88 | Las 6 recomendaciones de seguridad en WordPress de Sucuri

En el episodio 88 de WordPress semanal te hablo de los 6 pasos para tener tu WordPress seguro que recomienda Sucuri, una de las empresas de seguridad para WordPress más prestigiosas del mundo. Vamos allá. Hola, hola, Soy Gonzalo de GonzaloNavarro es y bienvenidos a WordPress Semanal, el podcast en el que aprendes WordPress de principio a fin. Porque ya lo sabes, no hay mayor satisfacción que la de crear y gestionar tu propia página web con WordPress. Tu propio negocio online, tu propio blog, tu propia web corporativa. Cualquier página web que quieras crear con WordPress necesita una gestión. Y yo te enseño con estos episodios del podcast, con el blog, con los cursos, con todos mis contenidos, te enseño a que puedas hacerlo en el día a día o a que empieces desde cero si aún no lo has hecho. Así que vamos a seguir aprendiendo WordPress y lo vamos a hacer con un tema bastante interesante y es la seguridad. La seguridad en WordPress es algo muy importante porque WordPress es muy popular y entonces los hackers se aprovechan de ello. Así que he sacado 6 recomendaciones de seguridad de una de las empresas más potentes, más importantes y en las que yo confío más, que es Sucuri. De hecho, ahora se están asociando con muchísimos hostings porque es una empresa muy solvente y que trabaja muy bien en términos de seguridad. Así que al igual que hice con Yoast en el episodio pasado, que es una referencia, por supuesto, de SEO en el mundo WordPress, Sucuri es una referencia de seguridad en el mundo WordPress también. Así que vamos a hablar de ello en este episodio. Pero antes, como siempre, ¿Qué está pasando en Gonzalo Navarro es esta semana? Pues tenemos un nuevo vídeo de la zona código, que ya sabéis que es parte de mi plataforma de enseñanza. Tenéis acceso a los cursos, tenéis acceso a la zona código y tenéis acceso a soporte WordPress, todo eso incluido. Y en el nuevo vídeo de la zona código, que sale uno cada semana, todos los martes, pues tenéis la posibilidad de dejar vuestro menú fijo, el menú de vuestra web fijo, cuando los usuarios hagan scroll. ¿Esto para qué es beneficioso? Pues bueno, te puede permitir convertir más. ¿Esto qué quiere decir? Pues que si tú en tu menú llamas a la acción a tus usuarios, por ejemplo, a que se suscriban o a que hagan una prueba gratuita de algo, o a que te contacten o a lo que sea, pues siempre vas a tener visible esa llamada a la acción o tus usuarios siempre van a tener visible esa llamada a la acción si el menú principal de tu web les va acompañando cuando navegan por la misma. Otra ventaja es en términos de accesibilidad, es decir, que siempre tengan a mano el menú, aunque bueno, eso es para mí un poco secundario porque realmente la mayoría de los usuarios, el grueso de los usuarios sabe que tiene que ir arriba para localizar el menú, pero bueno, esta pueden ser algunas ventajas. Desventajas pueden ser que pueda resultar intrusivo, que pueda resultar molesto para el usuario. Dependiendo del tipo de web que tengas tienes que calibrar si esto te merece la pena o no te merece la pena. ¿Yo en mi anterior diseño lo tenía así, en este de momento no, de momento no lo tengo así porque lo tengo enfocado a otras cosas y prefiero tener las llamadas a la acción en otros lugares, vale? Pero esto es algo muy popular que la gente me pide muchísimo y que en general en el diseño web se pide mucho, así que os explico cómo hacerlo por código, además os explico porque en cada theme se hace de una forma distinta y tienes que ir toqueteando un poquito el código para que en tu theme que quede perfecto. Así que en vivo en el vídeo os voy diciendo qué vais a tener que retocar en el caso de que en vuestra web no se vea como queréis que se vea o como teníais pensado. Así que ese es el nuevo vídeo de la zona código Dejar el menú fijo cuando los usuarios hacen scroll, es decir, que el menú principal vaya acompañando a tus usuarios y esté siempre visible. Y eso es todo en cuanto a las novedades. Vamos ya con el plugin de la semana que es para descargar tu librería multimedia en un archivo zip. El plugin se llama downml y podrás descargar la librería multimedia de WordPress de una sola vez, del tirón. Así