Ep 46 | ¿Por qué se fijaría un hacker en tu web?

En el episodio 46 de WordPress Semanal hablamos de seguridad en WordPress. ¿Por qué querría un hacker atacar tu humilde página web? Vamos allá. Hola, hola, Soy Gonzalo de GonzaloNamarro es y bienvenido a WordPress Semanal, el podcast en el que aprendes WordPress de principio a fin, porque ya sabes que no hay mayor satisfacción que la de crear y gestionar tu propia página web con WordPress. Y yo estoy aquí para ayudarte a conseguirlo, con el podcast, con el blog y ya lo sabes, con los cursos. Y hoy vamos a seguir aprendiendo WordPress y un aspecto súper importante que no me cansaré de comentar con vosotros y de hablar cuando me contactéis, de crear contenido sobre ello, que es la seguridad. Y hoy vamos a responder una pregunta muy común. ¿Por qué iba un hacker a fijarse en mi web? Si mi web es un blog, si mi web es una pequeña página corporativa, si yo tengo pues un negocio de yo que sé que, vendo pulseras y yo vendo un servicio que a los hackers no le interesa, pues ¿Por qué? ¿Por qué yo? Pues vamos a responder a esa pregunta y vamos a entrar mucho, mucho más de lleno. Va a ser casi un episodio de concienciación sobre la seguridad en WordPress y yo creo que va a quedar un programa muy chulo. Antes, como siempre, decirte que en GonzaloNavarro es cursos, pues tienes todos los cursos sobre WordPress y precisamente hoy sale el curso de seguridad en WordPress, súper completo, desde lo más básico hasta cosas muy avanzadas por código. Así que si te interesa, si quieres una guía paso a paso sobre todo lo que tienes que hacer en términos de seguridad, tanto si usas un plugin general, como si quieres hacer pequeñas ediciones por código y quieres, pues como ya sabes cómo son los cursos que te van guiando paso a paso, pues ahí lo tienes, échale un vistazo, ¿Vale? Gonzalo es cursos y aparte, pues todos los cursos que ya hay en la zona para suscriptores. Y ya sí, vamos con el programa, que tengo además muchas ganas. Y vamos a empezar recomendando el plugin de la semana, que este plugin es para saber quién hace qué en tu WordPress. El plugin se llama Simple History y con él puedes saber en todo momento qué está pasando en tu web y además quién lleva a cabo esas tareas. Por ejemplo, saber qué usuarios han creado una página, han escrito un comentario, han añadido un widget, han activado un plugin, han intentado hacer login pero han fallado, han editado el menú, han editado su perfil, añadido más información, lo que sea. Prácticamente todo puedes saberlo desde tu página web. Básicamente vas a tener a tu alcance los eventos más importantes que ocurren en tu WordPress. Y yo creo que es una muy buena herramienta en términos de control y seguridad. Así que va muy ligado con lo que estamos hablando. El plugin es súper sencillito de utilizar, pero de todos modos es uno de los plugins que vemos en el curso de seguridad. Vemos este y otro muy similar que tiene más cosas, más opciones, incluso una versión pro. Vemos los dos en la misma lección. Auditoría de seguridad Y ahora ya sí, vamos con el tema central. ¿Por qué se iba a fijar un hacker en mi página web? Bueno, antes que nada, ya hemos hablado anteriormente de seguridad en el episodio 36 del podcast, que se llamaba 14 cosas que tienes que hacer para asegurar tu WordPress. Me basé en un estudio publicado por WP Wide Security que decía que más del 70% de instalaciones de WordPress son vulnerables de ser atacadas. Y a partir de ahí os expliqué cosas que podíais hacer para tener una web protegida, en concreto 14 cosas, ¿Vale? Entonces, echadle un vistazo si lo que queréis son medidas para tener un WordPress seguro. Pero en este episodio hablaremos desde un enfoque diferente, digamos los motivos de alguien o de un hacker para justo elegirte a ti. ¿Por qué yo? Y luego otro episodio del podcast, el 6, que eso es una aproximación muy general a la seguridad en WordPress. De hecho se llama seguridad en WordPress, el episodio 6, pues en los primeros episodios hablaba de temas más generales y conforme voy avanzando, pues voy cerrando el cerco y voy hablando de cosas más concretas. Pues si queréis ahí tenéis una buena aproximación general de lo que es la seguridad en WordPress. Así que tenéis toda la nota del programa o simplemente Gonzalo es podcast y buscáis el episodio en cuestión, ¿De acuerdo? Entonces, antes que nada, ¿Por qué hay tantos WordPress inseguros? Pues básicamente por dos razones. Una, por la popularidad de WordPress. WordPress es tan popular, está en