Ep 6 | Seguridad en WordPress

En el episodio 6 de WordPress semanal vamos a hablar de la importancia de tener tu web con WordPress segura. ¿Es WordPress seguro? Vamos a dar respuesta a esa pregunta y además vamos a hablar sobre qué podemos hacer para estar tranquilos en cuanto a seguridad. Vamos allá. Hola, hola. Bienvenidos al episodio 6 de WordPress semanal, el podcast en el que aprendes a utilizar WordPress de principio a fin. Ya sabes, aquí hablamos de plugins, de estrategias, de todo lo relacionado con WordPress para que aprendas a dominarlo y a sacarle partido técnicamente. En el episodio de hoy, como ya sabes, vamos a hablar de seguridad en WordPress. Vamos a ver si de por sí WordPress es seguro. Vamos a ver qué cosas podemos hacer sin necesidad de instalar ningún plugin, simplemente aplicando el sentido común. Vamos a ver qué puedo hacer instalando plugins. Después vamos a ver dos tipos de plugins. Uno, los que son más livianos, que quizás hacen menos cosas pero no ocupan nada en tu página web y son potentes pero livianos. Y después vamos a ver los plugins de seguridad más completos, con estos que puedes hacer de todo. Y por último veremos un plugin, bueno hay varios, pero a mí el que más me gusta es un plugin para hacer copias de seguridad que además las hace de forma automática. Pero antes, como todas las semanas, vamos a recomendar un un plugin y es precisamente uno de los que vamos a hablar, ¿De acuerdo? Es AppDraft. Y este plugin lo que hace es copias de seguridad, pero está súper bien, las hace. Tienes muchas opciones. Puedes hacer copias de seguridad de unas partes sí y de unas partes no. Puedes hacer copias de seguridad de forma automática cada cierto tiempo, por ejemplo, puedes programarlo para que se hagan cada semana. Y lo mejor de todo es que puedes hacer que esas copias de seguridad se guarden, por ejemplo, en tu Dropbox o o en tu Google Drive o cualquier cosa que tengas externa, o lo puedes dejar guardado en el propio servidor de tu página web. Aunque eso no lo aconsejo porque imagina que alguien te hackea, va a tener también acceso a tu copia de seguridad, entonces no es muy buena idea guardarla ahí. Puedes guardar bien en tu ordenador o bien en un dispositivo externo o en la nube como puede ser Dropbox o Google Drive. Así que esa es mi recomendación de hoy. AppDraft. Ya sabes que tienes el link en las notas del programa. Y vamos con el episodio de hoy, la seguridad en WordPress. Lo primero que tenemos que responder es si WordPress es seguro. Pues sí, WordPress es seguro, está muy bien hecho, tiene actualizaciones de seguridad constantemente. En cuanto se encuentra una brecha de seguridad, ya sea en un plugin, ya sea en un thing o en el propio CMS, es decir, en el propio WordPress, pues se actualiza inmediatamente. ¿Cuál es el problema? Que como WordPress es algo que tú tienes que darle un mantenimiento y además es algo muy utilizado, los hackers se aprovechan de ello. Si por ejemplo tú no actualizas tus plugins, tú no actualizas WordPress, los hackers se pueden aprovechar de ti. ¿Por qué? Porque en cada actualización si se ha encontrado un fallo de seguridad se explica. Entonces, por ejemplo, si un plugin ha tenido un fallo de seguridad, pues lo arreglan, ¿De acuerdo? Y cuando lo arreglan y sacan la nueva versión, en la descripción de esa actualización del plugin viene que se ha corregido un fallo de seguridad. Esto igual que lo vemos nosotros, lo podemos leer al ver las notas de la actualización, lo puede ver cualquiera. Entonces si un hacker lo ve, va a buscar esa gente que no tiene actualizado el plugin para intentar aprovecharse de esa brecha de seguridad. Entonces por eso es tan importante las actualizaciones dentro de WordPress. Así que WordPress sí que es seguro, pero tenemos que darle un mantenimiento. Punto número dos. ¿Qué puedo hacer sin plugins? Es decir, sin tener que instalar nada en términos de seguridad, ¿Qué puedo hacer para que mi web sea más segura o para dificultar que me la hackeen? Que un hacker pueda tomar control de mi página web, Que por cierto, si lo hace no te vas a enterar, No pienses que de hecho mucha gente tiene su web hackeada y ni siquiera lo sabe, porque al hacker no le interesa que