423 | Si sólo vas a elegir una medida de seguridad web, que sea esta

En el episodio 423 de WordPress Semanal descubrirás cuál es la medida de seguridad más crítica y cómo puedes implementarla en tu WordPress fácilmente. Vamos allá. Hola, hola, soy Gonzalo Navarro y Bienvenidos al episodio 423 de WordPress Semanal, el podcast en el que aprendes a crear y gestionar tus propias webs con WordPress en profundidad. Y hablamos de un tema de la seguridad. Hay muchísimos contenidos en Internet acerca de la seguridad en WordPress, si WordPress es seguro, si no lo es. Hay muchos intereses también, porque al final hay gente que se gana la vida ofreciendo seguridad no solo para WordPress, sino para soluciones a medida o lo que sea. Y como WordPress es tan popular, está en tantas webs o se usa para tantas webs, no en vano cubre o es el responsable de alrededor del 40% de todas las webs que hay en Internet. Y se usa por todo tipo de usuarios, usuarios que saben más, que saben menos. La propia condición de WordPress, que es código abierto, es un proyecto colaborativo, pues hace que se creen muchas extensiones alrededor de WordPress, incluso empresas, negocios. Entonces es un mundo enorme. Y como tal, pues tiene muchos ojos encima, entre otros ojos los de los hackers. Por eso ese debate de si WordPress seguro, no es seguro y demás, que ya te adelanto que sí que es muy seguro, otra cosa es el uso que hagas de él. En cualquier caso, en este episodio vamos a simplificar todo y vamos a ver las medidas de seguridad más importantes que tienes que implementar en WordPress, que se reducen a dos, tres, cuatro medidas, incluso te diría que dos o una, que si solo fueses a implementar esa, pues tendrías cubierto el 80 % de lo que tienes que hacer en cuanto a seguridad en tu web con WordPress. Ahora lo vemos. Pero antes, como siempre, novedades. ¿Qué está pasando en Gonzalo Navarro es esta semana? Pues tenéis nuevo vídeo. Ya sabéis que cada mes saco un vídeo nuevo o una renovación de uno existente, y en este caso es más o menos una renovación. En el curso de seguridad en WordPress, que ya lleva publicado un tiempo y que he ido actualizando también varias veces, hay una clase dedicada a un plugin de seguridad que antiguamente se llamaba Item Security y que previamente se llamaba WordPress Better Security. Ese plugin original lo compró la empresa Ithems y esta empresa, Ithems, hace relativamente poco que cambió de nombre y ahora se llama Solid WordPress, entonces este plugin ahora se llama Solid Security y ha cambiado todo su aspecto, sus paneles, entonces requería una renovación y en el grupo de Telegram pregunté si los que son miembros ahora mismo en Gonzalo Navarro es prefieren o preferían que renovara sólo ese vídeo haciendo un vídeo largo o que hiciera un curso con las clases que diera y estaba muy empatado, ganaba por un poquito que renovara el curso. Lo que pasa que como estaba tan empatado y yo sinceramente pienso que es mejor dividir por clases, aunque sean pocas clases, pues al final he hecho un curso con las clases que da, que son poquitas, son tres clases en las que vemos cómo instalar y configurar Solid Security. En la segunda clase vemos una configuración más avanzada, nos adentramos en el detalle de cada configuración de seguridad y la última clase la dedicamos a otra cosa de la que no te quiero hacer spoiler porque es precisamente la medida de seguridad más importante o que más beneficio puede darte en términos de seguridad. Así que te la desvelo a lo largo del episodio porque es uno de los puntos esenciales del episodio de hoy. En cualquier caso ya tienes acceso si eres miembro al curso de Solid Security y si vas al curso de Seguridad General y a la clase donde explicaba el uso de este plugin, pues verás un enlace o una redirección, no sé todavía cómo lo voy a hacer, a este curso para que puedas consumirlo de forma sencilla. Recuerda que además de este tienes unos 80 cursos ya publicados. Pues esto, cosas esenciales como la seguridad, la optimización del rendimiento de carga de tu web, el SEO y luego por supuesto, pues vídeos de WordPress puro y duro, tanto a nivel básico como a nivel avanzado, vídeos concretos de los plugins más populares para crear tiendas online, para crear webs de eventos, webs de membresía, webs de venta de cursos, también cursos para cómo utilizar los constructores visuales más populares, no solo el nativo, sino otros como Elementor, en fin, todo lo que necesitas para crear y gestionar webs con WordPress de forma profesional. Más novedades, Nuevo vídeo de la zona código. Esta es otra de las cosas