comprobaciones, si ya saben que tienen el admin correcto, lo único que tienen que hacer es ir probando contraseñas, ya han hecho la mitad del trabajo, con lo cual no demos estas pistas y ocultemos lo máximo posible a bots y a hackers. Y después opcionalmente dentro de este gran bloque, dentro de este pilar de proteger los accesos y las sesiones, pues podrías ir más allá y por ejemplo, impedir que se puedan incrustar scripts de webs externas, los típicos embeds, porque muchas veces cuando te consiguen hackear lo que hacen es que poner es poner scripts externos, pues por ejemplo eso, para que lleven anuncios o este tipo de cosas, pues si lo impides aunque te hackeen, seguramente estés protegido en ese sentido, salvo que el hacker lo localice y quite ese código de protección que tú has usado, pero bueno, ya sabemos que no hay nada infalible al 100%, pues esta es una opción, lo que pasa que si tú estás acostumbrado a insertar cosas, insertas pues vídeos de YouTube, vídeos de Vimeo, si insertas pues no lo sé, infografías de otros lugares, si insertas mucho pues quizás no te compense hacerlo, aunque puedes poner excepciones y en el curso vemos por ejemplo cómo bloquear que se puedan incrustar como digo scripts y otras webs, pero que sí se permita por ejemplo de YouTube. En el curso de seguridad os enseño un ejemplo sobre cómo hacerlo. Y luego otra cosa también opcional que podéis hacer es si no la estáis usando con ningún servicio ni nada, podéis desactivar la REST API, la API de WordPress, que ya sabéis que las APIs no son más que aplicaciones que permiten conectar WordPress con otros servicios, entonces si estáis seguros de que no lo usáis, de que no se usa para ningún servicio de vuestra web, la podéis bloquear ya sea por código o con un plugin. Hay uno muy famoso, o hay varios, pero a mí me gusta el de Jeff Star, que es un desarrollador bastante conocido que tiene uno que se llama Disable WP REST API, es decir, deshabilitar o desactivar la WP Rest API de WordPress. Esto en cuanto protección de los accesos, de que protegemos nuestras páginas de acceso y de entrada e incluso las sesiones de los usuarios. Después el cuarto y último gran pilar ya es un refuerzo general de la seguridad. Aquí ya podemos ir más allá y por ejemplo ocultar toda la información posible, porque ya sabemos WordPress es tan popular y lo utiliza tantos tipos de usuarios, usuarios que saben que no saben tanto, que están empezando, usuarios que crean una web y la dejan ahí, o usuarios que no tienen nada de cuidado y por ejemplo como digo se descargan themes piratas que están inyectados de todo, pues una cosa que podemos hacer es ocultar que nuestra web al máximo posible, al menos siempre alguien lo va a poder descubrir, pero podemos ocultar al máximo la información que damos acerca de nuestra web, incluso el hecho de que esté hecha con WordPress, hay trocitos de código que te permiten ocultar la información de la versión de WordPress que usas. Si recuerdas al principio te decía que las actualizaciones eran muy importantes, porque si por ejemplo hay una versión de WordPress que tiene una pequeña brecha de seguridad y tú no la actualizas, pues los hackers van a buscar las webs que tengan esa versión de WordPress, imagínate la 4.7.3, las localizan y van a por ellas. Pero si tú ocultas eso, tú ocultas tu versión de WordPress, los hackers no pueden saber si tienes la 5, la 4.7, la 5.1, no lo saben, pues eres menos susceptible de ser atacado. Otra cosa que puedes hacer, desactivar el reporte de errores en pantalla. Esto es lo típico, cuando intentas ir a una web y te sale error no sé qué, no sé cuántos, hay un error en la línea tal en wp content themes to theme functions php y te dice la línea exacta donde está el error. Pues esos avisos los puedes quitar, están bien cuando estás haciendo modificaciones en tu web, pero si no las estás haciendo los puedes quitar y luego si vas a hacer modificaciones por código, pues los activas para ver los posibles errores y ya está. Todo esto se puede desactivar por código como digo y lo vemos en el curso cómo hacerlo de forma muy sencilla. Otra posible opción es ocultar la versión de PHP que utilizamos, ya te dije al principio