414 | Cómo expulsar intrusos y supervisar caídas de tus webs

En el episodio 414 de WordPress semanal te explico cómo crear un sistema de monitorización que te permita controlar todo lo que pasa en tu web sin tener que visitarla cada día. Vamos allá. Hola, hola, soy Gonzalo Navarro y Bienvenidos al episodio 414 de WordPress Semanal, el podcast en el que aprendes a crear y gestionar tus propias webs con WordPress en profundidad. Y hoy hablamos del tema del monitoreo. Monitorizar, hacer comprobaciones, hacer un seguimiento, sobre todo enfocado a supervisar o evitar caídas y controlar el spam o expulsar a posibles intrusos. Primero te hablaré de la importancia de por qué es para mí esencial tener un sistema montado para controlar todo esto. Después te hablaré de qué puedes monitorizar o qué deberías estar monitorizando ahora mismo en tu web. Y luego te daré soluciones, herramientas, plugins que puedes aprovechar tanto para controlar la actividad de tu web, como expulsar a los malintencionados, como por supuesto tener un sistema para ver si tu web se cae en algún momento, pues que te avisen en un momentito. Vamos con todo ello, pero antes, como siempre, novedades. ¿Qué está pasando en Gonzalo Navarro es esta semana? Pues por un lado tenemos nuevo vídeo de la zona código y en el te enseño al desactivar el envío del típico email que le llega a un usuario que se registra en tu web de ve aquí para poner tu contraseña nueva. ¿Por qué es útil esto? Pues porque muchas veces el usuario ya pone su contraseña en el sistema que tengas de registro, pero luego pues le llega ese mensaje y es un poco confuso para algunos usuarios. Y me preguntó un miembro en la comunidad privada de Telegram hace la semana pasada y le dije que si bien había plugins que te permitían esto, pues que iba a sacar un vídeo de la zona código explicando cómo hacerlo. Y ya lo tenéis. Simplemente copiáis y pegáis el código y así evitáis que le llegue ese correo a los usuarios que se dan de alta en vuestras webs. Esto en la zona código, que recuerda, es donde aprendes a usar código sin ser desarrollador, sin tener ni idea, simplemente es una librería de vídeos que yo dejo para que te puedas ahorrar infinidad de plugins y y que puedas hacer cosas que a priori solo están al alcance de desarrolladores. Aquí simplemente ves el vídeo, copias, pegas y lo tienes y ya tienes disponible más de 360 vídeos si no me equivoco, uno nuevo además cada semana bien qué hay más incluido por ser miembro en Gonzalo es los cursos que también voy sacando un curso nuevo o una renovación de uno existente cada mes. Y en este caso tenemos curso nuevo, el curso precisamente de monitoreo web enfocado por supuesto a WordPress. Ahí vemos de forma práctica y en detalle todo lo que tiene que ver con el control de lo que está pasando en tu página web, tanto sistemas que puedas dejar automatizados, como qué hacer si detectas un movimiento extraño, pues alguien que ha accedido a tu web que no debería, visitas desde países donde desde los que se supone no te deben visitar, registros de estos a modo spam y qué hacer con todo eso. Todo explicado en vídeo paso a paso de forma práctica para que lo pongas en marcha. Así que ya lo tienes disponible en Gozar Navarro es junto al resto de cursos que son más de 80, no recuerdo el número exacto ahora mismo. Fantástico. Pues una vez vistas las novedades, vámonos ahora con el plugin de la semana, que es un plugin del que ya hablado, se llama Awesome Modal Login, pero que lo comento porque trae novedades. Hasta ahora este plugin pues te permitía tener un enlace en tu menú de navegación o donde tú quisieras en cualquier sitio de tu web para iniciar sesión. La persona le da a ese enlace o a un botón, si es que lo pones en un botón y se abre una ventana modal con los campos para iniciar sesión, el inicio de sesión normal de WordPress, pero una ventana modal muy cómoda y bonita. Yo lo tengo así en mi web por ejemplo, y es algo que me preguntáis mucho, ¿Cómo pongo el inicio de sesión como