que tienes disponible cuando eres miembro y son vídeos en los que te explico cómo copiar y pegar un trocito de código para mejorar algo del funcionamiento o del aspecto de tu web y están enfocados a gente que no sabe desarrollo para que lo veas, copies, pegues y lo tengas. Y en este caso es casualidad, no lo tenía así pensado, pero ha sido casualidad por cómo tengo gestionado la publicación de los contenidos. ¿También está relacionado con la seguridad y es cómo puedes eliminar la versión de WordPress que usa tu web? Pues por eso, por seguridad. ¿Y por qué querrías hacer eso? ¿Por qué querrías eliminar la versión de WordPress? Pues esto se hace para lo que te comentaba al principio, hay muchos ojos sobre WordPress porque está en tantas webs, hay usuarios que son descuidados, que no llevan un correcto mantenimiento ni un mínimo de seguridad. Pues ya lo que te comentaba, que los hackers pueden estar pendiente de eso. Pues una de las cosas que miran los hackers es la versión de WordPress que tienes en ese momento. Porque imagínate que es una web súper desactualizada y que se conoce que hay una vulnerabilidad en esa versión. Pues no lo sé, que se puede entrar por lo que sea, porque hay un archivo que permite entrar de determinada forma. Pues entonces esto, un hacker que sepa un poquito, usa un programita y detecta todas esas webs que tengan la versión lo que sea de WordPress y venga, tienen esa versión y sé que esto tiene esta vulnerabilidad, voy a intentar hackearla por aquí. Pues si tú eliminas la versión de WordPress ya por lo menos no vas a aparecer en esa lista de webs que haya sacado el hacker en cuestión. ¿De acuerdo? Es simplemente una línea de código que copias, pegas y lo tienes. De todos modos te voy a hablar de cómo hacer este tipo de cosas también con plugins en el episodio de hoy. Sí, fantástico. Recuerda que para acceder a todo lo que voy comentando lo puedes ver en tu aplicación de podcast donde estés ahora en las notas de este episodio. Y si no tienes opción de clicar en enlaces porque algunas aplicaciones no lo permiten, pues puedes irte a la web en Gonzalo Navarro es 423. Vas directamente a todo este episodio en formato texto con los enlaces y con todo muy bien ordenadito. Y ahí también encontrarás el plugin de la semana, que es de lo que te voy a hablar ahora mismo y que se llama Integrate Google Drive, es decir, Integra Google Drive. Y esto es una pregunta bastante habitual que me hacen por soporte cómo se puede integrar Google Drive en una web para que se, pues que haya una carpeta y que se pueda acceder a esos archivos, incluso subir los archivos directamente ahí. Y también me lo preguntaron el otro día en la comunidad de miembros, cuando eres miembro tienes acceso a la comunidad en Telegram, y me lo preguntaron y pasé el enlace a este plugin que es uno de los que mejor está y te permite administrar y compartir documentos y archivos que haya en Google Drive en tu web, puedes navegar por ellos, puedes incrustarlos si quieres, ya digo, puedes subir, puedes permitir la descarga de ellos, se puede buscar entre los archivos, reproducir si hubiese algún archivo de vídeo o de audio, en fin, está bastante bien, hay más opciones, pero esta es de las mejores que he visto. ¿Venga, pues ahora sí, vámonos con el tema central del episodio, cuáles son las medidas de seguridad más importante en WordPress? Pero vamos a empezar por los básicos de la seguridad. ¿Cuáles son estos básicos? Bueno, ya he publicado episodios al respecto y en el curso de seguridad, pues la primera clase está dedicada a estos básicos, pero para ponernos en situación vamos a recordarlos muy rápidamente. El básico número uno de La seguridad en WordPress es el sentido común, cosas como tener nombre de usuario y contraseña fuertes, no compartir tu usuario con todo el mundo, llevar un mínimo mantenimiento, ir actualizando tu web, esto es parte del sentido común. Otro básico, la protección de archivos sensibles, archivos que pueden influir en la configuración de la web, que pueden permitir que alguien que tuviese acceso a ellos, pues escribiendo algún tipo de código pueda destrozar tu web o inyectarte código malicioso, pues es importante, digo protección de archivos sensibles, protegerlos más, digamos que ya vienen de por sí protegidos, tienen a nivel de servidor una protección mediante la cual no puede venir cualquiera y acceder a ellos, pero podemos proteger más archivos como el. Htaccess o el archivo de configuración de nginx, dependiendo del tipo de servidor, esto suena un poco técnico, pero con los plugins se configura muy