que era importante tenerla actualizada y mejor todavía si no damos información sobre ella, porque puede ser que con una determinada versión PHP antigua, más un determinado plugin o más un determinado theme, ahí haya una incompatibilidad y lo aprovechan los hackers y van ahí, Pues si tú no dices qué versión de PHP tienes, ni qué versión de WordPress tiene, ni nada, todo eso te lo quitas de encima. Otro refuerzo común, esto sí que se suele hacer más que las anteriores que te digo, es cambiar el prefijo de las tablas de las bases de datos o de la base de datos, vamos, que se genera cuando creas WordPress. Si la cambias al principio, que se puede hacer, fantástico, o si la cambias nada más instalar tu web, fantástico, se puede hacer incluso de forma manual y bastante sencilla, pero si ya tienes tu web, pues ya has instalado cosas y ya se ha modificado esa esa base de datos, se puede hacer también de forma manual, pero es más tedioso. Lo ideal es hacerlo con un plugin, en el curso lo vemos, es muy sencillo y además es un plugin que ya te cambia la base de datos y después puedes eliminar el plugin y listo, la base de datos no el prefijo. Y eso también se hace por seguridad, porque das menos información a los hackers y es más difícil que puedan conocer las tablas de tu base de datos y que puedan acceder a ellas. Y por último, otros refuerzos en términos generales, que aquí ya depende un poco, pero debes saber que puedes habilitar las actualizaciones automáticas dentro de WordPress, tanto del core, es decir, de WordPress en sí, como incluso de plugins y themes. Yo no es algo que recomiende yo me gusta hacer las actualizaciones de forma manual, me gusta leer qué cambios va a haber en esas actualizaciones, si a lo mejor no hay ninguna brecha de seguridad, pues me apetece esperarme un poquito a ver cómo funciona esa actualización en general en el a otras webs y luego ya hacer yo la actualización, en fin, me gusta estar al tanto y saber perfectamente qué es lo que actualizo y lo que no actualizo. Además yo siempre hago una copia de seguridad previa a la actualización, así si algo va mal, pues puedo volver rápidamente a la versión anterior de la web, o sea que a mí particularmente y algo que os recomiendo es que estéis encima de esas actualizaciones y que las hagáis vosotros mismos de forma manual, pero si por ejemplo el Core de WordPress lo queréis que se actualiza siempre de forma automática, pues lo podéis hacer normalmente los hostings os dan la opción de hacerlo y si no, pues lo podéis hacer por código, tal y como vemos en el curso y como queráis, ¿De acuerdo? Esos son entonces los cuatro pilares, que como ves no son tan complejos. Número uno, sentido común y ajustes sencillos, ahí tendréis cubierta la base. Número 2, bloqueo de acceso a archivos sensibles. En el caso de que tengáis ahí alguna brecha y que alguien consiga acceder, se los estáis poniendo muchísimo más difícil que os hagan cualquier destrozo que os hagan nada. Tercer punto, protección de los accesos E incluso se podría poner en el punto 2, pero si conseguís proteger los accesos tendréis mucho ganado porque ya los ataques externos de fuerza bruta prácticamente los vais a minimizar al cero, no os van a poder entrar por ahí. Y punto número 4 ya pues 1 refuerzo general. Ya podéis ir añadiendo más cosas. Os he comentado algunas de las más típicas como ocultar sobre todo información de vuestra web, que es de las cosas más útiles que podéis hacer. Por supuesto hay mil cosas que se pueden hacer para ir protegiendo más vuestra web, pero como digo, quería hacer algo que fuese completo pero a la vez simplemente lo esencial. Tampoco es necesario volverse loco con esto si se tienen estos cuatro grandes pilares cubiertos. Y por último os quería hablar de un aspecto extra y básicamente es el concepto de mantenimiento día a día. La seguridad en WordPress no es cosa de configuración de un día y se olvidó. Hay que hacer una buena configuración, sí, pero también tenéis que estar pendiente de de lo que ocurre en vuestra web, de las novedades en general en WordPress normalmente a poco que estés al tanto sabes si hay una gran vulnerabilidad en WordPress o en algún plugin o lo que