Lo que veo en mis WordPress día a día
Te preguntarás el “por qué” de este post. He pensado que sería interesante que vieras lo que me encuentro cada día al llegar al trabajo.
Todo el mundo sabe que la seguridad en WordPress es necesaria… ¿seguro? ¿todos son conscientes? 😉
Eres de los que piensan “tengo mi página hecha con WordPress y nunca me han hackeado”. Permíteme decirtelo alto y claro: hackear tu web, tan sólo es cuestión de tiempo. Tranquilo, esta afirmación también tiene sus excepciones siempre y cuando te tomes en serio la seguridad de tu web y la gestiones o te la gestione correctamente un profesional.
Lo primero que quiero enseñarte es lo que me encuentro cada mañana al llegar al trabajo y abrir mi correo electrónico:
Si no lo has hecho ya, quiero que te fijes en la carpeta “Logueos fallados” y, sobre todo, en el número que aparece a su derecha (2470). Se trata de informes de intentos de acceso a todas las webs que administro, generados por los plugins de seguridad instalados en cada uno de los sitios. Teniendo en cuenta que estos informes se recogen desde que salgo del trabajo, hasta que entro a la mañana siguiente (unas 15 horas) y que, el número de webs que administro son varias decenas, este número puede parecer incluso pequeño.
Con esto simplemente quiero mostrarte que, desde el mismo momento que una instalación de WordPress se sube al servidor de producción, está a disposición de los scripts automatizados de usuarios malintencionados y, por lo tanto, ya es atacada.
Detalle de estos informes
Donde podemos ver la fecha y la hora del intento de logueo así como el usuario con el que han intentado acceder que en este caso es “test”.
Este es un informe del plugin “Sucuri”, para recibirlo debemos configurar bien las alertas una vez lo tengamos instalado, pero de ello hablaremos más adelante en otro post.
Nociones básicas de seguridad en WordPress
No me cansaré de repetir las nociones básicas de seguridad para tu instalación de WordPress, de momento, me repetiré con algunos consejos para evitar estos ataques:
- NO utilices nunca como nombre de usuario palabras como “admin”, “administrador”, “test” o el “nombre_de_tu_dominio”
- Utiliza contraseñas seguras de al menos 12 caracteres incluyendo letras mayúsculas, minúsculas, números y símbolos.
- Cambia la ruta de acceso a tu panel de control, no utilices “wp-admin” o “wp-login.php” (más adelante crearé un post sobre cómo realizar esto con plugin y sin plugin).
- Limita el número de intentos de logueo fallidos a tu panel de control. Utiliza un plugin específico para ello o un plugin de seguridad que disponga de esta característica.
¿Quieres más consejos de seguridad? Mira estos post:
Parámetros básicos de seguridad.
Ciberdebate “Mejora la seguridad de tu WordPress“.
Protección de archivos desde htaccess.
Valórame, es gratis, solo te cuesta un click [kkstarratings]