fácil, o también el propio archivo de WP Config, que es el archivo de configuración de WordPress, pues estos son archivos sensibles que hay que proteger aún más de lo que ya están. Tercer básico, proteger los accesos y las sesiones, es decir, la propia página de inicio de sesión, la propia página del panel de administración, cuánto tiempo puede estar un usuario conectado este tipo de cosas, por ejemplo, solo con cambiar la URL de inicio de sesión pues ya te estás quitando un montón, porque muchos de estos programitas automáticos que van a intentar iniciar sesión con combinación de usuario y contraseñas, pues si no encuentran la página de inicio de sesión de tu web, pues fíjate todo lo que te has quitado ya de encima. Entonces este tipo de cosas son básicos de la seguridad y otro básico es ocultar información sobre tu web. Esto que te decía yo de por ejemplo que no se sepa desde fuera qué versión de WordPress usa esa web, también te quitas un montón de cosas de un plumazo. Ahora veremos cómo poner todo esto en marcha, pero antes vamos a ver esto que te prometí al principio, las dos medidas de seguridad que más impacto tienen. No quiere decir que solo tengas que hacer esto, pero imagínate que solo puedes tomar una o dos medidas, pues estas son las que yo tomaría. Lo típico de pareto, el 20% que puedes hacer que va a tener el 80% de impacto o de buenos resultados, Pues serían por un lado el doble factor de autenticación o el doble inicio de sesión. ¿Esto qué quiere decir? Pues esto quiere decir, vamos, lo vas a saber porque te va a pasar en casi todas las webs, por eso lo ves por todos lados, porque es una de las medidas de seguridad más eficaces que cuando tú intentes iniciar sesión en un sitio tú pones tu usuario y contraseña están correctos pero no entras sino te dicen pon el código que te acaba de llegar a tu email o el código que te acaba de llegar a tu móvil o por SMS o lo que sea, pero es un paso extra para poder finalmente iniciar sesión. Esto lo puedes implementar con WordPress de forma muy sencilla, de hecho la clase 3 del curso de Solid Security está dedicada precisamente a esto. Bueno, también cubro qué pasa si tú mismo te quedas fuera, porque hay veces que pones tu web tan segura que te puedes quedar tú mismo fuera porque te has pasado o porque yo que sé, se te ha olvidado alguna configuración o lo que sea. Te explico cómo recuperar acceso a tu propia web en el caso de que te quedes fuera porque caigas en la trampa de alguna de tus propias medidas de seguridad. Pues ya digo que esta es una de las más importantes y se puede configurar con Solid Security pero también con muchos otros plugins o con plugins específicos para esto y de distintas maneras. Lo puedes configurar, como digo, para que llegue a tu móvil o para que llegue a tu correo o incluso hay veces que puedes poner una medida de protección extra, en este caso para ti como usuario o para los usuarios que van a iniciar sesión y son con unos códigos de seguridad que cada persona se puede descargar e imagínate que no le funciona el correo, que no le funciona la aplicación donde le llega el mensaje, pues siempre puede recurrir a esos códigos de seguridad únicos para esa persona y que tiene guardados pues en algún lado, apuntados en algún lado. Hay muchas, muchas formas y muchas opciones. Bien, ¿Cuál es la segunda gran medida? Un cortafuegos, lo que en inglés se llama firewall, es una herramienta de seguridad que funciona como un filtro entre tu web y el tráfico que recibe. Básicamente verifica cada visitante antes de permitirles entrar a tu web, antes de permitirles llegar y si encuentra algo sospechoso, pues lo bloquea, ¿De acuerdo? Y entonces esto funciona con bases de datos que ya existen, que ya se van acumulando de la información que se recogen a través de servicios especializados o de otras webs y que tú la puedes aprovechar para bloquear todo eso. Entonces esto te quita un montón. Pero no sólo eso, sino que además tú puedes ir recogiendo tu propia información y que se vayan bloqueando, por ejemplo, gente que sí consigue pasar ese cortafuegos, pero que tú luego con otras medidas, por ejemplo, que intentan iniciar sesión muchas veces, que claramente se ve que es un bot o alguien malintencionado y se le bloquea, pues eso ya se añade y ya se queda también en esa capa superior y si esa, por ejemplo, desde esa IP se intenta volver a entrar, ya no puede, ya se queda ahí en ese cortafuegos. Entonces, con estas dos medidas tienes la mayoría del trabajo hecho. Sumándole quizás el sentido común. ¿Cuál es la forma más sencilla y más eficaz de aplicar