Ep 38 | 14 maneras de mejorar la seguridad en WordPress

En el episodio 38 de WordPress semanal veremos cómo el 70% de las webs hechas con WordPress son susceptibles de ser hackeadas, pero también Vamos a ver 14 medidas para que consigas ser parte del 30% restante. Vamos allá. Hola hola, soy Gonzalo de GonzaloNavarro ES y bienvenidos a WordPress Semanal, el podcast en el que aprendes WordPress de principio a porque ya sabes que no hay mayor satisfacción que la de crear y gestionar tu propia página web con WordPress. Y este podcast, los cursos y los tutoriales del blog están hechos precisamente para ayudarte a conseguir eso. Y vamos a hablar de un aspecto importantísimo que es la seguridad de tu página web hecha con WordPress y vamos a ver 14 maneras de mejorarla o de protegerte contra los hackers. Pero antes simplemente recordarte que en Gonzalo Navarro Cursos pues tienes todos los cursos de WordPress, entre ellos el curso de WordPress Intermedio donde dedico una lección precisamente a la seguridad. Además pues tienes el resto de cursos de cómo hacer SEO, cómo crear una tienda online, en fin, todo lo que ya sabéis y todo lo nuevo que va saliendo cada mes. Y además ahora dentro de poco tiempo lo estoy preparando, habrá una sección nueva también semanal para todos los suscriptores en las que aprenderéis a hacer un montón de cosas por código. Así que vamos ya con el programa sin más dilación y vamos a hablar de del plugin de la semana que sirve para publicar automáticamente en LinkedIn. Y esto es algo importante porque realmente hay muy pocos plugins que hagan esto, porque LinkedIn no es como Facebook que tiene una API con mucha documentación que los desarrolladores pueden utilizar para crear plugins y otras herramientas, o como Twitter por ejemplo, sino que es un poco más opaca, es más complejo hacer cosas con LinkedIn. Y hay un plugin bastante nuevo que se llama WP LinkedIn Autopublish que permite precisamente eso, publicar entradas, páginas o custom post types automáticamente desde WordPress a tu perfil o si tienes una página de empresa de LinkedIn, pues también a la página de empresa. Es un plugin sencillo, es ligero y además es gratuito. Simplemente eliges qué contenidos quieres publicar automáticamente, si son las páginas, los post o los custom post types como ya he dicho, o todo lo que tú quieras. Pero después además tienes la posibilidad de si estás editando un post por ejemplo, y quieres que ese post no se publique, pues marcas una casilla y lo excluyes de la publicación automática. Así que está muy bien, es bastante nuevo y tiene muy buena pinta, es sencillito y hace lo que promete. Y ahora sí, vamos con el tema principal del programa que es 14 maneras de mejorar la seguridad en WordPress. Este programa lo estoy haciendo porque me topé con un estudio de WP White Security, que es una empresa que se dedica a esto de la seguridad en WordPress y tiene un estudio interesante que bueno, ya tiene un tiempo, tiene más de un año el estudio, pero los números siguen funcionando. Y básicamente lo que viene a decir este estudio es que más del 70% de las instalaciones de WordPress, es decir, de las páginas web hechas con WordPress, son vulnerables, son susceptibles de ser atacadas. Esto no quiere decir que el 70 % de las webs hechas con WordPress estén hackeadas, pero que pueden hackearse porque tienen vulnerabilidades o problemas de seguridad. Y luego va dividiendo este porcentaje en los tipos de vulnerabilidades que tienen, es decir, por dónde se le puede meter mano a esas webs para hackearlas. Por ejemplo, el 41% se puede hackear a través del hosting. Esto es un problema enorme porque quiere decir que el 41% está utilizando hostings que no debería y sí hay hostings malos, hay hostings inseguros y entonces es importante elegir un buen hosting. Fijaos, el 41% puede ser atacado por problemas de seguridad de su hosting. Después el siguiente porcentaje lo voy a ir diciendo en orden y es el 29% que pueden ser atacados por un problema de seguridad en un theme. Esto suele deberse a un theme