376 | Las medidas de seguridad necesarias para tu eCommerce

En el episodio 376 de WordPress semanal te hablo de las 19 medidas de seguridad para woocommerce que recomienda la empresa especializada Sucuri Security. Vamos allá. Hola, hola, soy Gonzalo Navarro y Bienvenidos al episodio 376 de WordPress Semanal, el podcast en el que aprendes a crear y gestionar tus propias webs con WordPress en profundidad. Y hoy, como te decía en la intro, te voy hablar de 19 medidas de seguridad enfocadas a e commerce más bien, aunque como verás, muchas se pueden aplicar a cualquier tipo de web y además he dicho WooCommerce, pero también serviría si usas otro plugin para crear una tienda online en WordPress. En general, si vendes en tu web estas medidas te van a venir muy bien. Y como te digo, están basadas en contenido que publica la empresa Sucuri Security, que suelen ser un poco mi referencia en cuanto a guías estándares de seguridad. Al final su negocio gira en torno a la seguridad en WordPress, es una empresa que incluso se ha asociado con hostings muy importantes para llevar la parte de seguridad, de escaneo sobre todo. Y luego ellos tienen muy buenos servicios, lo típico que te hackean la web, les escribes, por supuesto les contratas y te limpian la web y es de las mejores opciones que existen ahí dentro del mundillo WordPress. Entonces ellos van sacando guías, las van actualizando anualmente. El curso de seguridad que tengo publicado en Gonzalo Navarro es se basa mucho en sus estándares de seguridad y bueno, me pareció interesante, vi que tienen una guía actualizada 2023 con medidas enfocadas ya digo, a e commerce en concreto, ellos dicen WooCommerce, pero se puede aplicar ya digo, a cualquier tienda online que venda. Entonces bueno, no me voy a adentrar en la importancia de la seguridad, ya tenéis muchos contenidos, un curso incluido sobre este tema, porque como son 19 medidas pues quiero ir al grano. Así que antes, como siempre, vamos a ver primero las novedades qué está pasando en Gonzalo Navarro. Es esta semana pues tenemos nuevo vídeo de la zona Código, ya sabéis que una vez a la semana tenéis un vídeo nuevo, vamos ya por el 326 y en él aprendes a mostrar texto al pasar por encima de una imagen. Y lo hacemos desde el editor de bloques porque ya publiqué un vídeo hace tiempo sobre cómo crear esto básicamente con HTML y CSS. En este caso aprovechamos los bloques del editor de WordPress antiguamente, o que mucha gente aún lo llama Gutenberg, el editor de bloques, y también añadiendo un poquito de CSS, porque si no, no es posible pues que al pasar el ratón por encima, cuando alguien navega por tu web, al pasar por encima de una imagen se vea contenido, puede ser texto y un botón, puede ser pues lo que quieras, cualquier bloque que pongas encima de esa imagen se mostrará. Y esto viene a raíz de, creo que se habló en el grupo de Telegram, uno de los miembros en Gonzalo Navarro es preguntó si se podía hacer esto pues de forma un poquito así más sencilla, porque lo quería implementar para un CL y que el cliente no tuviese que estar usando código HTML y demás. Entonces yo tenía ya esto proyectado, este vídeo lo tenía apuntado para sacarlo, pero lo he adelantado porque he visto que había un interés, así que ya lo tenéis disponible, lo dejo enlazado en la parte de contenidos recomendados, pero si vais a Gonzalo Navarro es, vais a la parte de código, pues ahí lo podéis buscar incluso a ver si lo tengo para cuando salga el episodio, creo que sí, pero voy a poner dentro de los filtros por los que puedes buscar tipos de vídeos de la zona código, que ya sabéis, no tenéis que saber código, veis el vídeo, copiáis, pegáis y lo tenéis. Y como digo, ahí tengo filtros. Entonces. Entonces tengo filtros por distintos plugins de los que voy sacando modificaciones para WooCommerce, para Restrict Content Pro, para Edd, para LearnDash y luego en general, códigos CSS, código PHP, Pues voy a añadir un filtro del editor de bloques de Gutenberg, porque ya tengo varios vídeos al respecto, donde te enseño cómo hacer cositas chulas combinando los bloques con un poquito de código para ir más allá, para hacer más cosas todavía. Sí, fantástico. Y además échale un vistazo si quieres a la zona de cursos, donde Tienes más de 75 cursos ya publicados de WordPress puro y duro, desde básico