todas estas medidas? A ver, se pueden implementar de muchas maneras. Algunas de las básicas que te he dicho las puedes implementar muchas de ellas por código y luego usar plugins muy específicos para cosas como el doble factor de autenticación o el cortafuegos o incluso el firewall cortafuegos. Lo puedes hacer con un servicio aparte, lo puedes hacer a nivel de servidor, desde tu hosting, contratándolo ahí hay muchas opciones, pero para ponerlo todo en marcha y gestionarlo de una forma sencilla para la mayoría de usuarios, lo más sencillo es usar un plugin que traiga todo, incluso sería lo más eficiente, quizás para un perfil de persona más técnica pues a lo mejor no, pero para el grueso de los que usamos webs con WordPress es la mejor opción. ¿Ahora, qué plugin uso? ¿Qué uso para esto? Bueno, hay muy buenas opciones, hay un montón, pero para mí una de las más sencillas de configurar y que encima trae pues todo lo necesario es Solid Security. Ya me lo parecía antes cuando era security, cuando era WordPress veterinario, ya me parecía de las más sencillas para el usuario, pero además es que ha ido mejorando y tiene características pues que antes no tenías. Sí, pero ya digo, me parece una gran opción. Lo primero es que las opciones esenciales ya vienen preconfiguradas, están explicadas además, lo típico que tienes la opción y debajo pues te ponen un pequeño texto, están explicadas para humanos, para humanos además que no sean expertos ni en desarrollo ni necesariamente en seguridad, además es que ofrecen pues todo lo necesario en su versión gratuita, incluyendo el cortafuegos e incluyendo la característica de inicio de sesión en dos pasos, que además esta última es súper configurable, puedes decidir por ejemplo que los suscriptores no tengan por qué activar esta característica. Imagínate que tú tienes como es mi caso una web de miembros y sabes que tus miembros se pierden con la parte técnica, si tú les haces configurar este doble factor para iniciar sesión puede que a lo mejor pierdas gente en ese camino, entonces a lo mejor te puede interesar decir vale, como el rol de suscriptor, que el que se le va a asignar a un miembro no tiene ningún tipo de acceso, no puede hacer nada a nivel de administración, pues venga, no hace falta que tenga que activar este proceso de doble factor, lo voy a dejar solo para los roles importantes, para los administradores, los editores, incluso colaboradores, gente que vaya a tocar cosas en la zona de administración, entonces ahí sí es obligatorio que esta persona configure el doble factor para iniciar sesión en dos pasos. Entonces todo esto lo puedes ya digo configurar desde Solid Security, así que para mí está muy bien porque tiene ya digo lo básico que te viene la configuración esencial, que si tú pues la dejas más o menos sigue su panel inicial, es típico que te da la bienvenida, que tú vas marcando cosas pues realmente lo tienes, que luego quieres profundizar más pues tienes también muchísimo control y muchas opciones que es por supuesto lo que vemos en el curso Cómo sacar el máximo partido Porque además este es el típico plugin que realmente una vez lo configuras pues ya rara vez lo vas a volver a usar salvo que quieras hacer un análisis de seguridad que también puedes hacerlo y que es algo que por ejemplo que antes no tenía y que una de sus principales competencias como Word Fence sí que tenía pues ahora Solid Security también la tiene. Entonces al final van ganando en características, es súper fácil de configurar y de utilizar así que la verdad que es de mis favoritos, ya lo era antes y lo sigue siendo pero bueno, te he dicho que Hay muchas opciones. ¿Existen alternativas igualmente eficaces que sean buenas? Sí, por supuesto que sí. Vamos a mencionar algunas de las alternativas a Solid Security y si hay algún caso en el que yo pienso que es peor en algo pues te lo comento. Por ejemplo tenemos Jetpack. Jetpack es un plugin de plugins, es un plugin que tiene un montón de módulos que tú puedes activar o desactivar y si ya lo estás usando para otras cosas pues seguramente puedas aprovecharlo para la seguridad. ¿Instalarlo solo para la seguridad? Pues no, yo sinceramente no lo haría, utilizaría otra opción específica de seguridad. Después tenemos el ya mencionado Word Fence que es uno de los más populares, si no el más popular que trae muchas opciones para mí un poco abrumadoras porque no se entienden tan bien como las entiendes cuando estás configurando Solid Security y además es más pesado desde el punto de vista interno, pero si lo estás usando es muy buena opción también. Ya