que no está actualizado, a un theme que ya no se mantiene o a themes pirata sobre todo, ¿Vale? Nunca descarguéis themes por torrent, por descarga directa, que son de pago y que os lo vais a descargar gratis. ¿Por qué? Porque están infectados, o sea, estás infectando tu web cuando instalas ese theme. Y lo mismo con los plugins, un 22% pueden ser hackeados por una brecha de seguridad en un plugin, que se puede deber a lo mismo, a un plugin pirata o a un plugin que no ha sido actualizado. También los plugins os recomiendo siempre descargarlos, salvo que sea de empresas ya muy contrastadas, pues siempre descargarlos del Repositorio Oficial de WordPress. Org, salvo excepciones. Hay empresas grandes que tienen plugins muy buenos y que no los tienen en WordPress. Org, normalmente plugins de pago. Y luego un 8% que es por tener una contraseña débil, esto debería ser 0%, siempre tenéis que tener una contraseña y un administrador bueno, un nombre de usuario fuerte. Hablaremos de esto un poquito más adelante. Después de todo este miedo que os he metido, hay una buena noticia y es que puedes proteger casi el 100%, el 99,99% de estos ataques si te preparas y te puedes preparar y no es tan complicado. Entonces vamos a hablar de esas formas de prepararte, que son precisamente las 14 de las que hablo al principio. Lo primero, elegir un buen hosting. Ya hemos visto que el 40% pueden ser vulnerables por el tipo de hosting que tienes. Entonces elige un buen hosting, infórmate, que sea seguro, que esté a la última en software, que esté especializado en WordPress, es muy importante eso, que incluya un buen firewall, es decir, un firewall es como una especie de capa que está previa a tu web, es como un muro que se pone, que evita o pone una piedra más en el camino para los hackers. Luego que tenga un sistema de escaneo para malware y que pueda detectar archivos malignos. Si estas dos cosas no las tenéis o preferís hacerlas con algún software especializado, también lo podéis hacer. Hay softwares como el de Security, Security, bueno, softwares o servicios que te ofrecen esto. Entonces puedes tener un buen hosting y aparte contratar un servicio extra para todo esto. Hablaremos también de esto un poquito más adelante. Luego, importantísimo que el soporte de ese hosting esté preparado para resolver dudas o problemas de seguridad. Por eso es tan importante lo que he dicho antes de que esté especializado en WordPress, porque no es lo mismo problemas de seguridad en WordPress que en otro tipo de página web, en otro tipo de CMS o en otro tipo de página web, una página web hecha simplemente con HTML. Y ya lo sabéis, Mi recomendación es SiteGround, os dejo un link en las notas programa para que vayáis, ya sabéis que es mi link de afiliado, que es lo único que tengo de afiliación. Gonzalonabarro es hosting, podéis ir también directamente y son geniales. Ya algunos de vosotros me habéis contactado, me habéis dicho lo bueno que es el soporte y así que estoy contento de que os guste. Más cosas, la siguiente recomendación, hay algunos ajustes importantes que cuando estás creando tu página web, cuando lo estás instalando, puedes configurarlos para que tu web sea más segura desde el principio. Uno muy importante que lo incluyó WordPress en la versión 3, no recuerdo exactamente qué versión en la 3 algo, y son unas claves de seguridad, las WordPress Security Keys, que son unas claves que puedes hacer todo lo difícil que quieras y que las pones en el wp config, en el archivo wp config, las puedes hacer tú mismo poniendo caracteres raros y todos los números que quieras y hacerlas muy largas o utilizar un generador, os dejo un link y veis cómo generarlas. Después simplemente las copias y las pegáis en la zona de wp config preparado para ello. También os recomiendo que busquéis un tutorial en Google, hay muchos tutoriales que te explican cómo hacer esto. Luego otra cosa que lo puedes hacer también cuando estás instalando WordPress es cambiar el prefijo de las tablas, las tablas ya sabéis, las tablas de la base de datos por defecto