tú lo sepas. Ya hablé de eso en el primer episodio, porque hablamos un poco en general de WordPress, de por qué es bueno utilizarlo, de sus ventajas y sus inconvenientes, y hablamos ahí también de seguridad. Eso era uno de los puntos, así que si quieres escucharlo simplemente es el episodio 1 del podcast. Bien, entonces, ¿Qué cosas podemos hacer sin plugins y con sentido común para mejorar la seguridad de nuestra web? Primero, tener un buen hosting, un hosting reputado, un hosting que no tenga que si lo buscas en Google no haya mucha gente quejándose de él porque ha tenido problemas de seguridad. ¿Que sí, que hay muchos factores que entran en la seguridad, pero hay hostings mejor preparados para estos temas que otros, de acuerdo? Ya sabéis que yo siempre recomiendo SiteGround, si queréis echarle un vistazo. ¿Gonzalo es barra hosting, de acuerdo? ¿Qué más? Usuarios y contraseñas fuertes. Esto se dice siempre, pero es que la gente no lo hace. Por ejemplo, nunca tengas un usuario que se llame admin o un usuario que contenga alguna de las partes de tu dominio, porque eso es lo primero que los hackers van a probar. Los hackers lo que hacen es que prueban cosas de forma automática, tienen softwares que lo hacen por ellos y están programados para que lo primero que intenten sea admin, que es lo que ya no tanto. Pero antes casi todos los hosting te daban por defecto un usuario que se llamaba admin y después tú elegías la contraseña o te dan una contraseña, depende. Entonces, si es tu caso, cámbiala. Para cambiar el usuario tendrías que crear un nuevo usuario. Te vas a usuario, añadir nuevo, creas el nuevo usuario, le das capacidad de administrador, luego vuelves a entrar con ese usuario y eliminas el usuario anterior. No hay otra forma de hacerlo más que esa, creando un nuevo usuario y eliminando después el usuario anterior. Y luego, contraseñas fuertes. Lo mismo, no se te ocurra poner una contraseña que tenga que ver con tu web, ni una contraseña que sea solo letras, ni una contraseña que sea solo números, ni una fecha de nacimiento. ¿Intenta mezclar letras, números, caracteres raros, de acuerdo? Cuanto más larga mejor, cuantos más caracteres raros mejor. Eso en cuanto a qué puedes hacer sin plugins y con sentido común. Después, ¿Qué puedes hacer sin plugins? Esto ya no es sentido común, esto ya es saber, pues código, ¿De acuerdo? Los plugins ya sabéis que no es más que pequeños trozos de código que están empaquetados para que tú lo puedas instalar de forma sencilla. ¿Pues si tú puedes hacer eso sin necesidad de instalar plugins, pues bueno, mejor o no, de acuerdo? Pero si sabes, pues puedes hacerlo. Así que si queréis que haga una entrada en el blog hablando de cómo proteger tu web sin necesidad de plugins, es decir, solo con código, pues me lo decís. ¿Podéis contactarme en gonzalonabarro, es contactar y lo prepararé, de acuerdo? Para próximas entradas en el blog. ¿Después, esto es sin plugins, pero qué puedo hacer con plugins? Pues con plugins podemos hacer de todo. Hay plugins para todo. Y si descubres que no lo hay, dímelo y lo hacemos, porque ya es muy difícil hacer un plugin de algo que no exista. Entonces, yo aquí me gusta diferenciar entre dos tipos de plugins de seguridad. Los livianos, que te hacen una cosa específica nada más, y luego los complejos, los plugins de seguridad más pesados que te hacen de todo y que luego no usas ni el 10%. ¿De acuerdo? Entonces, primero los plugins de seguridad livianos. A mí me gusta mucho Limit Login Attempts, o. Bueno, este es un plugin que hace 4 años que no se actualiza, ¿De acuerdo? Pero se sigue utilizando. Y no se actualiza porque el creador pase, sino porque es tan sencillo lo que hace y tan bien cómo lo hace, que realmente no ha necesitado una actualización. En cualquier caso, hace muchísimo que no se actualiza y si te da mal rollo, yo lo uso y no he tenido ningún problema. Lo uso con páginas que llevo y no he tenido ningún problema. Pero si no, hay uno que ahora se ha aprovechado de que Limit Login Attempts no se actualiza y ha creado uno que se llama igual, pero que le ha puesto WordPress delante. Entonces, WP Limit Login Attempts, ¿Vale? Limit Login Attempts quiere decir limitar los intentos de