digo, está activo en 5 millones de webs así que imagínate. Después tenemos su Curiosecurity que es una empresa que para mí para desinfectar webs hackeadas es la mejor. Yo lo uso y no es caro, no sé si son 190 dólares o así y luego tienes durante un año esa protección que si te vuelven a hackear la web pues te la desinfectan de nuevo. Yo lo uso para clientes sobre todo, en lugar de hacer yo la desinfección prefiero utilizar una empresa reputada que son expertos en ello, que encima te quita muy rápido los típicos avisos de Google de que te sale un cartel rojo de web no segura pues ellos eso te lo quitan súper rápido. Entonces yo cuando me solicita un cliente esto subcontrato el servicio de Sucuri. Pero en cuanto al plugin, que tienen un plugin también en WordPress tiene muchas menos opciones que por ejemplo Word Friends o Solid Security y estas. Después tenemos otras opciones como Fluent Aut, que lo he comentado en algún episodio porque es un plugin de seguridad como más minimalista, como que su panel de opciones es el típico que te viene como tres o cuatro pestañas y con casillas que marcas y desmarcas, te trae lo básico y para los que sois fans de así un enfoque minimalista donde no te crean un panel diferente. Por ejemplo Solid Security es muy sencillo, es muy amigable, pero tiene un panel con sus propios colores y demás, no es como los típicos plugins que respetan exactamente el diseño de WordPress y que se integran y que parece simplemente unos ajustes de WordPress normal, que es el caso de Fluent Audi, este está mucho menos extendido, estará activo pues no sé, menos de 10.000 webs. Por cierto, Solid Security no lo he dicho pero creo que está en unas 900.000 webs, no sé si si llega al millón, pero vamos, también es hiper hiperpopular. Después tenemos también por ejemplo All in One WordPress Security, que este es uno de los más longevos y también uno de los más populares. No sé si es este el que está activo en 5 millones. Espera, voy a comprobarlo. No, Wordfence efectivamente está activo en 5 millones milones. All in one WordPress Security en un millón y Solid Security en 900 mil. Sucuri Security por ejemplo en 800 también es súper popular. Bueno, como te decía, All in one WordPress Security, el problema con este es que para tener el doble factor de inicio de sesión necesitas la versión premium, así que yo sólo por eso, bueno, salvo que la quieras pagar yo ya lo descartaría. Y luego también, bueno, hay muchos más plugins y van saliendo nuevos y bueno, hay muchas opciones, pero otra de ellas es las opciones de tu servidor. Muchas veces el servidor tiene ya un montón de opciones para configurar la seguridad de tu web e incluso algunos te ofrecen un plugin, por ejemplo SiteGround tiene un plugin de seguridad que antes era solo para los usuarios de SiteGround y que ahora es para todo el mundo. De hecho antes creo que se llamaba SiteGround Security y ahora simplemente se llama Security Optimizer y tiene todo lo esencial, el doble factor de autenticación, cambiar la URL de login, todo este tipo de cosas. Así que sí, hay muchas opciones y yo lo que te diría es que si ya usas una opción que te funciona, pues no merece la pena cambiar. Si estás empezando de cero, pues bueno, pues te puedes valer de este episodio y decir, vale, pues el enfoque este de que sea de lo más sencillo de configurar y que traiga todo lo esencial de Solid Security, pues me voy con Solid Security, pero si ya usas algo y te funciona, pues quédate con ello. En cualquier caso, te animo a que le eches un vistazo al curso de seguridad en WordPress, porque ahí vemos paso a paso todos los aspectos que he ido comentando, por ejemplo, de los básicos en seguridad, pues dedico una clase a cada uno para que se entiendan perfectamente toda la parte de proteger los archivos esenciales, incluso no lo he comentado, pero dentro de esta temática está proteger carpetas donde se podría inyectar código malicioso, protegerlas más, como la carpeta de subida de imágenes, en fin, todo esto queda explicado y luego a través de vídeos específicos de plugins, como por ejemplo Solid Security, cómo poner todo esto en marcha, o incluso si te interesa implementar medidas de seguridad a través de reglas que tú escribas o que tú copies y pegues de las que yo te dejo, o de instrucciones por código, pues también lo puedes hacer. Y si eres de los que prefiere contratar estos servicios en lugar de ver la formación para hacerlo tú mismo, pues escríbeme en Gonzalo Navarro es en la parte de contacto y lo comentamos. Nada más por este episodio, nos seguimos escuchando. Adiós.