vas a poder tener una copia de seguridad de todos tus archivos multimedia, es decir, las imágenes, los documentos, los vídeos, cualquier cosa que tú hayas subido a la librería multimedia, a la zona de medios de WordPress, la vas a poder descargar de golpe en un archivo zip. El proceso es súper sencillo, es cómodo y no tiene más que eso. El plugin hace un par de años que no se actualiza, pero funciona perfectamente. Además es un plugin de usar y tirar, es decir, lo usas, te descargas tu librería multimedia y ya lo puedes desactivar y lo puedes borrar de tu instalación de WordPress. Así que el plugin de esta semana ha sido muy cortito de explicar porque hace una función muy sencilla. Vamos ahora ya sí con el tema central, las seis recomendaciones de seguridad en WordPress de Sucuri Security. Sucuri Security, como te comento, es una empresa que se especializa en la seguridad en los CMS, también tiene servicios de seguridad para Joomla, no solo para WordPress, y es una de las mejores además en cuanto a la comunicación con los usuarios, su blog por ejemplo, no quiere alarmar a la gente, no quiere poner a todo el mundo loco para que compre sus servicios, tienen en ese sentido bastante criterio. A diferencia de otras empresas de seguridad que quizás quieren que te vuelvas loco y que contrates sus servicios con a lo mejor una cosa de seguridad que no tiene importancia o que va a ser muy difícil que al usuario medio le afecte, pues intentan crear, o me da a mí esa sensación, algunas empresas intentan crear como miedo para que contrate sus servicios. En este caso la veo muy transparente. Bueno, yo la uso, utilizo tanto sus plugins, que Tiene plugins para WordPress, como su servicio integral que contratas de forma externa, lo uso para webs de clientes. Además se acaban, lo he comentado en algún episodio, se acaban de asociar con SiteGround, bueno, ya hace algún tiempo, y se han asociado con otros servicios de hosting para llevar la parte de seguridad si el usuario la contrata o la que venga ya por defecto con el plan contratado, ¿De acuerdo? Y tienen todas las posibilidades, tienen protección, tienen resolución de problemas, es decir, te resuelven cuando tu web ha sido hackeada y todo esto lo tienen en un servicio integral, ¿Vale? Tú contratas al año y entonces si hay algún problema en tu web te lo van a solucionar y luego te la van a mantener protegida, te la van a auditar, van a ver todo lo que está pasando en tu web durante todo el tiempo pues que tengas contratado su servicio, que como digo es anual. Y luego tienen un plugin que en el curso de seguridad en WordPress te explico cómo configurarlo de principio a fin, que eso ya es más enfocado a la detección de si algo ocurre, de si hay algún cambio. También tienen un escáner para ver si hay algo extraño en tu web y después te dan los pasos, en el caso de que haya algún problema, te dicen qué pasos tienes que seguir para solucionarlo, quizás sean pasos un poco técnicos, pero te los ofrecen, así que está muy bien. Vale, tengo un montón también de de contenidos relacionados con la seguridad, tanto en el podcast como tutoriales, los iré comentando conforme vayan saliendo a lo largo del episodio, pero en la zona de enlaces de las notas del programa, este es el episodio 88, tenéis enlaces a todo, al curso de seguridad, a todos los tutoriales que tengo sobre seguridad, a todos los episodios del podcast que tengo relacionado con seguridad, así que podéis echarle un vistazo. Además lo tengo ordenadito para que podáis ir simplemente a lo que necesitéis. Así que vamos ya con las seis recomendaciones en términos de seguridad de su curi Me voy a basar en su última guía de seguridad en WordPress van lanzando guías más o menos anualmente que las van actualizando y son guías que abarcan todo, todos los conceptos que tienes que tener en cuenta, todas las fases dentro de la seguridad en WordPress y en definitiva todos los pasos que tienes que seguir para tener una página web segura. Así que vamos con la primera de ellas que es conocer y actuar para solucionar posibles vulnerabilidades de software. ¿Qué quiere decir esto? Pues que debes intentar saber qué está pasando en tu web. Y para eso en primer lugar tienes que hacer una auditoría de