el tuyo? Pues con este plugin. Y además la novedad es que ahora es compatible también con los temas basados en bloques, porque antes de estos plugins no hay muchos, hay un par así buenos de login así en formato modal y ninguno funcionaba para el menú de navegación dentro del editor, el editor de bloques global. Y ahora os model Login si funciona, así que lo puedes usar sin limitaciones independientemente del tipo de tema que uses. Y por supuesto es un plugin gratuito, podéis buscarlo en la página oficial de plugins de WordPress o si no tenéis el enlace directo junto al resto de cosas que ya te he comentado en Gonzalo Navarro es 414. Es decir, Gonzalo Navarro es 414. Fantástico. Pues ahora sí, vámonos con el tema central del episodio. Cómo monitorear tu WordPress para evitar caídas y controlar el spam. Y comenzamos con la importancia. ¿Por qué siquiera tienes que plantearte hacer un monitoreo, hacer una revisión sistemática de todo lo que va pasando en tu web? Bueno, en primer lugar, controlar la actividad de tu web te va a permitir detectar la causa de los errores de forma mucho más fácil. A ti ahora mismo al mejor te da igual, porque tu web va todo como la seda. Pero imagínate que de repente hay un error y no sabes de dónde viene. Pues bueno, tener un plugin o un sistema que registre la actividad que hay en tu web te permite identificar el origen de problemas o de errores, especialmente si estos errores ocurren tras la instalación de un plugin o de un thing. Imagínate que haces una instalación global de la web y no sabes cuál de esos plugin ha dado el error. Pues si tú te vas a la parte de actividad y ves lo que ha ido ocurriendo, siempre te va a poner Se actualiza este plugin no sé qué, no sé cuánto, se actualiza el siguiente. Si, justo después de la actualización de uno. Que tú lo puedes ver como en un panel, ahora te hablaré de herramientas que te van mostrando toda esta información. Pues tú puedes ver los procesos, como van ocurriendo, en el orden en el que ocurren y si el error fue en un determinado momento, tú puedes tener una muy buena idea de qué proceso ocurrió justo antes del error o del fallo o de lo que sea. Entonces te da información que te ayuda a corregir problemas. También es importante porque en esta misma línea te permite analizar posibles brechas de seguridad, porque puedes rastrear los accesos no autorizados o cambios inesperados que hayas detectado en tu web. Y lo puedes comprobar en base, por ejemplo, a la hora que ocurrió algo, el origen, desde qué país ocurrió, acciones específicas del intruso. Y esto puede ser crucial, por supuesto, para identificar y corregir posibles vulnerabilidades. Ejemplo, pues de repente ves en tu web o alguien te avisa de que sale un aviso de que esa web no es segura o de que tienes phishing o algún tipo de estas cosas que muchas veces tú no te das cuenta hasta que te avisa alguien, porque nor si te hackean la web, este tipo de hackeo lo que hace es que como que te lo esconde, entonces tú cuando estás conectado como admin o lo que sea, no lo vas a ver, entonces ahí ya empieza la investigación y revisando la actividad puedes ver si ves que de repente hay una modificación en determinado archivo o incluso un usuario admin nuevo o algo así muy bestia, pues lo puedes ver fácilmente. Más el monitoreo es importante en los contextos en los que por ejemplo necesites colaboraciones con otras personas, otros usuarios, dar permisos específicos, pues tienes un editor, un colaborado para lo que sea, un director general de la web que se encarga de mirar no sé qué, pues con esta sección puedes ver la actividad, puedes ir viendo qué ha hecho cada uno, imagínate que ha pasado algo, que han publicado lo que no deberían o lo que sea y que nadie tiene la culpa, de repente nadie ha hecho nada, pues te vas ahí a la parte de actividad y tú puedes ver qué ha hecho cada usuario, que han hecho los editores, los administradores, un usuario en concreto, con lo cual puedes llevar un control, además mejora la gestión de