login. Lo que hacen, como te he comentado antes, los hackers es poner un software que constantemente empieza a probar, probar, probar, probar, probar usuarios y contraseñas hasta que en algún momento suena la flauta y consigue entrar. Pues este plugin lo que te permite sencillamente es limitar los intentos de login. Entonces lo puedes limitar a lo que quieras, pues a cinco o a seis o a lo que tú quieras. Y la persona que llegue a eso va a estar bloqueada durante un tiempo que tú elijas. Después, si lo vuelvo a intentar, va a estar bloqueada durante más tiempo todavía. Y así va siguiendo un círculo en el que según los intentos que hagas, te va a acabar bloqueando. Entonces, de esta forma, estos hackers o estos programas, estos bots que se llaman, pues quedan inutilizados porque en cuatro o cinco intentos es imposible. Si tienes una contraseña y un usuario seguro fuertes, pues es imposible que lo acierten. Y otra cosa que. Otro plugin que recomiendo, que también es muy liviano y que va al grano, es Admin Block Country. Esto lo que hace es bloquear por países, entonces si tú en tus estadísticas en Google Analytics o en las estadísticas que tengas y tienes un plugin de estadísticas de WordPress, ves que estás recibiendo muchas visitas de por ejemplo Rusia, que es algo muy típico, si tu página web o tu negocio está en España y no te diriges a Rusia, no tiene sentido que de repente tengas muchas visitas de Rusia y que además duran muy poco tiempo, pues seguramente algo raro esté viniendo de allí. Entonces con Admin Block Country puedes hacer bloquear las visitas desde Rusia o desde otro país que no te interese que te entren. Entonces esto son dos cosas basiquísimas digamos, con esto ya tienes asegurado que los ataques masivos no te van a afectar porque es lo más común, ataques masivos de bots de estos softwares que lo intentan de forma a saco digamos, entonces con eso te lo aseguras. ¿Después, quieres más cosas? Pues tenemos los plugins de seguridad completos que hacen esto, lo que hace Limitlogin, Atems y Admin Block Country y muchísimas cosas más, Los más famosos son Wordfence, Ithem Security y luego Sucuri Security, que este es un poco diferente, que está más centrado en identificar problemas de seguridad, tú lo instalas y ves si tienes tu web hackeada, es como un escáner de malware de software malicioso, si han insertado algún tipo de código malicioso en tu web, Security Security te lo va a decir, está muy bien, esta gente además tiene un blog en el que van sacando todos los fallos de seguridad que hay, está en inglés pero si sabes inglés o más o menos te defiendes está muy bien porque te va avisando de todo y si te suscribes a él pues siempre vas a estar al tanto de todos los plugins, todos los teams o todo lo que pueda tener un problema de seguridad, la verdad que son unos cracks. Y después los dos primeros, Workfence y itheim Security son soluciones completas para la seguridad, ellos lo venden básicamente con que lo instalas y ya está, te van a avisar por mail si tienes algún problema, si tienes que actualizar algo, si han bloqueado países o IPs en algún momento porque han intentado acceder de forma bruta a tu página web, pues te lo va avisando todo y digamos que lo instalas y con unos ajustes ya entre comillas te olvidas. Pero lo que digo, son plugins muy pesados y si realmente lo que lo vas a utilizar es para limitar los intentos de acceso y para bloquear países, pues no tiene sentido que instales estos plugins tan pesados, pero pudiendo instalar los dos anteriores, ¿De acuerdo? Y luego una parte también muy importante son las copias de seguridad, porque si en algún momento, por lo que sea, aunque tengas tu web segura, por un descuido tuyo, por lo que sea, te hackean la web, te meten código malicioso, puedes utilizar una copia de seguridad anterior que tú sepas que no tenga ese código malicioso y restaurarla. Entonces vas a volver al momento anterior de que te hackearan la web. Esto está muy bien. Pero claro que os decía antes de Afterplus, que es lo que os voy a hablar ahora, Este plugin que puedes hacer las copias de seguridad y guardarlas en lugares externos. Porque ¿Qué pasa si lo guardas en el propio servidor de tu web? Que si un