empiezan por wp y el nombre de la tabla. Entonces esto es un filón para los hackers porque pueden encontrarlas de forma relativamente fácil cuando hacéis Instalaciones automáticas de WordPress, por ejemplo en SiteGround que le dais al instalador automático o en todos los hosting, porque hoy en día todos los hostings tienen instalación automática de WordPress, normalmente eso ya automáticamente te cambia el prefijo de la base de datos, pero en el caso de que lo hagas de forma manual, que instales WordPress de forma manual, entonces sí te recomiendo que lo cambies, lo puedes hacer de forma manual utilizando de nuevo el archivo wp config o con plugins, por ejemplo ITIM Security te permite hacerlo, o Sucuri Security también que os dejo links para todo esto para que veáis cómo hacerlo. Así que se puede hacer, lo que pasa que si ya tienes tu web creada, la tienes instalada, es un poco más delicado cambiar los prefijos ahora de repente, pero simplemente para que lo tengas en cuenta. La siguiente recomendación, obvio, mantén WordPress actualizado, obvio, pero lo tengo que decir porque no se hace. ¿Entonces cuál es el problema de esto? Que cuando sale una nueva versión de WordPress, o de un plugin o de un theme, en las notas de esa versión pone corregido fallo de seguridad en tal, corregido vulnerabilidad en cual. Entonces eso, igual que lo ves tú, lo ven los hackers. Entonces si no lo actualizas, se puede aprovechar ese fallo de seguridad y que tu web sea hackeada. Entonces simplemente es mantenerte al día, estar un poquito al tanto e ir actualizando tanto plugins, themes como el propio WordPress. Y antes de todo eso, siempre copias de seguridad, que hablaré de esto también más adelante, pero no me cansaré de decirlo. Siguiente Themes y plugins seguros y necesarios. ¿Por qué necesarios? Porque si puedes ahorrarte un plugin, hazlo. ¿Para qué vas a tener un plugin si lo puedes hacer de otra forma? Si lo puedes hacer por código, o si realmente es un plugin que vas a usar para una cosa, pues quizás no te merezca la pena. ¿Por qué? Porque es un plugin más que actualizar, un plugin más que mantener, y además, sobre todo, si no sabes, si no tienes la seguridad de que ese sea un buen plugin, pues más razón para no tenerlo. Y ojo, que no digo que los plugins sean malos, simplemente digo que además, todo lo contrario, los plugins son una maravilla porque te aportan unas funcionalidades extra que WordPress no trae por defecto, pero si no lo necesitas realmente, o si lo vas a usar para una vez, para una cosa, o si lo tienes ahí muerto de risa, como mucha gente tiene plugins por tenerlos, que ni siquiera les da uso, pues fuera, además de ocuparte espacio, en algún momento se puede convertir en una vulnerabilidad y que un hacker te pueda entrar por ahí. Después, cuidado con los plugins que no se mantienen, porque hay plugins que tienen mucha fama, pero hace mucho tiempo que no se actualizan. Y más que esto, a mí lo que me gusta hacer es, me voy a WordPress. Org, busco el plugin y le doy a la pestaña que pone soporte. Ya sabéis que hay una que reseñas, otra es descripción, otras son capturas de pantalla del plugin, y hay una que pone soporte. Pues te vas ahí y miras las últimas preguntas que han hecho los usuarios. Si ves que el desarrollador las ha contestado, que se preocupa, que está ahí, entonces quiere decir que. Que aunque el plugin no se haya actualizado en algún tiempo, porque puede ser que sea un plugin tan sencillo que no necesite cambiar nada, pues si ves que el desarrollador sigue dando un soporte, es que está encima, es que lo mantiene, es que está ahí ayudando. Si ves que hay una pregunta de hace un año y que el desarrollador no ha contestado, pues ni te moleste porque quiere decir que ese plugin ya está olvidado, el desarrollador no lo mantiene. Otra cosa que puedes hacer es ver qué tal es su desarrollador, es decir, también lo mismo en WordPress. Org te vas al plugin y abajo a la derecha en la sidebar pone el nombre de los desarrolladores o de la empresa desarrolladora, pues lo los