plugins y temas. ¿Esto qué quiere decir? Pues que los plugins se pueden volver obsoletos, pueden tener errores en el código y en definitiva pueden llegar a suponer un problema en términos de seguridad que alguien pueda aprovechar para infectar tu web. Entonces tienes que evaluar la seguridad de tus plugins. ¿Cómo puedes hacer esto? Creo que he hablado de esto en algún episodio, pero básicamente primero el plugin tiene una buena base de instalación, tiene bastantes instalaciones activas. Esto es un buen indicativo de que el plugin está siendo mantenido, porque si tiene una buena base es que lo usa mucha gente, con lo cual tiene que tener un mantenimiento y tiene que estar actualizado regularmente. Además, al tener una buena base los usuarios se pueden dar cuenta de si ocurre algo extraño, avisar al desarrollador y que el desarrollo lo solucione. También tienes que ver las reseñas por parte de los usuarios, si tienen una una calificación positiva o no. A mí me gusta que esto no lo comentan aquí, pero ir a la parte de soporte de la página del plugin para ver si están resolviendo dudas de forma activa. Si están resolviendo cosas de forma activa y luego te recomiendan que mires un poquito el proveedor a ver si tienen términos de servicio, políticas de seguridad, si incluyen o dirección de contacto física y no es alguien que está por ahí perdido que no sabes ni quién es. Esto es interesante porque no es algo que la gente te suela recomendar, ¿Vale? Después, por supuesto, eliminar plugins in themes que ya no utilices. Si no estás utilizando algo, elimínalo de tu instalación porque puede ser un riesgo potencial. Y esto es por lógica, cuantas más cosas tengas, más posibilidades hay de que ocurra algún error con alguna de ellas o alguna incompatibilidad y más si no las estás actualizando. Igual piensas que al no lo estar utilizando no necesitas actualizarlo, no error, ¿Vale? Eso puede ser un gran problema, así que lo que no uses, elimínalo y ya está. Y estábamos hablando de conocer y actuar para solucionar las posibles vulnerabilidades de software. Te he comentado que para esto necesitas hacer auditoría de plugins y temas, pero otra parte importante es actualizar tanto WordPress como los plugins como los temas. Normalmente esto lo vas a hacer de forma automática. ¿Esto qué quiere decir? Pues que o bien tú le vas a dar a actualizar, ya sea a WordPress en general, a los plugins o a los temas, o va a estar ya automatizado. Por norma general los hosting ya te automatizan las actualizaciones, sobre todo las menores. Por ejemplo, si pasamos de la versión 4.9 de WordPress a la versión 5, pues ahí normalmente no se automatiza la actualización porque es una actualización muy grande, puede haber muchos cambios y entonces puede haber algún problemilla y es mejor hacerlo de forma manual entre comillas, porque no sería manual porque la instalación se hace automática cuando tú le das a actualizar. Pero por lo general, por ejemplo la 4.1, la 4.2, la 4.3, todas esas, por norma general se está estableciendo más que se haga de forma automática y así lo hacen los hostings. Si no lo tienes así, lo puedes configurar en tu servicio de hosting seguro sin ningún problema. Pero luego están los plugins y temas, a lo mejor de terceros que has comprado en una empresa aparte o que un amigo te ha prestado, estos tienes que tenerlos también actualizados y lo debes hacer de forma manual en muchas ocasiones porque no pueden actualizarse de forma automática o WordPress no consigue actualizarlos de forma automática. Estos también tienes que hacerlo de forma manual y te dejo un tutorial para explicarte cómo hacerlo. Cómo actualizar plugins y themes de forma manual. Cuidado aquí, no te descargues, no te vayas a las típicas webs estas que te dan plugins y themes premium de forma gratuita. ¿Esta gente qué es lo que hace? Pues te los pone a tu disposición de forma gratuita infectados, con lo cual tú instalas un theme que cuesta 100 euros y lo tienes gratis por la cara, lo instalas en tu web y tú dices jo qué maravilla, puedo encontrar de todo gratis en Internet. Sí, pero eso seguramente va a estar infectado y vas a tener desde el principio tu web hackeada, con lo cual va a ser un desastre. Entonces mucho cuidado con