los equipos y por supuesto la seguridad, si hay algo que tú no quieres que haga un determinado usuario pero realmente su rol tiene permiso para hacerlo y te das cuenta que lo hace, pues le dices oye cuidado que esto estás haciendo esto y a mí no me interesa que entres aquí o incluso podrías después tomar medidas y bloquearle esa funcionalidad. Más aspectos importantes por los que recomiendo que lleves un monitoreo de tu web, pues esencialmente para el mantenimiento general, sobre todo si llevas mantenimiento para clientes, cuántas veces le has preguntado a un cliente, ¿Has actualizado algo? ¿Has hecho algún cambio? ¿Y te dice no y luego lo ha hecho? Pues esto lo puedes ver si lo ha hecho o no y a veces el cliente miente porque le da vergüenza y otras veces directamente es que ni se acuerda o no le da importancia, que lo habitual es que que lo hace y no le da importancia y piensa que no, pero bueno, en cualquier caso con un sistema de monitoreo pues tú puedes ver todas las acciones que ha tomado ese usuario, no para regañarle, sino para saber dónde ha estado el problema, si justo la web se cae o tiene un problema o un plugin no funciona muy bien o lo que sea y el cliente te avisa, pues miras a ver las últimas cosas que ha hecho el cliente con su usuario y ya puedes decir pues lo mismo cuando ha actualizado este plugin es incompatible por lo que sea y no sé qué y ya pruebas, pues me voy a la versión anterior y esto lo soluciona, pues vale, ya sé que la cosa va por ahí, digamos que te ahorra mucho trabajo, sobre todo porque normalmente si le llevas la web a un cliente o el mantenimiento o lo que sea, pues los hechos, lo que haya ocurrido de verdad va a valer mucho más que lo que te pueda decir. Bien, esto en cuanto a la importancia, los porqués de monitoreo o del control de la actividad de una web. Bien, una vez vista la importancia, vamos a ver ahora qué deberías específicamente estar monitorizando. Por un lado, como ya hemos dicho un poco dentro de la importancia, debes estar monitorizando la actividad interna, esto es, un registro detallado de toda la actividad dentro de la web, incluyendo quién realizó cada acción y cuando la realiz, esto es, instalaciones de plugins, actualizaciones, cambios en alguna configuración de ajustes de un plugin o de o del propio WordPress, absolutamente todo un registro de todo lo que ocurre al detalle. Segundo, deberías estar monitorizando los errores y las causas del mal funcionamiento de la web, es decir, poder identificar de forma precisa la causa, la raíz de errores específicos para luego poder corregirlo. Tercero, brechas de seguridad, deberías estar monitorizando cuando inicia sesión la gente, quién inicia sesión, cambios de contraseña, cambios en el rol de un usuario, para así por supuesto poder identificar rápidamente vulnerabilidades de seguridad y también cambios en archivos, si hay una modificación extraña en un archivo, cuidado porque lo mismo te han inyectado algún código malicioso. ¿Qué más debes monitorizar? Y esto va muy en la línea de la importancia del monitoreo del que ya hemos hablado, pero por supuesto debes monitorizar todos los cambios realizados por tu equipo o por usuarios que sean miembros de tu web, sean miembros de pago, suscriptores gratuitos. Debes tener un registro, llevar un control de las acciones realizadas por cada usuario, de forma que tú después puedas tener un control al detalle de los permisos y la seguridad e ir corrigiendo cosas si son necesarias o regañando al que tengas que regañar. Y por último, el uptime del servidor, es decir, la disponibilidad del servidor, Debes hacer un seguimiento en tiempo real de si el servidor está operativo y disponible para los usuarios, es decir, si tu web está funcionando, básicamente lo típico que vas a una web y dices error 500 no sé cuánto y la web no se ve, pues eso es que se ha caído el servidor. Y la clave aquí es no sólo llevar este seguimiento, es que te avisen de alguna forma, ya sea por SMS o por email si se produce una