buscas en Google, vas a su web, ves qué tal son, lees sobre ellos, a ver si es gente seria y así de sencillo, ¿Vale? Después aplica lo mismo para los Teams, es decir, infórmate de sus desarrolladores, infórmate de qué tal son, lee sobre ellos, asegúrate por supuesto de que tu Thing sea seguro y que jamás sea un Thing pirata, no te lo vayas a descargar de por ahí, como ya te he dicho antes. En fin, al final es un poco de sentido común, pero que no es tan común porque cuando llegas de nuevas a WordPress o, o no sabes muy bien o igual que estás acostumbrado a descargar música gratis de Internet o lo que sea que te descargues, pues la gente hace lo mismo con los themes, pero es un peligro porque no sabéis la cantidad de gente que me ha llegado con un problema de seguridad en su web y ha sido precisamente por eso, por el que se han descargado, que les encantaba, que no querían pagarlo porque iban a hacer una web pues sencillita y querían probar primero sin gastarse un duro y al final pues les salió caro porque me tenían que contratar por ejemplo a mí para resolverle el problema, así que cuidado con eso. Después protege los archivos importantes de WordPress. ¿Cuáles son los archivos importantes? Pues el core de WordPress, todas esas carpetas, todos esos archivos que si alguien tiene acceso a ellos, tiene acceso a tu web y puede hacer lo que le dé la gana contigo y con tu web. Y esto lo puedes hacer a través de plugins de seguridad. Os enseño cómo hacerlo con Sucuri en un vídeo que os dejo en las notas del programa o lo puedes hacer por código en el Htaccess que esto por ejemplo, cuando yo creo una web para un cliente, siempre le pongo todo el código que considero oportuno para que tenga una web segura a través del. Htaccess. Esto es una de las cosas que vamos a ver en la nueva zona que está por venir para los suscriptores, es decir, vamos a ver código super útil que puedes aplicar en muy poco tiempo en tu día a día y además os voy a ir explicando qué quiere decir cada parte de ese código, con lo cual lo estáis haciendo en nada de tiempo porque copiáis y pegáis lo que yo voy haciendo y el código que os dejo para que copiéis, pero además vais aprendiendo código, así que creo que puede ser algo muy útil para vosotros. Os irá avisando conforme ya tenga claro cuándo es el lanzamiento y ya tenga mucho contenido preparado para poder ir ofreciendolos cada semana. Siguiente consejo, siguiente medida, fortalece tu contraseña y tu usuario. También otra obviedad, pero es que la gente no lo hace, fijaos, un 8% son vulnerables por contraseñas y administradores sencillos. Por ejemplo, utiliza contraseñas alfanuméricas, mezcla mayúsculas y minúsculas, puntos, comas, lo que sea. El usuario que nunca esté relacionado ni con tu web, ni con el nombre de tu dominio, ni con tu propio nombre. Es lo primero que van a probar los hackers. Después cambia el usuario que viene por defecto. ¿Por qué? Porque estos son los usuarios que los hackers conocen, los principales hosting. Cuando tú haces una instalación automática, pues te ponen un nombre de usuario ya por defecto, entonces es el mismo para todos, pues cámbialo, no lo dejes. Después, la mayoría de estos ataques se hacen por fuerza bruta. Esto que os comento del usuario y la contraseña, pues eso es un software, un bot que va probando miles de combinaciones hasta que da con la tecla. Pues una cosa que puedes hacer muy sencillita, es limitar los intentos de login, es decir, para que no llegue ahora un software, un bot y se ponga a probar mil combinaciones, pues tú pones a la décima, me lo bloqueas y este ya no lo puede intentar más. Eso es una muy buena medida que acaba con los ataques estos de fuerza bruta. Y hay muchos plugins para esto. Os dejo uno que he usado recientemente que está bastante bien, se llama Login Lockdown y tiene muchas instalaciones activas, está bien, es un plugin que hace lo que promete. Después, otra cosa que puedes hacer, ocultar la versión de WordPress que utilizas, como os he hablado antes que era importante actualizar WordPress porque si