esto. Bien, una vez conoces lo que pasa en tu web y actúas de manera adecuada para solucionarlo, nos vamos a la recomendación número 2 que es controlar el acceso a WordPress. ¿Esto qué quiere decir? Pues quiere decir que en primer lugar tienes que tomar precauciones con las cuentas de los usuarios. La mayoría de Los ataques en WordPress tienen una metodología concreta que es probar nombre de usuario y contraseña, muchísimas combinaciones por minuto. Esto lo hacen programas de forma automática e intentan acceder a wp admin, a wplogin php o a xmlrpc php, bueno tampoco os preocupéis por esto, pero básicamente utilizan una combinación de nombres y passwords hasta que dan con la tecla. Entonces, ¿Qué tienes que hacer? Lo primero, sí o sí, cambiar nombre de administrador o el nombre de usuario y la contraseña que te dan cuando tú creas tu WordPress por primera vez. Cambiar, cámbialo, ya sea que te dé el típico nombre admin, aunque esto ya no se da nunca, o que cada hosting suele tener un nombre típico que da, pues cámbialo y por una contraseña difícil. Después, cuando crees usuarios y des privilegios a ciertos usuarios, ¿Qué roles pueden tomar? ¿Qué cosas pueden hacer? Ten cuidado con esto, intenta dar siempre lo mínimo que puedas dar. Si necesitas que alguien simplemente pueda escribir su contenido, pero no que lo pueda publicar, ni que pueda ver el contenido de otros, ni que pueda ver más cosas sin simplemente dale la labor de colaborador, es decir, conoce bien los roles de usuario qué puede hacer cada uno. Te voy a dejar un enlace a una página de WordPress. Org en el que te explican perfectamente todos los roles de usuario. Y luego, por ejemplo, hay veces en las que das acceso a soporte de tu hosting o que das acceso a soporte de un thim o de un plugin que te piden credenciales para acceder. Bueno, créales esas credenciales pero después elimínalo, no vayas a dejar ese acceso para esas personas o o que empiezas a colaborar con alguien y das acceso a tu web. Primero cuidado con esos accesos, cuidado con a quién das acceso, intenta darle lo justo que necesite para poder llevar a cabo esa tarea que tiene que llevar a cabo y después, si ya esa persona, ese usuario no está colaborando más, elimina ese usuario. Después, contraseñas. ¿Cómo deben ser las contraseñas? Pues las recomendaciones de Sucuri son que al menos tengan un carácter en mayúscula, que al menos tengan un carácter en minúscula, que que al menos tengan un dígito, esto es un número, que al menos tengan un carácter especial, esto puede ser un asterisco, una almohadilla, una exclamación, una interrogación y que al menos sean 10 caracteres con no más de 2 caracteres iguales seguidos. Si tú sigues todo esto vas a tener una contraseña súper segura. Después también tienes, puedes buscar generador de contraseñas en Google y te va a generar una contraseña automática con estas peculiaridades, ¿Vale? Así que así te aseguras de que es súper segura. Otra opción también en términos de contraseñas es tener un doble factor de autenticación. Esto hay uno de Google, había uno muy famoso antes en WordPress, pero esta empresa dejó el plugin que se llamaba Two Factor Authentication, pero ya no está, pero ahora podéis utilizar la de Google, buscar en Google Google Authenticator WordPress y lo vais a encontrar. Esto es un doble factor de autenticación, es decir, tienes que hacer dos acciones para poder acceder a la web, con lo cual aquí vas a dejar fuera a todos estos que intentan hacer la fuerza bruta. Y dentro de este segundo punto de controlar el acceso puedes hacer también algo muy concreto que es limitar los intentos de inicio de sesión. Aquí hay plugins muy buenos y muy populares de WordPress que te explico en el curso de seguridad en WordPress como Limit Login Attempts o WordPress Limit Login Attempts o Loginizer, hay muchísimos. También puedes incluir captchas. ¿Esto qué es? Pues lo típico que te salen unas palabras como tachadas o que se ven de forma muy rara y para acceder tienes que escribir las palabras. Vale, esto depende si tienes usuarios, si tienes una web de membresía y tienes usuarios, esto es un rollo porque cada vez que tu usuario quiera entrar tiene que estar haciendo el captcha este que es un coñazo, perdón por