hacker tiene acceso a tu página web, también va a tener acceso a tu copia de seguridad, entonces tu copia de seguridad también va a quedar comprometida. Entonces por eso es importante que guardes tus copias de seguridad fuera de tu página web. Y DraftPlus te lo permite hacer de forma súper sencilla. Tú puedes decir que semanalmente, por ejemplo, se haga una copia de seguridad de tu web y que automáticamente te la guarde en tu Dropbox. Es que ni siquiera tienes que hacer nada, automáticamente te lo hace y te lo envía a tu Dropbox o a donde tú quieras, o a tu Google Drive o lo que utilices. Y si no lo utilizas te puedes crear una cuenta porque es gratuita y te va a merecer la pena. Este plugin me gusta tanto que es una de las primeras entradas que publiqué en el blog y además hice un tutorial en vídeo con dos vídeos que están, digamos, un repaso de todo lo que puedes hacer con Aftersplus y lo tengo en el blog, está en vídeo y échale un ojo y lo instalas porque está muy bien. Dejo el link en la nota del programa. De todas formas el post se llama Hacer copias de seguridad en WordPress y restaurarlas. Hasta aquí el tema de hoy. Hemos hablado de si WordPress es seguro, hemos dicho que sí, que es seguro, pero que hay que tener cuidado, hay que tener un mantenimiento. ¿Qué podemos hacer sin plugins? Básicamente tener sentido común. ¿Qué podemoS hacer con plugins? Que es todo. Luego la posibilidad de instalar plugins, livianos o soluciones más complejas. Y por último, muy importante, las copias de seguridad. Si tu web protegida, pero también ten copias porque cualquier cosa puede pasar, si no es que te la hackean, se puede pasar algo que en una actualización se vaya todo al garete y tengas que necesites recuperarlo todo. Pues por eso son muy importantes las copias de seguridad. A la gente no le presta atención, porque mientras no te pase nada, pues vives feliz y contento, pero el día que te pase, de verdad que te tirarás de los pelos si no tienes una copia de seguridad. No sé exactamente si para cuando publique este, porque grabo los episodios con anterioridad, no sé exactamente si para cuando lo publique ya va a estar, pero estoy a punto de abrir la zona de suscripción de mi página web. He querido hacer algo accesible a todo el mundo, ¿De acuerdo? Y va a ser básicamente una universidad de WordPress. Yo voy a preparar, ya los tengo preparados de hecho, una serie de cursos según lo que muchos de vosotros me habéis dicho que os interesa, y ya tengo esos cursos preparados. Entonces por 10 euros al mes vais a tener acceso a todos esos más los que vaya creando. Y esos cursos que yo vaya creando van a ser los que vosotros elijáis, porque no me interesa ir creando cursos así a ciegas, porque yo quiero hacer lo que vosotros queráis. Entonces va a haber un formulario en el que podéis sugerir cursos y dentro de esas sugerencias vais a poder ir votando los que voy a ir preparando antes, ¿De acuerdo? No sé cuántos voy a poder hacer mensualmente, pero mi idea es entre 1 y 2 al mes, ¿De acuerdo? Así que si ya estáis interesados podéis simplemente escribirme a gonzalonavarro, es contactar, decirme que estáis interesados y en cuanto lo abra, pues os enviaré un email con toda la información. ¿Como podéis suscribiros, cómo podéis sugerir cursos? Los cursos son en vídeo, paso a paso, no sé si ya habéis visto alguno de mis tutoriales o si habéis hecho el curso gratuito de cómo crear páginas web con WordPress, pero está muy bien, ¿De acuerdo? Te guían paso a paso y es un muy buen recurso si tienes una página web o si llevas varias páginas web o simplemente para la tuya, porque cada vez que tengas una duda vas a poder acceder ahí y seguir paso a paso cómo hacer cada cosa. Así que ya sabes Si estás interesado, gonzalonovarro es contactar, te mando toda la info, te mando la fecha de apertura y nada más, muchas gracias por escuchar. Si te ha gustado el episodio, ya sabes que me ayuda muchísimo una valoración de 5 estrellas en iTunes. Si ves las notas del programa, tienes un link en el que puedes ir directamente a dejar la valoración o si me escuchas por ivoox, lo mismo, un me gusta me ayudaría muchísimo para que el podcast pueda seguir creciendo contigo. Muchas gracias. Adiós.