en la versión anterior había algún problema de seguridad, pues se especifica en las notas de la actualización y tanto tú como los hackers tienen acceso a esa información. Pues lo que puedes hacer es ocultar la versión de WordPress que utiliza, así el hacker cuando vaya a buscar, pues hay una vulnerabilidad. En la versión 4.2 de WordPress, voy a buscar todas las instalaciones de WordPress que tengan esta instalación activa, pues la tuya no lo van a encontrar. ¿Por qué no la van a encontrar? Porque tú vas a borrar esa información y eso lo puedes hacer a través de código o lo puedes hacer con plugins, que los hay específicos para esto, lo puedes buscar en Google, que salen un montón, y también los generales, los sucuri y todos estos traen una opción para ocultar la versión de WordPress. En el tutorial que os comento y que os vuelvo a dejar aquí en las notas del programa, podéis ver cómo hacerlo, simplemente activar una casilla. Otra medida más. Hay un paso que puedes hacer que es incluir un doble factor de autenticación, esto es simplemente que accedas a tu WordPress en dos pasos, es decir, lo tengas que autenticar con tu móvil o con un sistema que tiene Google para autenticar también, y puedes decir qué rollo entrar en mi WordPress en dos pasos, con lo fácil que es ya tener mi contraseña guardada y darle a entrar y ya está. Sí, pero este sí que es una de esas medidas que de verdad funcionan muy bien, porque el doble factor hace que el acceso a tu web sea muy muy muy seguro. Entonces es algo que recomiendo que lo miréis. Os dejo un link a un par de plugins, Google Authenticator y Clef, que es muy utilizado, que es el que os digo para acceder a través del móvil y los dos están muy bien. ¿Qué más? Esconder tu página de login, tanto WPLogin PHP como WP Admin, ya sabes, cuando entras para acceder a tu web, pues si cambias el nombre de esas páginas se lo vas a poner más difícil, como digo a los hackers, porque ya no van a ir, o sea, sabed que los hackers lo intentan hacer todo de forma automatizada, entonces tienen una hoja de ruta y van haciendo unas cosas, pues se van a la página de login, prueban con el admin, después prueban con el nombre de tu dominio y así, así, y es una hoja de ruta que ellos tienen y que van probando, pues cuanto más te salgas de ello, más difícil se lo vas a poner. Entonces si la página para entrar a tu web ya no se llama wplogin y se llama Entrar o Pepito, pues más difícil se los pones. Y para esto hay plugins específicos, os dejo uno en la nota del programa con lo que lo podéis cambiar de forma súper sencilla. Siguiente medida, usa el sentido común por favor, esto muchas veces es que sabemos las cosas pero no nos preocupa o nos creemos que a nosotros no nos va a pasar, pero es importante porque al final yo creo que a todo el mundo que conozco ha acabado teniendo un problema de seguridad en WordPress y me he encontrado con muchos, así que cualquier precaución es poca, por ejemplo, se te ocurre entrar en un ordenador público, en un café o en un de esto, o ten cuidado si estás en una cafetería con tu propio ordenador que nadie te espíe la contraseña, en fin, cosas de estas que son de sentido común. Lo que os he comentado antes del usuario y la contraseña, no dejes un usuario muy fácil, ni una contraseña corta, ni una contraseña sencilla de averiguar. Lo que también os comento de los plugins piratas o los themes, si tú vas a instalar una cosa y tienes dudas, si tienes dudas es por algo, no la instales, o al menos instálala en una web de pruebas primero para asegurarte de que no hay ningún problema. Y también con esto cuidado porque los teams que están pirateados cada vez están mejor y entonces tú puedes tenerlo un montón de tiempo y no enterarte de que tienes la web hackeada hasta que ya Google ya se da cuenta y ya te la bloquea, ya te sale la pantalla esa roja en Google Chrome que te da un susto que no veas y ya pues te vas a buscar la solución como un loco, pero es eso, está muy bien hecho, entonces te puedes tirar con una web hackeada un montón de tiempo y ni