434 | Protege tu web contra las nuevas amenazas (8 medidas fáciles de aplicar)

En el episodio 434 de WordPress Semanal te cuento las 8 áreas que debes tener en cuenta para mejorar la seguridad en WordPress en los tiempos que corren. Vamos allá. Hola, hola, soy Gonzalo Navarro y Bienvenidos al episodio 434 de WordPress Semanal, el podcast en el que aprendes a crear y gestionar tus propias webs con WordPress en profundidad. Y hoy hacemos un episodio enfocado en la seguridad, sobre todo porque ya hace algunos meses y pasa de vez en cuando que algún gran plugin, algún gran servicio tiene una vulnerabilidad de seguridad y suele haber bastante revuelo. Por ejemplo Briggs, que es un constructor visual bastante popular, pues tuvo una vulnerabilidad bastante gorda y entonces suele haber mucho revuelo con esto. Y le puede pasar, por muy buenos desarrolladores que tengan, les puede pasar, pueden tener algún tipo de problema en su código, algún fallo, y lo ideal es que tú estés preparado incluso para estas situaciones. Y esto es lo que te voy a explicar en este episodio. 8 cosas que puedes hacer o que debes tener en cuenta para protegerte al 99% porque no puedes estar 100% seguro nunca, porque no todas las variables dependen de ti, pero al menos que hagas todo lo que esté en tu mano. Pues vamos con todo esto en un momentito. Pero antes, como siempre, vamos a ver las novedades, que esta semana hay un nuevo vídeo de la zona Código súper relacionado con uno de los puntos de los que vamos a hablar en este episodio. Así que cuando me adentre en él te comentaré de qué va este vídeo y por qué puede ser muy útil sobre todo en términos de seguridad. Y también te quiero recomendar lo que ya tienes disponible en Gonzalo Navarro es pues sobre seguridad. Tienes por ejemplo el curso de Solid Security, que es uno de los plugins más fáciles de configurar y más completos. Es un curso bastante reciente, lo publiqué hace muy poquito y lo mencionaré a lo largo de este episodio seguro. También tienes cursos de mantenimiento web y en ellos tratamos la seguridad o aspectos muy relacionados con ella. Por ejemplo, tener buenos sistemas de copia de seguridad, comprobar posibles vulnerabilidades. En fin, te lo iré comentando también a lo largo del episodio, pero que sepas que los tienes disponibles. Y por último, animarte a que te apuntes a la newsletter de WordPress semanal, no solo por el ebook gratuito que recibes cuando te apuntas con los cinco pasos para crear una web perfecta con WordPress. Está disponible en formato ebook, en formato PDF, sino por todo lo que vas a recibir cada semana, que si te gusta este podcast, te va a gustar lo que recibes en la newsletter, donde además de los contenidos ya digo que voy enviando, pues cuando saco una guía nueva, cuando saco algún taller online, pues lo publico primero ahí. De hecho voy a sacar la guía de los 30 trucos WordPress para gente que ya tiene experiencia en el mundillo. Ya mandé los 15 primeros a modo de aperitivo a los que son miembros de la newsletter y gustó muchísimo y ya tengo los 30 preparados. Solo me queda darle un poquito de formato a la guía y muy pronto la publicaré. Así que si estás dentro la vas a recibir en cuanto la tenga. Para apuntarte solo tienes que ir a Gonzalo Navarro, es lista. Perfecto. Pues una vez vistas las novedades y las recomendaciones recomendaciones, vámonos ahora con el plugin de la semana que se llama Export Media with Selected Content. De nuevo un plugin con un nombre súper explicativo y básicamente te permite exportar entradas o cualquier otro tipo de contenido y puedes decir quiero que junto a esta entrada se exporte todos estos contenidos multimedia, las imágenes, lo que sea. Esto es algo que a priori tú podrías hacer. Tú podrías irte a las herramientas de WordPress, darle a exportar y exportar las entradas en teoría con las imágenes, pero esto no funciona casi nunca, por no decir nunca, siempre da fallos, o casi siempre siempre da fallos a la hora de cuando te llevas ese contenido, te lo llevas a otra web, lo importas. Normalmente no se ven los elementos multimedia. Entonces este plugin es una herramienta alternativa, está activo en unas 100.000 webs con WordPress, tiene