a avanzado, y luego todo lo que necesitas para llevar, gestionar, incluso crear webs de forma profesional. Todo lo que hay alrededor de WordPress y de la creación de webs está cubierto prácticamente, porque ya digo, son más de 75 cursos y si no, ya sabes que desde tu cuenta me puedes sugerir los cursos y luego según las votaciones, ahora los estoy publicando en la comunidad de Telegram y me estoy guiando un poco por esas votaciones y también cuando me escribís veo que cuatro o cinco personas me dicen quiero esto, quiero esto, quiero esto. Pues también saco curso al respecto, vamos lo adelanto, siempre voy apuntando en una lista, pero si veo más interés pues saco el curso antes. Por ejemplo uno de los cursos que tenéis y que dejaré enlazado es el curso de seguridad en WordPress. Fantástico. Esto en cuanto a las novedades. Vámonos ahora con el plugin de la semana que trae un poquito de salseo. El plugin se llama Head Footer and Post Injections y básicamente es el típico plugin que está activo además en 400.000 webs con WordPress. Como digo es el típico plugin para poner todos tus códigos de seguimiento en un mismo lugar y además poder también controlarlos a nivel de página, no solo en el header o en el footer, a nivel global de tu web, sino también a nivel de cada contenido. Esto es por ejemplo si quieres poner algún código de seguimiento de por ejemplo que del píxel de Facebook se controle cuál es la página de gracias de un determinado proceso de una venta o de una suscripción a lo que sea. De modo que puedes controlar mucho mejor pues todos estos pasos. Pero bueno, hay más plugins como éste que en sí está muy bien para esto, pero lo que me hizo ponerlo aquí es que tú abres el plugin, la página del plugin y al principio del todo de la descripción el autor te pone sobre el plugin SEO WordPress de Yoast, estoy muy disgustado, estoy traduciendo así un poco al vuelo por la invitación a eliminar mi plugin y te da un enlace a un artículo en el que el autor, que se hace llamar Satoyo, al menos en su web, él creo que se llama Stefano, pues muestra cómo si tienes instalado a la vez su plugin y el de Yoast, te sale un mensaje que pone warning en rojo como cuidado y te dice que el su plugin, el de Header and Footer, puede causar problemas cuando se utiliza con Yoast porque dice que ambos generan Open Graph. Open Graph es los datos que recoge por ejemplo Facebook y Twitter o LinkedIn también, vamos la mayoría de redes sociales, para mostrar la imagen destacada, la descripción del texto y demás. Te dice la solución recomendada es que elimines el plugin de Header Footer, claro está, recomendando que elimines otro plugin por la cara. La verdad que aquí entiendo a Stefano en este caso, porque si tú usas Header Footer porque lo necesitas, porque además lo del Open Graph es algo como aparte, pero lo que haces con el plugin pues es poner tus códigos de seguimiento, entonces lo que debería de recomendarte es desactiva las opciones de Open Graph de Yoast o desactiva, que no sé si se puede, las opciones de Open Graph de Header Footer, pero no un warning arriba del todo de la pantalla con una barrita en roja invitando con un botón a que además tiene dos botones, una para que configures los ajustes de Open Graph de Ghost, que te lo pone el típico botón plano grisáceo y luego solución recomendada en negrita, desactiva Header and Footer con un botón azul. Una más de los de la gente de Yoast que ya han hecho varias de estas, su plugin es una pasada, pero cuando hacen cositas como esta pues también merece la pena comentar. Bueno, como digo, os recomendaba este plugin no sólo porque está bien, sino también un poquito por el salseo este entre Yoast y ellos. Esto no sé a día de hoy si sigue el aviso, pero vamos, él sigue teniendo en la descripción del plugin al principio del todo sigue teniendo esto. Bueno, vámonos ahora sí con el tema central del episodio, las 19 medidas de seguridad para WooCommerce. Y como digo, este episodio está basado en una guía de Sucuri que te dejo enlazada por supuesto en la parte de contenidos recomendados como fuente principal de este episodio que se llama New WooCommerce Security Best Practices Guide, pero vamos, tenéis el para que la podáis ver, está en inglés, por eso me ha parecido interesante transmitiros pues este contenido también en