la palabra, pero es un rollo. Si solo accedes tú y algún empleado o algún colaborador entonces sí lo puedes tener porque bueno, que lo hagas tú nunca está de más para la seguridad. Y después te recomiendan que también puedes restringir el acceso a URLs autenticadas. ¿Esto qué quiere decir? Pues que puedes poner IPs en listas blancas que son los que van a poder acceder por ejemplo la IP de tu ordenador de casa, la IP de tu ordenador del trabajo, la IP de la oficina de no sé dónde y todo eso tú lo puedes ir añadiendo para que sólo se puedan acceder desde esas IPs. Esto lo puedes hacer pues por ejemplo si tienes contratado algún firewall como el de Sucuri o también lo puedes hacer con algunos plugins de seguridad que más adelante hablaremos de ellos aquí también cuidado si tienes una web en la que entra mucha gente, en la que tienes miembros, en la que tienes suscriptores, esto no lo hagas porque los vas a dejar fuera. Recomendación número 3 la seguridad continua, la seguridad en el día a día de WordPress. ¿Esto cómo lo puedes hacer? Primero puedes utilizar plugins de seguridad. Hay distintos tipos de plugins de seguridad y es muy interesante la forma en la que en este caso Sucuri los define o los categoriza. Primero te habla de plugins de seguridad de prevención y estos básicamente funcionan que cuando alguien intenta atacar directamente un archivo de tu WordPress pues entra en acción. El problema de estos plugins es que no pueden funcionar a nivel de servidor, es decir, no pueden tener una capa previa que proteja tu web, sino que la empiezan a proteger una vez se empiezan a atacar los archivos concretos de tu instalación de WordPress. Estos serían los plugins que entran en la categoría de prevención y son los típicos plugins de seguridad, los estos que son muy completos y que tienen muchas opciones como los que vemos en el curso de seguridad. Después tienes los plugins enfocados a la detección a aquí también podemos incluir estos plugins de los que te hablo que detectan si hay algún problema en tu web. El problema de esto es que lo suelen detectar en función de lo que están viendo en tu web, es decir, tú instalas un plugin de seguridad de estos que detectan si hay algún problema y comparan cómo está tu web en el momento en el que has instalado el plugin de seguridad con cómo va a estar tu web después. Entonces puede que ya tengas algún problema y no te lo detecte y se escape ya casi todos también lo que hacen es comparar con el repositorio oficial de WordPress, los archivos oficiales de WordPress los comparan con los que tú tienes en tu instalación de WordPress y si hay algo raro también te avisan, pero de nuevo aquí se pueden escapar cosas. Después tienes plugins de seguridad de la categoría de auditoría y esto pues te dice por ejemplo quién ha iniciado sesión en tu web, quién ha instalado un plugin, quién ha subido una imagen, cuántos intentos de inicio de sesión se han hecho desde China, cuántos han hecho desde Rusia. Es una auditoría que se vaya viendo todo lo que va pasando en tu web y que tú tengas un control. Y las soluciones completas de plugins que te comentaba antes también tienen esto incluido. Y luego hay plugins que son muy interesantes que en Sucuri los definen como categoría de utilidad y son pequeños plugins que te permiten hacer una cosa muy concreta, como por ejemplo el plugin que hemos comentado antes de delimitar los intentos de login, o también los plugins que por ejemplo solo hacen copias de seguridad, que esto también está dentro de la seguridad, pero simplemente hacen esa cosa tan concreta como son las copias de seguridad. Entonces dentro de la seguridad en el día A día de WordPress ya te he comentado los plugins de seguridad. ¿Qué más tienes que hacer en el día a día? Pues tienes que tener en cuenta cómo funciona tu alojamiento web en términos de seguridad. ¿Es tu hosting seguro? Aquí una cosa muy interesante que recomienda Sukuri es que hagas ciertas preguntas a tu proveedor de hosting, que le preguntes ¿Qué precauciones estáis tomando para proteger mi sitio web? Es decir, no sólo su servidor, sino también tu sitio web. Esto es una pregunta muy interesante y según la respuesta de la persona a la que hayas contactado del hosting, pues puedes