muy buenas valoraciones y funciona genial. El otro día se lo recomendé, no recuerdo si por la comunidad en Telegram o por el soporte, pero lo recomendé a un miembro. Sí, fantástico. Bueno, pues ahora sí, vámonos con el tema central del episodio. Cómo proteger tu web contra las nuevas amenazas. Ocho medidas fáciles de aplicar. Y como te decía al principio, este episodio viene un poco por esos revuelos que se forman de vez en cuando, sobre todo si un plugin bastante popular tiene una vulnerabilidad y a raíz de ahí pues puede ser que algunas webs se vean hackeadas, pero sin embargo otras que también tienen ese plugin no se ven hackeadas. Pues bueno, esos que no tienen su web hackeada puede ser por pura suerte o puede ser porque tengan medidas que realmente les protejan aunque pase algo como esto. Y según lo veo yo, hay ocho aspectos, ocho claves que debes tener en cuenta para estar lo mejor protegido posible. Y vamos sin más dilación con la primera de ellas, que es tener un alojamiento de calidad. Pero ¿Qué quiere decir esto? Siempre la gente te dice, no, tienes que tener un buen hosting, un servicio de alojamiento de calidad. ¿Qué quiere decir esto? Bueno, sobre todo en términos de seguridad, quiere decir que se preocupe por la seguridad, que tenga medidas implementadas para proteger las webs que se alojan en sus servidores. Una de las más importantes es que tenga un firewall, un cortafuegos a nivel de servidor, se llama WAZ normalmente, que me parece parece que sus siglas quieren decir Website Application Firewall. Y este cortafuegos, digamos a nivel de servidor, es más efectivo que tenerlo con un plugin en tu web, porque se coloca antes, digamos que es una capa de protección antes siquiera de que el posible visitante o lo que sea llegue a tu web. Después hablaré del firewall porque le voy a dedicar un punto específico cuando hable del firewall que puedes poner tú en tu web, porque no está mal que tengas varias capas, que tengas un firewall a nivel de servidor y luego que tú tengas uno a nivel de tu web. Hablaré de ello un poco más adelante y así te explicaré un poco más en qué consiste esto de un cortafuegos. Bien, ¿Qué más debe tener un alojamiento considerado de calidad desde el punto de vista de la seguridad? Pues muy importante, súper importante que tengan aislamiento. ¿Qué quiere decir esto? Pues que cada web que hay en el servidor esté aislada del resto. Y ya no solo tus webs con respecto a otras webs de otra gente, en el caso de servidores compartidos, sino tu web con respecto a otras webs tuyas. Muchas veces tú contratas un hosting y en tu propio servidor instalas varias webs, puede ser que sean para ti o para clientes tuyos. Pues esto es muy importante, que estén aisladas. Imagínate que hackean una de ellas si el servidor no tiene un sistema de aislamiento, pues si se hackea una, se van a hackear el resto y ahí sí que la hemos liado. Entonces esto míralo, las características del hosting cuando lo vayas a contratar. Luego también es importante que tengan la última tecnología, no ya solo por rendimiento, que viene muy bien, sino también por seguridad. Hay algunas versiones de PHP por ejemplo, que no se consideran demasiado seguras, entonces si el hosting no te da la posibilidad de que aumentes o de que subas la versión de PHP, pues estás limitado o puedes no estar tan protegido. Y en general con la tecnología, si ves que es un hosting que va actualizando, que va estando a la última en cuanto a tecnología, buena señal. Y otra característica es que hagan copias de seguridad diarias. Esto los ofrecen casi todos hoy en día, pero te puedes encontrar alguno por ahí que no. Bien, vamos al punto número 2. Fíjate que te acabo de hablar de que tu hosting haga copias de seguridad, pues el punto número 2 es que tú hagas tus propias copias de seguridad. En muchos casos esto de la seguridad consiste en tener varios frentes, en poner distintas capas de protección, pues con las copias de seguridad lo mismo, si por lo que sea las de tu hosting se ven comprometidas, que tú tengas otras copias en otro sitio y no almacenadas en tu servidor. Porque si las tienes almacenadas en tu servidor, que por ejemplo hay plugins que tú haces