español. Bueno y ya sabéis, con mis comentarios al respecto. Comenzamos con la primera medida, un básico para cualquier web, mantén tu software actualizado. Aquí pues lo típico, te recomiendan actualizar regularmente WooCommerce, WordPress, los temas de WordPress que tengas instalado y cualquier complemento, es decir, cualquier plugin. Pero lo interesante es que también te recomiendan utilizar un proveedor de alojamiento, un hosting que también se mantenga actualizado. Hay hostings que tienen tecnología antigua, que no se van actualizando, que no van corrigiendo parches de seguridad. Entonces es interesante o importante también pensar en que el hosting que utilices se actualice, esté actualizado, esté a la última. Y a nivel de lo que comentábamos de las copias de seguridad, pues te recomiendan habilitar las actualizaciones automáticas. Esto lo suele recomendar la gente, si tú no estás muy al día en las actualizaciones, puede ser interesante que habilites las actualizaciones automáticas. ¿Por qué? Porque cuando hay un fallo de seguridad o una posible vulnerabilidad en un plugin, se lanza una actualización, entonces si las tienes automáticas, pues te aseguras de que ese plugin o lo que sea se actualiza, mientras que si no, pues tienes que estar pendiente y si no lo estás, pues es un problema porque a lo mejor si vas a actualizar tu web un mes después te puedes encontrar con un problema. Y luego te recomiendan tener un servicio de copias de seguridad por si por ejemplo hay un problema con alguna actualización por incompatibilidades, que puedas volver a una versión anterior. Segundo consejo, usa contraseñas fuertes y autenticación de dos factores. Aquí te recomiendan pues eso, utilizar contraseñas fuertes y únicas para todas las cuentas, no solo cuando tú las crees, sino estableciendo también políticas de contraseñas sólidas para los usuarios. Normalmente cuando tú instalas un plugin de venta como WooCommerce, tú puedes definir, o incluso también desde WordPress que las contraseñas tengan que ser fuertes. El propio WordPress ya lo hace, ya te dice esta contraseña es débil, lo típico. Y luego si quieres más seguridad, pues puedes utilizar la autenticación de dos factores. Lo típico pues que te llega un email con un código que tienes que autenticar con Google con algo, no sólo poner la contraseña, sino es una capa extra antes de poder iniciar sesión. Esto pues hay muchos plugins que lo hacen dentro de WordPress y en el curso de seguridad lo vemos, casi todo lo que comento aquí lo vemos en el curso de seguridad. Tercera Tercera recomendación, elige un alojamiento web seguro. Esto parece de perogrullo, pero normalmente cuando buscamos un alojamiento pues no siempre pensamos esto, pensamos ¿Cuál es el más barato? ¿Cuál me permite crear más webs en ese alojamiento? Ahora hay servicios de hosting que juegan con por ejemplo, regalarte plugins, regalarte muchas cosas y se puede ir el foco de lo importante de que sea un buen hosting, un hosting fiable. Asegúrate de que realizan actualizaciones y parches de seguridad de forma regular y sobre todo busca que tenga muy buen rendimiento y un soporte en el que puedas confiar. Ya sabéis que yo utilizo SiteGround para todos mis proyectos, hay otros hostings muy buenos también, yo hace años, bastantes que uso SiteGround, ya sabéis que en Gonzalo es Hosting tenéis mi enlace de afiliado por si os queréis apuntar por ahí. Cuarto Protege los datos con SSL. ¿SSL es un certificado que te aportan los hostings de forma gratuita con Let's Encrypt, no todos los hostings, por ejemplo SiteGround lo hace o puedes instalar un certificado SSL de pago, pero bueno, existiendo el de Let's Encrypt de forma gratuita pues no le veo mucho el sentido a instalar uno de pagos, salvo que necesites una wild card, es decir, que dentro de tu propio dominio puedas instalar otras instancias de forma separada y también quieras que el SSL cubra esa zona, ahí normalmente sí que hay que pagar, vale? Por ejemplo si tienes tu web.com ahí tienes una instalación de WordPress y luego imagínate que tienes academia, tu web.com o tu web común, instalación de WordPress diferente, pues si quisieras que ahí también cubriera el SSL normalmente tienes que contratar ya digo una wildcard. Algunos hostings lo incluyen de forma gratuita, la mayoría, ahí es donde te