caída, porque así pues puedes tomar alguna acción, contactar con el hosting o si ha sido por tu culpa, porque has actualizado algo, pues revertirlo, lo que sea. Ahora hablaremos de cómo podemos poner todo esto en práctica. Por un lado para todo lo que tiene que ver con controlar la actividad, lo que te he dicho de un registro de toda la actividad, comprobar si alguien instala, actualiza, comprobar los errores, todo lo que hemos hablado hasta ahora lo puedes controlar con varios plugins, los dos que más me gustan a mí son Activity Log, de los que te dejo un vídeo enlazado de uno de los cursos y Stream. Stream es uno más reciente, más visualizado, para mí más completo y del que tienes un curso nuevo, acaba de salir. En este curso nuevo que acabo de publicar de monitoreo web, dedico una clase completa a Stream y ver paso a paso todo lo que te arroja, cómo puedes analizar todo lo que va pasando en tu web. También relacionado con los plugins que tienes, un control total de la actividad, de todo lo que ocurre, cambios, procesos, lo que sea dentro de tu web. Si es un vídeo aproximadamente de unos 20 minutos donde vemos el plugin de principio a fin y todo lo que te aporta y qué hacer cuando te encuentras con alguna actividad extraña. De Activity Log, que es otro plugin similar que lleva más tiempo en el mercado, pero que no es tan completo en cuanto a lo que te muestra de actividad, también tienes un vídeo ya digo, y en cuanto a lo que hacen estos plugins, pues todo lo que te he comentado anteriormente, ya digo, Stream es más completo en cuanto a la actividad que te muestra. Y luego quería hacer una parte para hablarte de un plugin específico, ya no tanto enfocado en la actividad, que también pero menos, sino en el control de los usuarios a nivel individual. Y este plugin se llama Banhammer y está pensado para banear, expulsar, bloquear el tráfico no deseado, bloquear usuarios específicos o simplemente tráfico, una IP entera por ejemplo, y ya digo, lo puedes hacer con Banhammer. Entre sus características Control total sobre los accesos, aquí puedes decidir quién puede y quién no puede acceder iniciar sesión en tu sitio web, ya digo a nivel de usuario, a nivel de IP y de otras características. Segundo, MONITOREO DEL TRÁFICO. Quién visita tu web desde una zona que ellos llaman Armory, por cierto el autor es Jeff Star, que es un desarrollador que me gusta a mí bastante, que tiene varios plugins y te ha hablado de ellos en el pasado, pues desde esta zona, desde el Armory puedes vigilar el tráfico de tu web y revisar los visitantes que parezcan sospechosos, si tienes visitas de hiper rusas que acceden muchas veces y demás y que acceden y se van, pues lo puedes ver en un panel desde del Armory y como consecuencia la siguiente característica, puedes banear, bloquear fácilmente a estos usuarios o incluso a bots que sean problemáticos, Si identificas algún usuario, ya digo, un bot que está causando problemas porque hace demasiadas visitas, pues le das a banear y hasta luego. También tienes la posibilidad de si piensas que algo es raro pero no estás seguro de si es malo o no es malo, lo marcas como advertencia y así pues le puedes hacer tú después un seguimiento, dices estos tráficos o estas visitas me parecen un poco raras las marcas y ya después las tienes más fácil para ir analizando. ¿Que te das cuenta de que es normal? Pues no pasa nada, lo quitas. ¿Que te das cuenta de que no te interesa? Pues los baneas, por supuesto, si a un usuario lo baneas, le quitas el acceso, pues ya no pueden entrar a tu web, no pueden iniciar sesión cuando es un usuario digamos con usuario y contraseña, así garantizas pues la seguridad y sobre todo ahorrarte el spam de esa persona. Y luego si quieres restaurar el acceso a alguien porque te has equivocado, tienen una zona que se llama Tower dentro de este plugin torre, pues le restauras el acceso desde ahí, porque ahí te aparecen como una lista de todos los que has baneado. Esto no es útil para todos los casos, pero si tienes una