copias de seguridad y se guardan en tu propio servidor, ¿Qué pasa con esto? Que si hackean tu web pueden ser que esas copias de seguridad también se vean vulneradas y tú intentes volver a una copia anterior y esa copia también esté hackeada o también esté comprometida. Pero si tienes copias que se guardan en otro sitio, por ejemplo hay servicios o plugins que te permiten vincularlo con Dropbox o con tu cuenta de. No me acuerdo cómo se llama de Google, esto que te lo guarda también incluso servicios como ManageWP o ModulArts que los guardan en sus propios servidores, son servicios que te permiten llevar el mantenimiento de tus webs con WordPress y que las copias se guardan ahí en el servidor de ellos, con lo cual no está en el servidor de tu web. Como digo, esto lo puedes hacer si lo quieres con un servicio, que es como lo hago yo, lo puedes hacer con ManageWP, te dejo un enlace donde vemos cómo se utiliza y también un servicio español que se llama modular 10, del que tenéis un curso completo también, que es ya te digo, para eso, para poder actualizar toda tu web de golpe desde un panel para poder hacer copias de seguridad y un montón de cosas relacionadas en general con el mantenimiento web. Y si preferís hacerlo con un plugin desde WordPress, uno de los mejores es afterapplus, del que os dejo también un vídeo sobre cómo se utiliza. En este caso si lo utilizas, asegúrate de que las copias de seguridad vayan a un lugar externo, que lo puedes hacer, lo puedes configurar para que esas copias se guarden, por ejemplo, ya digo en Dropbox o Box Com, tiene como varias integraciones. Vamos con el tercer consejo, usa un buen plugin de seguridad porque te va a facilitar la vida y además te va a proteger, a ti no, pero a tu web si. Por ejemplo Solid Security, que ya te lo he comentado, usar un plugin como este para mí es esencial y en el caso de Solid Security pues tiene todas las opciones que necesitas, es gratuito y súper fácil de configurar todas formas te dejo el enlace al curso. ¿Qué es lo que tienes que ver que tenga un buen plugin de seguridad? Pues como mínimo que tenga la opción de autenticación en dos factores, es decir, inicio de sesión en dos pasos. Y no me adentro mucho en esto porque el siguiente punto te voy a hablar de ello, es un punto clave, por eso le he dado su propio lugar dentro de este episodio. ¿Qué más tienes que ver que tenga un buen plugin de seguridad? Pues que tenga la característica para proteger archivos delicados, que tenga la característica de evitar la ejecución de PHP en las carpetas en las que no debe hacerse, que tenga la capacidad de limitar permisos en archivos fundamentales como el archivo de configuración de WordPress, que permita añadir reglas de seguridad en la cabecera de tu web, que esto es básicamente poner unas reglas al principio del todo de que se cargue tu web para que los navegadores la interpreten y así pues evites tipos de ataque bastante populares o bastante extendidos, simplemente pues eso, con unas reglas que se pueden interpretar por los navegadores. Todo esto que he comentado, por ejemplo Solid Security lo trae junto con otras muchas medidas de protección, pero si estás buscando buscando otro plugin o si tú tienes otro que te gusta, pues asegúrate de que tiene como mínimo estas opciones. Cuarto consejo que te doy, aquí es donde te digo, me voy a adentrar un poco en la autenticación de dos factores, es decir, esto es lo típico del sistema mediante el cual tú ingresas tu nombre de usuario y tu contraseña en tu web, y antes de entrar te sale un cuadro de diálogo donde te dice tienes que poner un código, ese código te puede haber llegado a tu correo electrónico, te puede haber llegado por SMS o hay veces que incluso con una aplicación puedes leer un código QR, te envía ese código y ya lo pones. Todo esto se puede configurar por ejemplo con Solid Security, lo vemos en el curso y luego si no hay plugins específicos para configurar esto Y lo bueno de esta medida es que es de las más útiles y a la vez de las más sencillas porque simplemente dos pasos para iniciar sesión en vez de uno. Claro, si alguien descubre el usuario y la contraseña no le vale solo con eso, va a tener además que