tantas webs, tiene tanto porcentaje de mercado, que es normal que sea un objetivo. ¿Por qué? Pues muy fácil, porque cuantas más webs haya hechas con WordPress, más posibilidades hay de que sean hackeadas. Entonces, primero, es un problema de popularidad. WordPress es muy grande, hay muchísima gente que utiliza WordPress. Segundo, por desconocimiento, hay tanta gente que lo utiliza. ¿Por qué? Porque a priori es fácil, sí, es fácil crear tu web, poner un tema y hacer ciertas cosas. Pero después hay algo en lo que yo creo que hay mucha gente concienciada del mundo WordPress, mucha gente que sabe mucho de WordPress, que es intentar precisamente enseñar a la gente las cosas importantes, que una web hay que mantenerla, que una web es una responsabilidad, que no la puedes tratar como algo que tienes ahí y que dejas ahí, que apenas prestas atención. ¿Por qué? Pues porque como todo, si no lo cuidas se deteriora y si no lo proteges, pues te entran a robar. Entonces ¿Eso quiere decir que WordPress es inseguro y tú tienes que asegurarlo para que no te lo hackeen? Pues no, no quiere decir eso. Pero ten en cuenta que todo evoluciona. WordPress va sacando novedades, los plugins se van renovando, los themes se van renovando. Entonces, si WordPress avanza, los themes avanza, los plugins avanzan, pero tú no haces un mantenimiento, tú no vas acorde a esos avances, pues al final te estás quedando atrás, te estás quedando obsoleto. Con lo cual tu web tiene muchas posibilidades de que sea hackeada, o al menos muchas más que la gente que lo tiene todo al día y que va con el progreso. ¿De acuerdo? Entonces es importante eso tenerlo en cuenta. ¿Y eso es culpa del usuario? Pues bueno, hasta cierto punto es simplemente desconocimiento. Por eso me alegro de que cada vez haya más gente intentando concienciar de buenas prácticas y de lo que se debe hacer. Bueno, una vez dicho esto, vamos con otra cuestión. ¿Por qué hackean los hackers? Es decir, ¿Ellos qué beneficio tienen, por ejemplo, de venir a mi web y hackear mi web y entrar en mi web? ¿Cuál es el beneficio? Vale, pues aquí puede haber varios. Uno de los más grandes es conseguir ingresos. Y tú te preguntarás, ¿Conseguir ingresos cómo? Pues por ejemplo, robando información. ¿Como? Cuando tú entras y hackeas una web, esa web tiene información, tiene usuarios, tiene datos, tiene cosas. Y la información ya sabéis que tiene un valor. ¿Qué otras formas de conseguir ingresos? Pues utilizar tu web para poner enlaces de afiliados, para poner anuncios y todo eso va a reportar un beneficio. Si no es el hacker en cuestión, puede que sea que pertenezca a una red más grande de criminales y esa red más grande se beneficie de pequeñas webs que tiene hackeadas. ¿Por qué más razones hackean los hackers? Pues para usar la audiencia de otros. La audiencia es lo que más valor tiene de una página web. Para mí lo más valioso de mi página web es la gente que quiere aprender WordPress. ¿Por qué? Pues porque yo les puedo enseñar WordPress y van en consonancia perfectamente con lo que yo estoy enseñando. Confían en mí porque buscan algo de WordPress, vienen a WordPress y yo les doy la respuesta. Pues los hackers utilizan esa confianza y que previamente otra persona ya ha creado con sus audiencias para aprovecharse y de nuevo pues conseguir unos ingresos o que vayan a cierta página o que hagan ciertas cosas. Más cosas por las que hackean los hackers Por abusar de tus recursos. ¿De qué recursos? Pues por ejemplo de tu hosting, de las herramientas que utilices para tener tu web montada. Pues como hackean tu web lo que hacen es explotar tus recursos. Que ellos no han pagado por nada de eso, ni han contratado nada de eso, pues explotan tus recursos, explotan los de otra web, los de otra web, los de otra web. Y si explotan recursos de muchas otras webs, pues ya tienen ahí una red hackeada y utilizando sus recursos, utilizando su audiencia y al final obteniendo ingresos o algún tipo de beneficio de tu web o la de otro o la mía. Y hay una cuarta razón que es porque sí, porque pueden. No es ni siquiera por hacer dinero, sino por aburrimiento. Puedo Pues lo hago. Y después puede ser ponerse una medalla. Entonces también existe eso de que no hay un motivo de por qué sí, porque puede, para demostrar que puede hacerlo. Entonces así yo creo que puedes entender bastante bien la motivación que hay detrás de los hackers. Después, ¿Cómo puede afectarte eso a ti? Pues hay varios puntos claves aquí. Por un lado está la reputación de tu marca, ya sea marca