siquiera enterarte, así que ojo, si dudáis de algo, probadlo o directamente desechadlo. Luego otra cosa que puedes hacer es hacer, bueno, que puedes no, que tienes que hacer es hacer copias de seguridad de forma regular, primero tener un hosting que te la haga de forma diaria si es posible y después tú hacer tus propias copias de seguridad antes de una gran instalación o cada semana, o si publicas todos los días, pues también lo podrías hacer incluso de forma diaria, aunque si ya tienes el hosting que te lo hace, tú simplemente puedes hacerlas pues eso, cada semana y mucha gente me consta que no las hace por pereza, pero es que tengo tutoriales que además os lo digo siempre para automatizarlo, es que no lo tienes que hacer todas las semanas, que lo haces de forma automática. Entonces con AppDraftPlus, que es un plugin que os he recomendado un montón de veces, os dejo el tutorial, lo configurais para que lo hagas cada vez que quieras de forma automática y además que te guarde una copia donde tú quieras, en Dropbox, en Box, en Google Drive, es decir, más fácil imposible, lo configura es una vez y ya lo tenéis para siempre. ¿Y luego que queréis hacer una copia justo antes de una gran actualización? Pues también es súper sencillo, le dais a un botón o a dos botones y ya lo tenéis, así que pereza cero. Y luego escanear tu web regularmente, hay servicios como el que os he comentado antes de Sucuri, podéis utilizar el plugin de Sucuri y aparte un servicio externo, en fin, hay un montón de cosas que permiten hacer escaneos regulares y ver qué tal va tu web. Y luego por último los plugins todo en uno, Sucuri Security, Workfence, Item Security, hay un montón de plugins de seguridad que están muy bien, que sí, que a veces son un poco pesados porque intentan vender su versión de pago y tal, pero al final están bien, funcionan porque te avisan si algo pasa, te permiten hacer estas pequeñas modificaciones de las que hemos hablado, como ocultar archivos importantes, ocultar la versión de WordPress, generar las claves estas que os he comentado de las WordPress Security Keys, entonces un montón de cosas que a lo mejor con un plugin pues podéis hacer prácticamente todo eso de lo que hemos hablado hoy. Como os digo, os dejo el link al tutorial que tengo sobre cómo configurar su Curi Security, también en ese link tenéis otro tutorial que te explica cómo hacer copias de seguridad con After, aparte tengo otro en la web, en fin, tenéis un montón de información. Y a modo de cierre, aunque las estadísticas que hemos visto al principio pueden ser alarmantes, porque fijaos el 70% y da un poquito de. Seguramente mi web te entre ese 70% porque 70% es un montón Pues sí, pero ya has visto que en unos pocos pasos también puedes hacer de tu web un lugar muy seguro, así que no te alarmes. Y lo que eso debe hacer es que pues te lances a llevar a cabo estas medidas y que como mínimo pues tengas un usuario, una contraseña fuerte e instales un plugins de estos que te comento de todo en uno y lo configures correctamente. Eso como mínimo. Y luego si queréis más sobre seguridad, pues tengo el episodio 6, si no recuerdo más del podcast, de todas formas os dejo el link en la nota del programa y hablo quizás más de plugins de seguridad. Aquí he hablado de medidas y en ese episodio hablo de los distintos plugins de seguridad que podéis utilizar. Tengo otro también en el que explico cómo limpie una web hackeada y hablo un poco de ese mundo, de cómo puede llegar tu web a estar hackeada y cómo puedes evitarlo. Y luego todos los tutoriales que os he comentado que también os los dejo aquí en la conclusión final de las notas del programa. Y nada más, si te ha gustado el episodio ya lo sabes, si quieres ayudarme a que siga creando episodios como este, te agradecería muchísimo una valoración en iTunes, ya lo sabes, te dejo el link para que lo hagas en poquísimos segundos y así me ayudas un montón. Y a los que me escucháis por iVoox, muchísimas gracias también por vuestros comentarios y vuestros me gusta. Nos seguimos escuchando. Adiós.