cobran, pero bueno esto es aparte. ¿Técnicamente lo que te va a permitir esto es encriptar los datos transmitidos entre tu web y los usuarios, tener seguridad de datos, datos a nivel general, va a aportar confianza a los clientes, saber que tienes ese sistema también te aporta beneficios SEO, al menos eso dicen, y sobre todo cumples con las políticas que hay que tener para vender online, que se llama? Se llama PCI la política, ahora mismo no sé exactamente, me imagino que será Policy Customer algo, no sé exactamente, pero vamos, es como lo que dice la normativa que tienes que cumplir tener SSL para poder vender online. Por cierto SSL es lo que va a poner el candadito verde en tu dominio y que te permite tener eso de HTTPs. Bien, quinta tener la posibilidad de recuperación mediante copias de seguridad. Esto me habrás escuchado a mí decirlo, 250.700 veces y es tener un sistema en el que puedas confiar de copias de seguridad y que puedas volver a recuperarlas. Es importante que pruebes cuando hagas una copia de seguridad que funciona la recuperación. Ya sé que no lo vas a hacer, o muchos de vosotros no lo vais a hacer, pero de verdad, creedme que es muy importante porque a la hora de la verdad, cuando lo vayas a necesitar, ¿Qué pasa si no puedes recuperar esas copias diarias que tenías? Uy, qué bien, tengo copias cada día. Pero sí, si no las recuperas, qué bueno, cuando te pase la primera vez te convencerás. En esta línea, los de Sucuri te dicen que tengas horarios regulares de copias de seguridad, es decir, que la hagas siempre a la misma hora para tener ese sistema. Yo en mi caso lo suelo hacer de madrugada de forma automática todos los días en mis webs y en las que llevo el mantenimiento y de forma automatizada por supuesto. Yo lo hago con ManageWP, que para mí es un básico para llevar el mantenimiento sobre todo de más de una web. Hay otros servicios muy buenos, por ejemplo también publiqué un curso de un servicio español que está creciendo un montón y que está añadiendo funcionalidades muy interesantes que se llama MOD y del que también tenéis curso. De hecho publicó un episodio en el que apareció de forma estelar uno de sus creadores. Bueno, no me quiero tirar ir por las ramas, como digo, ten una solución de confianza para los backups. Almacena las copias de seguridad fuera de tu web. También está muy bien que tu hosting haga copias de seguridad. Es importante también que las tenga encriptadas, por ejemplo SiteGround las tiene, pero también pues lo que te digo, tener diferentes versiones, pues si tienes una que te la hace tu hosting y otra que la haces tú a través de ManageWP, pues ya tienes dos copias de seguridad y una la tienes fuera de tu web. Por ejemplo, los plugins que te hacen copias de seguridad y las almacenan dentro de tu instalación de WordPress. Eso puede ser un problema porque si alguien te hackea la web también tiene acceso a esas copias de seguridad y puede comprometerlas también. Entonces si usas un plugin de estos que te hacen copias de seguridad en una web, asegúrate de enviar esas copias que se puede, por ejemplo con AppDraft, que también lo cubrimos en el curso de mantenimiento en WordPress, puedes configurarlo para que te mande las copias a Dropbox o a Google Drive y que no las guarde en tu propio servidor, digamos en la misma instancia de tu instalación de WordPress. Número 6, restringe los privilegios de los usuarios. Aquí ellos, los de Security, te dicen que apliques el principio del menor privilegio en caso de duda, cuando crees un usuario y le vayas a dar un rol, ya sabes, suscriptor, colaborador, autor, editor, administrador, incluso si tienes una tienda online, gestor de la tienda, puedes tener distintos roles, pues que en caso de duda le des menos privilegios. Incluso puedes utilizar un plugin, por ejemplo yo cuando doy acceso a un colaborador a mi web le suelo dar un rol bastante bajo y luego con un plugin que se llama Row Editor, si no me equivoco, lo voy a buscar y a ver si lo pongo en la parte de enlaces, pues le voy diciendo, le voy marcando lo que lo que puede hacer, entonces parto debajo y le voy poniendo, de hecho a veces me dicen intento hacer esto y no me deja porque yo aplico el principio del menor privilegio, luego ya le digo, ah vale, te voy a dar acceso y le doy un poquito más de acceso. Y luego