personal o no. Si una web ha sido hackeada y los usuarios lo saben, eso va a afectar negativamente la reputación de la marca. Dentro de tu marca tú estás ofreciendo una experiencia única. Es clave la confianza que creas con el usuario, como ya he comentado anteriormente. Entonces si el usuario ve que ha sido hackeado, puede perder un poco la confianza y puede irse incluso a la competencia. Aquí el aspecto positivo es que suele haber tolerancia hasta cierto punto en cuanto a esto, si tú eres honesto y explicas bien lo que ha pasado y tratas de gestionar bien la situación, los usuarios suelen tener tolerancia. Y esto lo digo basado en varias empresas de seguridad, por ejemplo Sucuri, que me gusta mucho siempre, por cierto, si queréis más información sobre esto, Sucuri es una muy buena forma de información sobre seguridad, sobre mejores prácticas y demás. Es una empresa que me da muy buen rollo y confío mucho en ellos, por ejemplo. Según ellos hay mucha tolerancia en cuanto a esto. Si tú gestionas bien la situación puedes recuperar rápidamente esa reputación. ¿Qué más? ¿Cómo más puede afectarte? Obviamente económicamente. Cuando por ejemplo Google se da cuenta de que tu web ha sido hackeada y te pone en la lista negra esto, que sale una pantalla de esta web no es segura y tienes. Y sale una pantalla roja que da mucho miedito, pues según su curi también ahí pierdes el 90% del tráfico del tirón. Entonces imagínate lo que eso te puede suponer en cuanto a venta, si es que vendes algo o si tenías invertido dinero en publicidad, pues también. Y luego por supuesto el tiempo, el dinero que inviertes en las herramientas para solucionar esto. Si tú mismo no puedes solucionar el problema, vas a tener que contratar alguna empresa especializada en seguridad para que te lo solvente. Quizás el aspecto económico sea el más claro, más el emocional, que aunque parezca que no, esto afecta emocionalmente. Esto te puede producir ansiedad de no saber por qué a ti, de no saber cómo solucionarlo, te puede producir confusión y bueno, ¿Y esto por qué? ¿Ahora qué hago? ¿En quién confío? Enfado, por supuesto, porque te cagas en todo, sobre todo en el que te haya hackeado la web o incluso desconfianza, puedes dejar de confiar incluso en Internet, en las herramientas que utilizas en WordPress. Entonces emocionalmente también te afecta esto, sobre todo si pues tu web es muy importante para ti, es tu negocio o es algo en lo que has invertido mucho tiempo, en lo que has invertido mucho dinero, pues eso emocionalmente afecta, ¿De acuerdo? ¿Qué más? ¿Cómo puede afectarte que te hackeen la web? Pues como hemos comentado antes, ir a las listas negras de Google o de otros, puedes ir incluso a las listas negras de antivirus, ¿Vale? Porque si tu web es hackeada y cuando los usuarios hacen clic en algún lado se van a un virus o se van también a una página que es perjudicial. Tú puedes acabar en listas negras pero de Google, de Bing, de Norton, de muchos sitios y llegado a cierto punto puede ser difícil recuperar eso y quitar esa mancha negra que hay en tu web. ¿Qué más? Al SEO. Si entras en la lista negra de Google, si tu web ha sido hackeada, puedes pegar un bajón brutal en SEO, aunque esto es reversible sobre todo además Google entiende bien cuando no es culpa tuya y cada vez se hace más inteligente y entiende mejor las situaciones. Pero en cualquier caso también, si no gestionas bien el tema puede ser un desastre en cuanto a SEO. De hecho lo va a ser al principio, pero si lo solucionas, pues también se solucionaría en principio el problema del SEO. Y después, por último, tus visitantes comprometidos es que puede ser que tengan información de tus visitantes, de tus usuarios. Así que yo creo que son puntos muy importantes como para pasarlos por alto y obviar la seguridad en WordPress. Entonces, una vez visto por qué hackean los hackers, ¿Cómo puede afectarte a ti directamente? Vamos a ver ¿Qué hacer para protegerte? Pues lo primero, cambiar el chip y ten la seguridad presente, es decir, incorpórala a tu día a día en WordPress. Me refiero cuando estás gestionando tu página web. Sí, la tecnología, los plugins, el código, etcétera, todo eso ayuda muchísimo, pero tú tienes también responsabilidad. ¿De qué vale tener un plugin de seguridad, haber puesto unas líneas de código que te van a ayudar a la seguridad sí después no actualizas tu theme, no actualizas los plugins, tienes ahí tu WordPress muerto de risa sin actualizarlo? Pues no vale de nada, de algo te valdrá, pero al