web en la que el registro es gratuito y lo tienes abierto porque la gente se tiene que registrar antes de hacer algo, esto es muy apetitoso para los spammers, entonces se registran, ponen un comentario con enlaces por si picas y el rollo es que se te queda ese usuario registrado, que en teoría no pasa nada porque con acceso de suscriptor pues no va a hacer nada pero no quieres tener ahí a gente que son spammers en realidad, pues con esto lo vas bloqueando. Si no es tu caso y no te pasa esto, no tienes que usar este plugin, esto es más para estos casos específicos, sino con un sistema con Activity Log o Stream tienes más que suficiente. De hecho son como complementarios porque este segundo, este tercer plugin Banhammer está enfocado a esto, a control específico sobre los usuarios, a verlo todo, desde qué país viene a tener esas opciones de bloquear directamente, ese es otro enfoque y también dedico una clase completa a este plugin que además yo uso en uno de mis proyectos que precisamente tengo abierto el registro al público porque la gente como que rellena un formulario para enviar unos datos y yo después acepto o no los de spam, no los acepto por supuesto, pero quiero ir cargándome a todos estos spammers para que no sigan, al final la gente sigue entrando con otros correos, pero bueno, vas bloqueando y demás y algo te quitas, en muchos casos te quitas todo. Bien, esto es como hacer toda la parte del control de actividad, con qué herramienta puedes hacerlo, que ya digo, las puedes instalar, son todos servicios gratuitos y si necesitas ayuda para configurar todo y ver cómo aprovechar todas esas herramientas, pues tienes el curso disponible. Y por último, hablando del tema de controlar el uptime, es decir, el tiempo en el que tu web está en vivo, que no se ha caído, que está disponible, pues aquí a ver, si ya usas un servicio centralizado para el mantenimiento, va a incluir seguramente la opción de monitoreo de caídas, el aviso que te avise si tú se CAE, por ejemplo modular 10 y ManageWP de los que tienes en dos cursos incorporan esta funcionalidad, tú le dices avísame si algo pasa, vamos, algo pasa no, si la web se cae, incluso puedes controlar qué es para ti que la web se caiga, porque a lo mejor si pasa 30 segundos puede ser porque se está produciendo una actualización de la web y momentáneamente está en modo mantenimiento, entonces puedes controlar eso, decir solo voy a considerar una caída si pasan pues más de un minuto sin que se pueda conectar con el servidor y entonces te avisa, te llega un correo o si lo quieres por SMS, un SMS y ya pues vas y lo compruebas y haces pues lo que tengas que hacer para solucionar, ya digo, si usas un servicio de estos ya lo tienes incluido, si no porque llevas solo tu web y no te interesa un servicio externo para llevar el mantenimiento de toda tu web o de todas tus webs. Pues las dos mejores opciones gratuitas hay miles seguramente, pues a lo mejor hay otra mejor, pero de las gratuitas, para mí las dos más completas son Uptime Robots y Site Uptime. En el vídeo del curso yo te enseño, te muestro las dos, pero te enseño a utilizar Uptime Robot. Es muy fácil, lo configuras un poco lo que quieres recibir, qué consiste o qué es para ti una web caída, cuánto tiempo tiene que pasar, a dónde te tiene que llegar y demás. Y luego pues si quieres más control que te llegue por ejemplo cada menos tiempo o avisar a más gente o lo que sea, pues entonces te puedes pasar una opción de pago. Pero por norma general las opciones gratuitas de estos servicios que he contado son suficientes. Bueno, creo que con esto cubrimos bien todo lo que es el tema de el control de la actividad de tu web y el control del estado del servidor y las herramientas que te permiten lograrlo de forma relativamente sencilla. Como siempre, darte las gracias antes de irme por estar ahí escuchando al otro lado y si compartes este episodio con más gente, pues doble gracias. Aquí lo dejamos nada más por este episodio, nos seguimos escuchando, Adiós.