puedes instalar un plugin que te permite realizar auditorías y monitorear las actividades de los usuarios. También lo vemos en el curso de seguridad y es una de las recomendaciones de Sucuri. Vámonos con el punto 7, configurar los permisos de archivos y directorios. Básicamente debes configurar permisos adecuados para los archivos críticos. Esto con los típicos plugins de seguridad lo puedes hacer, también lo puedes hacer por código y básicamente restringir el acceso a archivos sensibles como el archivo de configuración y otros. Y además te aconsejan utilizar un cliente SFTP o el administrador de archivos de cPanel en lugar de editar los archivos directamente desde tu web con WordPress. Básicamente lo que te dicen aquí los de Sucuri es que no permitas la edición de archivos desde la web, porque si alguien te la hackea también va a poder editar archivos. Es básicamente eso. Por cierto, esto también lo vemos en el curso, ya digo, no lo voy a mencionar más, pero todo esto que estamos hablando lo vemos el curso de seguridad. Bien, punto 8, monitorear y auditar tu web regularmente. ¿Esto qué quiere decir? Pues que escanees tu web en busca de indicadores de que puedas tener una web comprometida. Esto no lo vas a hacer tú mirando los archivos de tu web, sino que puedes utilizar una solución de monitoreo como la de Sucuri por ejemplo, que es una de las mejores que la tienen online, puedes buscar su Curiscan, pero como veremos más adelante, esto es mejor que lo hagas con un plugin de seguridad si quieres, o por ejemplo si utilizas un servicio de mantenimiento como el que te digo de ManageWP, puedes activar también el monitoreo. Y lo que hacen este tipo de escáneres es buscar anomalías y vulnerabilidades y te avisan. A veces son falsos positivos porque te pueden decir hay una base de datos que no corresponde con la oficial de WordPress y a lo mejor es una base de datos de un plugin que ellos no tienen muy controlado. Puede pasar, vamos, está bien porque te van a decir sobre todo si hay problemas con un plugin o lo que sea. Y en este sentido esto no es algo que debiera ser opcional, esto es algo que tienes que hacer para cumplir con los requisitos que tienes como responsable de la información de tus usuarios. Tú debes monitorizar y auditar tu web regularmente para cumplir con el reglamento general de protección de datos, así que implementalo. Consejo número 9 evita temas y plugins null, es decir, pirateados. Los temas y los plugins pirateados pueden contener código malicioso. Las típicas webs que te regalo este plugin no sé qué, no sé cuánto, casi siempre cuando vas a webs que están todas en torno a regalarte themes y plugins, casi todas los tienen pirateados, es decir, tienen código que les abre una puerta después para poder entrar y piratearte tu web. Y por supuesto, pues esto puede comprometer la seguridad de tu web y además dañar tu reputación. Así que siempre utiliza temas y plugins oficiales y evita los softwares pirateados. Por ejemplo, algunos de vosotros estaréis pensando, pero tú a veces nos das en la parte de descargas plugins y themes. Sí, pero los míos no son pirateados, son los que yo utilizo, que cuando es un curso y son de pago los dejo, si es que lo permiten, sin licencia para que podáis seguir el curso, pero ya sabéis que siempre os recomiendo que si lo vais a utilizar en un proyecto real compréis la licencia o me compréis a mí la activación, porque yo en muchos de ellos tengo pues lo típico que tengo una suscripción de por vida y puedo activar activarlo en tantas webs como quiera. Pues eso es un plugin con la licencia activa y del proveedor oficial, lo que pasa que soy yo el que te lo instalo en tu web, me refiero a las típicas webs de plugins y themes gratis, huye de ahí. Y por supuesto siempre cuando lo vayas a utilizar en un proyecto real 100 % recomendable que compres la licencia, porque otro problema que no es que lo tengas pirateado, pero otro problema puede ser que tienes un plugin que no está pirateado ni nada, pero es una versión muy antigua y van sacando actualizaciones, actualizaciones, actualizaciones y tú no actualizas, pues en un momento puedes tener problemas de rendimiento y finalmente lo puedes llegar a tener de seguridad si no lo sé, surge alguna posible vulnerabilidad en esa versión que tú utilizas y no la puedes