final, si no tienes todo al día, todo actualizado, si no estás un poquito pendiente, tampoco es que seas un. No hace falta que seas un loco de la seguridad, pero sí tomar ciertas medidas. Al igual que dices, voy a publicar un post a la semana y voy a hacer esto cada día y voy a hacer lo otro, pues también ten presente la seguridad y dedica un tiempo y configura todo bien en seguridad. Si hay una novedad, estate al tanto. Te lo digo desde ese punto de vista porque ya te he explicado el otro episodio del podcast que Ya hablo de 14 cosas que puedes hacer para asegurar tu WordPress. Y luego tienes el curso de seguridad en WordPress que ha salido precisamente hoy y si quieres te cuento un poco las lecciones. La primera lección es de seguridad básica, es decir, cositas súper básicas pero que estoy seguro que muchos de vosotros no habréis hecho. La segunda lección es seguridad en el. Htaccess. Vamos a aprender cómo editar este archivo que es muy importante en WordPress y te permite hacer cosas muy avanzadas como por ejemplo protegerte en términos de seguridad y vamos a ver que es muy sencillo hacerlo también. Seguridad en otro archivo de WordPress importante que es el archivo de configuración, el WPConfig PHP. Vamos a ver varias cosas chulas que se pueden ver en ese archivo y también cosas que podemos añadirle para tener un WordPress más seguro. Vamos a meternos en la base de datos, que es una cosa que da un poquito de miedo pero vais a ver al final qué fácil es cuando lo veis explicado, es más sencillo de lo que parece y vamos a poder también proteger nuestra base de datos y hacer algunos cambios que son muy importantes en cuanto a seguridad como ya os he comentado antes. Auditoría La sexta lección la dedico a auditoría, que entre otros veremos el plugin que os he recomendado al principio del programa. ¿Qué más vamos a ver? Pues hasta ahora prácticamente todo lo que he comentado es código, modificaciones, configuraciones que se pueden hacer. Pero por supuesto también vamos a ver plugins porque ocupan un papel importante. Vamos a ver por un lado pequeños plugins que que te ayuda a hacer cosas concretas, por ejemplo, evitar que te hagan ataques de fuerza bruta, establecer un acceso a tu WordPress más seguro mediante incluso tu móvil sin tener que poner contraseñas. Vamos a ver plugins pequeñitos que te permiten hacer esas cosas, pero después las grandes soluciones completas que hay en el mundo de los plugins de seguridad que son Sucuri, iThem Security y Wordfence. Dedico una lección a cada uno y los vemos desde el principio hasta el final, no me salto nada. Todos los ajustes, todas las opciones, todas las posibilidades que trae cada plugin las vemos, es decir, no vemos solo cómo configurarlo y ya está, no vemos solo cómo hacer un scan y ya está, no, no, vemos absolutamente todo de los tres plugins. Y por último, la última lección que creo que os va a gustar mucho, que es cómo crear vuestro propio plugin de seguridad. ¿Y esto para qué sirve? Pues básicamente lo que vais a tener es un archivo de funciones donde vais a poder ir pegando instrucciones que le vais a dar a WordPress para ser más seguros, o cómo proteger esto, cómo proteger lo otro, o bloquear esto, bloquear lo otro, pero todo esto dentro de vuestro propio plugin, es decir, que ya no usáis una cosa, la eliminas. ¿Que queréis añadir una cosa más que habéis descubierto en un blog sobre seguridad en el que confiáis mucho, pues la añadís ahí a vuestro propio plugin de seguridad? Que queréis coger ese plugin y llevároslo a otra web que habéis creado, pues lo cogéis y os lo lleváis. Que ya no queréis nada de ahí, pues desactiváis el plugin. Es una cosa muy útil y que os va a gustar mucho, crear vuestro propio plugin y tener ahí pues un pequeñito plugin que habéis hecho de seguridad. Así que todo eso lo vemos en el curso, ya lo sabéis, Gonzalo es cursos, echadle un vistacito si queréis más detalle. Y nada más, espero que os haya gustado el programa de hoy. Creo que es importante que al igual que nos centramos en el SEO, que nos centramos en tener una web rápida, que nos centramos en el diseño de nuestra web, en publicar contenido, pues que también tengáis presente la seguridad. Por eso quería hacer este episodio de hoy. Así que si ya lo sabéis, si os ha gustado, siempre, siempre, siempre os agradezco muchísimo una valoración en iTunes a los que me escucháis por iVoox, que me han dicho que se dice iVoox y no iVoox, pues también muchas gracias. Así que nada más, nos seguimos escuchando. Adiós.