sea y rápidamente pues dices, uy mira hay vulnerabilidad, voy a ver si está la actualización en mi web. Vas y seguramente esté. Cuando ya lo sabe todo el mundo, casi siempre se ha preparado ya un parche y se ha preparado ya una solución para esa vulnerabilidad. Por supuesto, muy recomendable tener copias de seguridad en varios lugares. Esto lo vemos en el curso de WordPress intermedio, os enseño cómo hacer copias de seguridad regulares. Vuestro hosting seguramente haga copias de seguridad y también lo puedas configurar. Lo normal es que las hagan diarias, tanto de los contenidos como de la base de datos, perdón, tanto de los archivos como de la base de datos. Luego podéis usar algún gestor concreto externo como Manage WordPress o alguno de estos que son fantásticos porque te permiten hacer una copia de seguridad previa antes de actualizar todo, te permiten actualizar unas cosas sí y otras no, además de hacer copias de seguridad automática. En fin, buscar algún sistema de este tipo. Si no os queréis encargar del mantenimiento, contactar con alguien que se dedica al mantenimiento en WordPress. Yo por ejemplo tengo un servicio, si queréis echarle un vistazo lo tenéis el enlace en el footer de mi web, pero es importante, si no queréis hacerlo vosotros, pues delegarlo o explicárselo si trabajáis en una empresa, explicárselo a alguien de vuestra empresa lo que tiene que hacer y que esté encima y que lo vaya haciendo. Sea como sea, estar pendiente, ¿De acuerdo? WordPress, cualquier web en definitiva, requiere un mantenimiento y no es tan complicado, incluso hay plugins que te hacen auditorías y que puedes estar pendiente, pues yo que sé, de quién accede a tu web y demás, sobre todo si usas o tienes digamos varios usuarios en la web, si hay editores, si hay gente que controla tal, colaboradores, no sé qué, no sé cuánto. A mí me gusta por ejemplo en el curso de seguridad en WordPress lo vemos, tener un plugin de auditoría porque vas viendo las sesiones que inicia la gente, que hacen en la web, se instalan algo, si no y demás, está bastante bien. Y luego si por ejemplo esto te supera un poquito el tema de poner código aquí, allí, allí para proteger tu web, hay soluciones muy muy buenas como te he dicho al principio y por ejemplo IT Security es tan sencillo como eficaz y es más que suficiente con su versión gratuita. Así que ya sabes que este es el podcast en el que te enseño a crear y gestionar web con WordPress y la palabra gestionar es clave porque una de las partes fundamentales de esa gestión es la seguridad en WordPress. Por eso creo que este episodio te va a venir bien y espero que te sirva para tener claros esos grandes conceptos, esos cuatro pilares de la seguridad y que puedas aplicarlo o te ayude a aplicarlo en el día a día. Te dejo enlaces de todo lo que he ido comentando, por supuesto al curso renovado de seguridad en WordPress, a cómo hacer copias de seguridad, el vídeo que te he dicho de Sucuri para que veas lo increíblemente fácil que es para prácticamente cualquier usuario que más o menos sepa un poquito de ordenadores, pues poder intentar acceder a webs que no son suyas y lo tienes todo ahí, simplemente Gonzalo Navarro es 181 y ahí vas directamente al episodio y ya sabes que abajo tienes la parte de enlaces y por supuesto la opción de apuntarte a la plataforma, que ya Sabes, más de 40 cursos, más de 130 vídeos avanzados y acceso a soporte personalizado conmigo, que es una de las cosas más valoradas de mis suscriptores, ese soporte que les brindo, que os brindo y además ya Sabéis que tenéis 15 días para probar todo sin compromiso, accedéis, estáis los 15 días tranquilamente, probáis todo el soporte, los cursos, los vídeos, las descargas, que decidís que no es para vosotros o lo que sea, no pasa nada, me contactáis, Gonzalo, no quiero seguir y no os hago ni preguntas ni nada, os hago la devolución de los 10 euros porque como digo, lo que quiero es que lo probéis para que podáis decidir. Yo estoy seguro que si estáis en esto de WordPress os va a encantar, pero quiero daros la oportunidad de que lo probéis. Toda la información en Gonzalo Navarro es cursos. Nada más por este episodio, nos seguimos escuchando. Adiós.