hacerte una idea de lo que está ocurriendo. También le puedes preguntar qué acciones llevarían a cabo si identifican que hay un malware en alguno de tus sitios, porque hay algunos hostings que se lavan las manos y te no, te vas y contratas un servicio o yo no puedo hacer nada o lo que sea. Esto es importante también, a ver qué te dicen. También preguntarles con qué frecuencia hacen escaneos de malware, es decir, de archivos malignos. Puedes preguntarles también que si ofrecen un servicio de respuesta a incidentes, es decir, si pasa algo, ellos tienen un servicio que yo puedo contratar o que yo puedo pedirles para que me solucionen el problema. Y por último también preguntarles si vas a tener que contratar servicios de tercero cuando estés hackeados o ellos mismos lo tienen ya incluido en su paquete o te lo pueden ofrecer desde una empresa que tengan ellos contratados para ellos, como por ejemplo SiteGround se ha asociado, como te digo, con su Curi, otros hostings también lo han hecho, pues que tú sepas qué puede ocurrir o cómo van a actuar ellos en el caso de que haya algún problema y. Y cómo están actuando en términos de prevención. Así que estas preguntas son súper interesantes para hacérselas a tu hosting. Y luego que sepas cómo es la transferencia de datos entre tu servidor y tu web, ¿Vale? Y te recomiendan que sean o SSH o SFTP. No voy a entrar aquí más en detalles, pero esto tu hosting te lo especifica, las especificaciones de cómo es la conexión lo puedes ver, si es SSH o SFTP estás bien. Más qué puedes hacer en el día a día. Copias de seguridad y Y hay cuatro cosas que te recomienda Sucuri. Primero, que la ubicación sea remota, es decir, que no guardes tus copias de seguridad directamente en la misma instalación, porque si tu instalación está comprometida, la copia de seguridad se va a comprometer también. Entonces guárdala de forma externa, ya sea en un ordenador externo, ya sea en Dropbox, en Box, en Google Drive. Updraft, este plugin de copias de seguridad que siempre recomiendo y del que os dejo un tutorial en las notas del programa, este te da la posibilidad de hacer esto, ¿Vale? De hacer las copias en ubicaciones remotas. Segundo requerimiento clave para tener copias de seguridad exitosas, que sean automáticas. Esto también te lo da AVDR y te explico cómo configurarlo también en el tutorial que te digo. Que sean redundantes. ¿Esto qué quiere decir? ¿Que las tengas en dos sitios distintos, porque qué pasa si la pierdes del único sitio donde tienes la copia de seguridad? ¿Que pierdes todo, Con lo cual, por ejemplo, si las estás guardando en la nube, puedes guardar una en Dropbox y otra en Google Drive, o una en tu ordenador o en un USB y la otra en Dropbox, por ejemplo, y luego que sea funcional, que puedas restaurarlo, asegúrate que la restauración funcione, haz una prueba para ver si esas copias de seguridad se pueden restaurar, porque de qué te sirve tener una copia si después cuando vas a restaurar tienes un millón de problemas y no puedes hacerlo? Vale, pues también en el tutorial te explico cómo hacer todo esto, porque son las cuatro cosas claves para hacer una buena copia de seguridad y las puedes hacer con AppDraftPlus y te explico cómo en el tutorial que te digo que te dejo en las notas del programa. Más cosas para el día a día Detección Tienes que estar preparado para poder detectar si algo ocurre. Esto te lo va a dar por ejemplo el plugin de Security Security que puedes instalar en tu web y que en el curso de seguridad en WordPress te explico cómo lo puedes utilizar. Esto te va a decir, por ejemplo, quién ha iniciado sesión, si esa persona debería haber iniciado sesión, te va a avisar de cuando haya éxito o fallo en los accesos, de los intentos de acceso de los usuarios, te va a decir quién ha creado y quién ha eliminado usuarios, te va a avisar de ello, te va a avisar cuando alguien suba archivos, te va a avisar cuando alguien cree entradas o páginas, cuando alguien publique, cuando alguien active o modifique widgets, cuando instale plugins, modifique temas, es decir, haga cosas que sean importantes y que pueden comprometer tu web. Pues todo eso debes saber quién lo hace en todo momento, y eso lo haces con auditorías. Y además debes tener