actualizar. Bien, siguiente punto, el número 10 implementa validación y limpieza de datos. De entrada esto ahora vamos a hablar de algunas cosas un poquito más técnicas, así que voy a pasar un poco más de puntillas, pero sí que es importante que pues eso, tengas el concepto. Esto básicamente lo que se refiere los de Sucuri es que haya una validación de los datos que la gente rellena por ejemplo al registrarse o al hacer una compra. Y esto es algo a nivel de código, que por ejemplo lo que utilices de plugins o si tú añades código personalizado o los themes utilicen funciones de WordPress como la de Sanitize Text Field o Escape HTML, que ya digo son técnicos, pero básicamente quiere decir que utilices código saneado que siga los estándares y también plays y themes que lo haga. Esto es para evitar que alguien te pueda inyectar código. Básicamente el número 10 antes de seguir está un poco enfocado a los que hacéis código, a los que hacen código, desarrollan y demás. Si tú eres un usuario medio pues simplemente debes saberlo, pero tampoco va tan enfocado a ti esta medida. Bien, ahora sí Vámonos con la 11, utilizar pasarelas de pago seguras. Esto también es de perogrullo, pero elige una pasarela de pago confiable y segura que cumpla con los requisitos de PCI DSS. Esto te lo leo por si estás buscando una pasarela de pago te lo pondrá en algún sitio y que protege los datos de pago mediante SSL si usas una pasarela de pago que no te obliga a tener SSL para pagar, no la uses ya esto casi no se ve, antiguamente sí se veía más por supuesto Stripe, la que seguramente la que uses de un banco o Paypal cumplen con esto. Entonces implementa una política de seguridad de contenido. Esto también lo aportan algunos plugins de seguridad y es básicamente impedir que se pueda mostrar en tu web contenido de otras URLs. Esto está bien configurarlo para evitar que te puedan inyectar código o te puedan poner scripts digamos, o te ataquen con scripts, pero tienes que configurarlo bien porque por ejemplo si tú insertas vídeos de YouTube o de Vimeo y pones y marcas a lo mejor esta opción en tu plugin de seguridad pues puedes dejar que a lo mejor se dejan de ver o si insertas, no sé, PDF de algún sitio o haces algún incrustado, algún embed te puede pasar, entonces normalmente lo que se hace es implementarlo, pero decir que si se permite pues no sé, de Vimeo por ejemplo, esa sería un poco la idea. Número 13 de exactamente activar la navegación por directorios Esto también lo vas a poder hacer con un plugin de seguridad, lo puedes hacer también por código poniendo una línea en el. Htaccess y básicamente es que no permites que desde fuera se pueda navegar o se puedan ver los directorios de tu web, incluso lo puedes desactivar desde el cPanel de tu hosting. Esto es pues nada para no dar pistas de lo que tienes instalado en tu web, más que nada a cualquiera que pueda venir desde fuera. Número 14 Restringe el acceso a archivos sensibles Básicamente que limites el acceso a archivos sensibles como el de configuración, es decir, wp config, php o el. Htaccess, ¿Por qué? Porque alguien que tenga acceso a eso te puede quitar la web. Por supuesto evita que usuarios no autorizados accedan a estos archivos y luego puedes configurar los permisos. Normalmente te vienen configurados ya a nivel de hosting si está enfocado o especializado en WordPress, pero puedes configurar los permisos desde tu cPanel o desde tu. Htaccess. 15. Instala un plugin de seguridad Los de Sucuri que tienen su propio plugin te recomiendan utilizar un plugin de seguridad para proteger tu web, en este caso tu ecommerce y te recomiendan el suyo, el de Sucuri, pero también te recomiendan el más popular o uno de los más populares que es Wordfence, porque ofrecen escaneo de seguridad, firewall y protección contra ataques. A mí particularmente Wordfence me gusta y tenéis un vídeo en el curso, pero yo prefiero hay Theme Security o el propio de Sucuri porque son más fáciles de configurar y al final te traen prácticamente las mismas opciones. Número 16 protege la carga de archivos. Esto es implementar medidas de seguridad para proteger la subida de archivos. ¿Por ejemplo por defecto en WordPress tú no puedes subir un gif a la librería, por qué? Porque el gif como está hecho te podrían llegar a inyectar código malicioso. Entonces