poner un código extra y lo normal es que no tenga ni tu email o que no tenga el teléfono o si ya lo haces con el código QR pues tampoco porque va a estar asociado a una cuenta que tú tengas en esa aplicación de comprobación del inicio de sesión. Sí, Vámonos con el quinto consejo que puedes aplicar y es instalar el mejor firewall que existe para WordPress. Te he comentado antes que lo mejor es tener un firewall a nivel de servidor, pero esto no quiere decir que no puedas tener uno a nivel de tu web de hecho no está mal por lo que te digo de la doble capa y al final un firewall no deja de ser un conjunto de reglas que bloquea el acceso a visitantes con malas intenciones o a bots o lo que sea. Te protege de un montón de cosas, por ejemplo, de exploits malintencionados, es decir, de intentos de explotación de una vulnerabilidad conocida, de ataques D, que son ataques de fuerza bruta, enviar tráfico a tope o intentos de sesión a tope para que el servidor caiga, de vulnerabilidades XSS te protege también del tráfico no deseado, de solicitudes no deseadas, es decir, de intentos de inicio de sesión o de contactos en formularios, de inyecciones de malware, en fin, es una de las mejores cosas que se puede hacer, ya digo, a nivel de servidor te protege de todo esto, pero también lo puedes hacer a nivel de tu web con esa segunda capa y esto además de mejorar la seguridad, que es un poco lo obvio, también es muy bueno porque reduce la carga del servidor y eso te hace conservar recursos que tú tengas contratados en tu plan de hosting Si por ejemplo evitas que todo ese tráfico que son bots o que todo ese tráfico malintencionado ni siquiera llegue a la web, pues imagínate todo lo que alivia esto la carga del servidor Bueno, ¿Cuál es este mejor firewall que yo te estaba diciendo? Pues el mejor que hay, es gratuito y está creado por un desarrollador que se llama Jeff Star que si llevas escuchando tiempo este episodio lo he mencionado en varias ocasiones porque es uno de los que más me gusta, tiene un montón de cosas interesantes, está muy especializado en la seguridad y él tiene un firewall que se llama firewall ng n es del número de la versión, ahora mismo van por la g pero hay 7g, 6g hay gente que instala por ejemplo le gusta tener ahora mismo la g, ya es estable y ha pasado de la fase beta, pero hay gente que prefiere tener la g y cuando ya pase un poco pues poner la g pero vamos ahora la más reciente y estable en el momento de grabar este episodio es la G y es simplemente un archivo con unas reglas que tú copias y pegas en tu Htaccess y está muy probado porque tiene un montón de beta testers, tiene un montón de gente que lo usa con lo cual no da falsos positivos o apenas los da un falso positivo es bloquear a alguien que no es malo y que le deja fuera de tu web Esto tiene como las reglas lo que hacen es detectar todo esto que te comento de tráfico no deseado, de malintencionado y demás y entonces lo bloquea y no permite que llegue siquiera Y en el nuevo vídeo de la zona código te explico cómo instalarlo básicamente es un archivo que te descargas, copias las reglas y las pegas en tu archivo Htaccess pero si necesitas una guía paso a paso en vídeo pues lo tienes ya publicado en el vídeo más reciente de la zona código que es el 384 y que todos los miembros ya podéis acceder a él, lo dejo enlazado Bien, sexto consejo, utilizar Patch Stack o un sistema similar que vendría a ser un monitoreo de seguridad Patch Stack es un servicio que básicamente está todo el rato comprobando el código de los plugins de Things y del propio WordPress y avisa a los desarrolladores cuando hay vulnerabilidades, si tú te das de alta también te avisa a ti como usuario, incluso te permite configurar actualizaciones automáticas cuando se corrigen esos fallos de seguridad tú puedes buscar patch tag y te vas a su web y es un servicio que puedes tiene una parte gratuita y otra de pago, pero también muchos de los servicios que hay de mantenimiento web que comprueban también la seguridad de tu web usan su base de datos, por ejemplo ManageWP que te he comentado, no sé si usa patch tag o una alternativa y luego modular también que no estoy seguro si usa patch tag, creo