después un plan de respuesta y de recuperación. Y lo bueno del plugin de Sucuri es que si hay algún problema de estos, como te he comentado antes, te explica qué debes hacer de aquí en adelante, qué medidas tienes que tomar para solucionar ese problema. Esto también te lo hacen otros plugins como Wordfence y otros plugins de seguridad que también están en el curso de seguridad en WordPress. Hablo de los principales plugins de Item Security, de Wordfence, de Sucuri. Explico en detalle cómo configurar todos estos plugins porque son muy populares y bien configurados, todos ellos te aportan muchísimo a tu web. De todas formas, en el episodio del podcast en el que hablo Plugin de seguridad elegir, ahí explico según tus necesidades cuál te recomiendo yo que elijas y cuál te recomiendo que uses. ¿El cuarto gran consejo de Sucuri es que fortalezcas tu web, pero esto solo lo debes hacer si tienes conocimientos avanzados o también puedes seguir el curso de seguridad en WordPress, porque yo te explico cómo hacer prácticamente todos los puntos que recomienda Sucuri te los explico en el curso de seguridad en WordPress, en los que sólo tienes que copiar y pegar lo que yo hago, vale? Entonces, primero tienes que tener una configuración del htaccess básica. ¿Y esto qué quiere decir? Pues que tienes que escribir una serie de reglas que te van a permitir ciertas cosas. En primer lugar puedes escribir una regla que te permita restringir el inicio de sesión a un rango de IPs, es decir, lo que habíamos comentado antes que podías hacer con un plugin o con el servicio de Sucuri de hacer que sólo se pueda acceder desde ciertas IPs a esa web, pues eso lo puedes hacer también de forma manual en el Htaccess. Ahora que hablamos sobre el htaccess, esto solo lo vas a tener si tu servidor funciona con Apache, si no, no vas a tener esta posibilidad del htaccess, aunque hoy en día casi todos los hostings más populares en el mundo WordPress pues funcionan con Apache, pero si no, no vas a tener esta posibilidad del htaccess, ¿Vale? Después, desde el htaccess también puedes proteger el acceso a tu uwp config, esto tendrías que añadir unas líneas de código y te enseño en el curso de de seguridad en WordPress cómo hacerlo. También puedes prevenir que la gente utilice las imágenes de tu web o que al menos pueda hacer link a ellas para que se muestren en otro lado. Siempre van a poder hacer una captura de tu imagen y usarla en otro lado, pero no van a poder poner links para que se muestren en su web utilizando tu servidor, que eso te va a quitar recursos. También puedes hacerlo con unas líneas de código. Puedes proteger el propio htaccess también con unas líneas de código, evitando que nadie puede acceder a ellos más allá de ti y bloquear otra serie de archivos muy importantes que van a evitar que los hackers puedan insertar archivos maliciosos en esas carpetas tan importantes que son de las más atacadas. Bueno, te dejo el enlace porque hay un montón de reglas que puedes utilizar y que te recomienda Sucuri. Lo que pasa que cuidado, ¿Vale? Esto es algo más avanzado, que si no te manejas con ello no lo hagas así sin más. Si por ejemplo estás suscrito a los cursos, pues sí que puedes seguir el curso de seguridad porque ahí te lo explico paso a paso, dónde tienes que ir, qué hacer si hay algún problema. Después también es importante que hagas ciertas configuraciones en el archivo wp config y que lo entiendas bien. Esto también lo vemos en el curso de seguridad Y puedes definir ciertas cosas como las salts que son una especie de claves que te aportan seguridad y que puedes echar a todo el mundo de tu web si las cambias. Todo esto también lo vemos en el curso de seguridad. Y por último te recomiendan deshabilitar la edición de archivos. Esto es muy fácil y se hace con una simple línea en el wp config. Esto también lo vemos en el curso de seguridad y si no lo ves aquí en el manual de Sucuri que te comento también te explican cómo hacerlo. Después tenemos la quinta recomendación que es tener la seguridad como servicio. ¿Esto qué quiere decir? Pues bueno, que ya sea desde tu hosting, si ellos te ofrecen servicios de seguridad, que los tengas contratados con ellos. Esto es muy interesante porque ellos te van a ir