si por ejemplo tú lo habilitas porque tú quieres poner gifs, que lo puedes habilitar con un plugin o con un poco de código, primero piénsalo bien si lo quieres hacer y segundo si después en la parte frontal tienes alguna zona donde la gente no sea un formulario donde te pueden enviar imágenes o lo que sea, no permitas por ahí la subida de gifs. Digo gifs pero cualquier otro archivo que pueda ser peligroso. Número 17 Utiliza un Firewall de aplicaciones web, un WAV. Un wav es una barrera de protección contra ataques y malware que es como una primera capa y lo que hace es que filtra y si detecta vulnerabilidades conocidas o ataques de estos de fuerza bruta en masa, pues los bloquea ya en esa primera capa. Básicamente monitorea o monitoriza y bloquea intentos de acceso no autorizados. La mayoría de plugins de seguridad ofrecen un firewall, algunos de forma gratuita y otros de pago. Es como una primera capa de soldados. 18. Mantén tu entorno aislado. Esto es algo importante y que no mucha gente hace, es hospedar tu web o tu ecommerce en un entorno aislado. Es decir, si tienes un hosting de estos compartidos muy baratos, cuidado porque si hackean una web de tu mismo entorno, la tuya puede llegar a estar comprometida. ¿Qué es lo que suelen hacer los hostings compartidos? En cuanto detectan que una web de su hosting compartido, que imagínate la cantidad que puede haber de webs en el mismo entorno, pues lo que suelen hacer es que cuando detectan que una están comprometida se la bajan. Esto a lo mejor te ha llegado a pasar, que te tira tu hosting, te tira la web y las escribes, ¿Qué pasa aquí? Y dice, no, es que la tienes hackeada, hasta que no la soluciones no la podemos poner otra vez en vivo. ¿Por qué? Porque está compartida con otras y es un peligro para ellos dejar tu web en vivo porque puedes infectar a las demás del entorno. Por eso manten un entorno aislado, contrata un hosting que te asegure que está compartimentalizado, que tu web está en un sitio para ella. Así ni tú puedes contaminar ni otros te puede contaminar a ti. Evitas la contaminación cruzada. Y también en este punto dan como consejo que limites el uso de plugins a los necesarios. Esto en general está bien, usa solo lo que necesites y no tengas ahí, no vayas probando plugins y los tengas todos ahí instalados. Bueno, puedes probarlos pero con el método que ya he comentado en otras ocasiones, que comento en la newsletter, por cierto, en Gonzalo Navarro es lista, te puedes apuntar a la newsletter de WordPress semanal, ahí voy creando contenido cada semana sobre los mejores procesos de los profesionales que creamos y gestionamos webs con WordPress. Y llegamos al final. Consejo número 19. Protege tu página de pago contra bots y ataques de prueba de tarjetas. Los de Sukuri te recomiendan directamente que desactives la compra de invitado, es decir, que la gente tenga que registrarse y verificar el registro. También te recomiendan utilizar un captcha para proteger la página de pago contra bots. ¿Y por qué querrías proteger un pago si es un pago que te paguen? No, porque hay gente que utiliza bots para probar tarjetas robadas, entonces hacen pequeñas compras de un euro o de lo que sea a piñón, pum pum pum, de forma automatizada. ¿Para qué? Para saber si funcionan. Entonces si funcionan, pues ya las funden, pero los prueban pues con ecommerce de por ahí. Entonces por esto viene bien tener un sistema, un captcha u otro sistema anti bots para la propia compra. Bueno, con esto dejamos las 19, que podrían haber sido 20 y dejarlo redondo, pero bueno, salen 19. A los de Sucuri, ya digo, os dejo enlazada su guía, os dejo enlazada el curso de seguridad en WordPress y si queréis saber sobre algo en concreto, escribidme en Gonzalo Navarro es abajo del todo tenéis el botón de contactar Si sois suscriptores, por supuesto, me contactáis desde el soporte. Digo, si no encontráis algo en concreto, pues me interesa sobre esto, ¿No? Si lo tienes en algún curso o algún vídeo, lo que sea. Y si lo tengo, pues os lo paso. Recuerda que para acceder a las notas del episodio es muy fácil escribiendo en tu navegador, Gonzalo es 376 y ahí vas directo a todo lo que te he dicho en formato escrito y además con todos los enlaces para que puedas ir a donde necesites. Nada más por este episodio, nos seguimos escuchando. Adiós.