que sí, pero si no usan algo parecido entonces con ese escáner que viene desde ese servicio que es uno de los mejores que hay, pues entonces a ti te avisa, esta versión del plugin tal, tal tal, tiene una vulnerabilidad, entonces pues te vas rápido y lo actualizas, si es que hay actualización, que normalmente sí, porque ellos lo que hacen es estar como un paso por delante, avisan a los desarrolladores y ya cuando los desarrolladores lo corrigen pues ya sale esa actualización. Algo como esto es esencial, porque se te puede pasar que en dos semanas o por ahí o tres semanas o un mes no actualizas nada de tu web y te has pegado un montón de tiempo con una versión con vulnerabilidad, pues ahí es donde está el problema. Séptimo consejo que te voy a dar, lo que todos dicen y pocos hacen, mantener tu web actualizada, mantenerlo todo actualizado, tu software en general, es decir WordPress, los plugins en los teams y el servidor, cosas como la versión de php y precisamente por lo que hemos hablado arriba, muchas actualizaciones son para corregir fallos de seguridad y si no actualizas pues estás dejando la puerta abierta a los hackers. Y luego sobre todo también conviene que elimines o sustituyas plugins o sims que ya no son mantenidos por sus desarrolladores, porque aquí puede ser incluso que hay una vulnerabilidad y ni te enteres que no haya registro de ella, porque normalmente uno se entera cuando sale una actualización nueva por actualización corrige un fallo de seguridad, pero claro, si ese plugin se ha abandonado o ese thing se ha abandonado esto ya no va a pasar. Hay veces que sí, que ya no lo mantienen, pero contactan a los desarrolladores y sacan una versión actualizada para que los que lo usaban pues lo puedan seguir usando, pero es un peligro. Y por último mi consejo es que hagas lo que recomendarías a tus padres y a tus abuelos, al final el sentido común es súper importante, más allá de todas estas medidas avanzadas como un firewall 8g y no sé qué no sé cuánto, si no usas el sentido común, si no usas contraseñas y nombres de usuario fuertes, estás haciendo el tonto. Por mucho que pongas medidas, ya digo, muy avanzadas. Ten en cuenta que hoy en día con un programita, que tú incluso puedes buscar en Google y descargartelo, ese programita se pone a hacer combinaciones de usuario y contraseña y si pones una fácil la va a adivinar súper rápido. De hecho lo ideal, si por ejemplo tienes una web en la que la gente se registra, se puede crear un usuario y una contraseña. Lo suyo también es que tengas un sistema para que les obligue a poner una contraseña fuerte y que incluso el sistema verifique si los datos que están usando están comprometidos. No sé si alguna vez te ha llegado un correo de una empresa y que te ha dicho ha habido una brecha de seguridad en nuestra base de datos, cambia la contraseña porque puede ser que esté comprometida. De hecho hay webs por ahí, ahora mismo no me acuerdo cuáles, pero tú puedes ver si un usuario y una contraseña está comprometida, si hay registros de ellas, de hecho muchos emails, por ejemplo, hace un montón de años hubo un hackeo en Sony y un montonazos de usuarios y contraseñas están ahí al público para que cualquiera con malas intenciones las pruebe. Sí. Bueno, espero que estas medidas te hayan dado que pensar si es que flaqueabas en alguna de estas áreas y si necesitas ayuda para poner cualquiera de ellas en práctica, en Gonzalo Navarro es tienes los contenidos para lograrlo. Nada más por este episodio, espero que este se suba correctamente porque el anterior lo subimos de la inversión en bruto y además no me avisaron hasta un par de días después, así que no sé si escucharéis alguna barbaridad que dije, espero que no. Darte también las gracias si tomas alguna acción para hacer que este podcast siga creciendo como lo hace por ejemplo, veo que cada vez hay más reseñas en Spotify, si estás en otra plataforma en la que puedes dejar una reseña como en Apple Podcast, pues te animo a que lo hagas, o si puedes dejar algún me gusta, lo que sea, depende de la aplicación puedes hacer unas cosas u otras y como siempre te lo agradezco un montón. Nada más por este episodio, nos seguimos escuchando, Adiós.