gestionando todo, te van a ir haciendo el monitoreo, te van a ir avisando, te van haciendo las copias de seguridad. Todo esto si tu servicio de hosting, si tu proveedor de hosting lo ofrece, es muy interesante que lo puedas contratar con ellos. Si no, también tiene servicios externos como por ejemplo Sucuri que puedes contratar y que te vas a ahorrar muchísimas configuraciones, te vas a ahorrar muchísimos problemas y ellos te van a gestionar prácticamente todo o al menos muchas de las cosas tú siempre tendrás que ir haciendo. También poner tu granito de arena, seguir las mejores prácticas y hacer lo correcto en todo momento para asegurarte de estar seguro. La última recomendación es implementar SSL y HTTPs. Esto te habrán bombardeado últimamente porque Google además quiere que lo hagas porque ya muestra que tu web no es segura, te sale el mensajito de no es seguro si tu web no tiene el certificado SSL. Tienes un tutorial donde explico cómo puedes hacerlo de forma sencilla y además de forma gratuita con Let's Encrypt. ¿Y esto que te va a permitir? Pues te va a permitir transmitir información de forma segura, pero es que además vas a tener menos probabilidades de ser penalizado. Si Google ve que tu web está protegida con el certificado SSL, hay menos posibilidades de que te penalice. Y luego pues ahí tiene otras ciertas ventajas en las que dicen que también te beneficia de cara al SEO, que también te beneficia de cara a la velocidad de tu web. Y estas son las seis recomendaciones, que como veis dentro de cada recomendación hay varios puntos, así que os lo dejo todo en las notas del programa para que podáis verlo punto por punto. Y además os voy a dejar el enlace a la guía de de seguridad en WordPress de Sucuri. Y de nuevo, si eres suscriptor, prácticamente todos los puntos que recomienda Sucuri yo te los explico cómo hacerlos en detalle paso a paso en el curso de seguridad en WordPress, así que ahí puedes ir a verlo. Luego en la zona de enlaces te dejo cuatro episodios del podcast, te dejo un par de tutoriales, te dejo el nuevo vídeo de la zona código, tienes un montón de enlaces que te pueden interesar si te ha gustado este episodio. Así que como te dije al principio, WordPress es muy muy popular, prácticamente un 30% de las webs que hay en el mundo utilizan WordPress, así que es muy muy y llama la atención de los hackers por esta popularidad y porque mucha gente no toma precauciones simplemente porque no lo sabe. Así que es mejor estar prevenidos y tratar el asunto con la seriedad que se merece. La seguridad en WordPress realmente consiste en disminuir los riesgos al máximo, porque al final eliminarlos es imposible. Hay muchos factores que entran en juego, pero si tú tienes un mantenimiento diario y estás preparado por si surge algún problema, te va a ir muy bien y si te surge, pues vas a saber solucionarlo o o vas a saber dónde ir para que te lo solucionen. Y luego por supuesto, si quieres poner tu web a punto en términos de seguridad y gestionar tu WordPress de la forma adecuada en el día a día, ya sabes que puedes echar un vistazo al área para suscriptores, a la plataforma de enseñanza y tienes cursos tanto de seguridad como de WordPress en general, como cositas más avanzadas que vas a tener en la zona código. Todas las semanas hay un vídeo nuevo, además del curso nuevo que saco todos los meses, ya sabes, todo, Todo, todo por 10 euros al mes lo puedes probar además durante 15 días sin compromiso. Si te gusta te quedas y si no, no pasa nada, te devuelvo el dinero sin compromiso alguno. Me interesa que lo pruebes y que estés contento. Y nada más, si te ha gustado el episodio de hoy y quieres ayudarme a que siga creciendo, a que siga creando episodios como este, ya sabes que lo que más me aporta, lo que más me ayuda es una valoración en iTunes. Eso me permite seguir ahí, seguir apareciendo, que la gente pueda encontrar mis episodios y seguir creando contenido como este. Así que si ya lo has hecho, te lo agradezco mucho y. Y si lo vas a hacer, te lo agradezco también un montón. Y a los que me escucháis desde Ivoox también, muchas, muchas gracias por vuestros comentarios y vuestros me gustas también me ayudan a estar ahí y a estar presente. Nos seguimos escuchando. Adiós.