Consejos de seguridad para Wordpress evita que te lo hackeen

Iniciado por Sauron · 20 ene 2014 · 12 respuestas · 13.744 visitas

1. SSauron20 ene 2014
   
   
   Wordpress se ha convertido en una plataforma muy popular, uno de cada 6 sitios webs la usa. Es por esto que está en el punto de mira de muchas personas para aprovechar sus debilidades. Vamos a detallar que precauciones debemos de tener en nuestro Wordpress.
   
   

   1. No dejes el usuario administrador por defecto: admin
   2. No emplees contraseñas fáciles, trata de que incluyan además de letras y números otros caracteres especiales.
   3. Actualiza a la última versión de Wordpress, es muy probable que haya cubierto agujeros de seguridad.
   4. No dejes el usuario administrador por defecto: admin
   5. Usa un plugin que evite ataques por fuerza bruta en tratar de acceder al escritorio: Limit Login Attempts
   6. Haz copias de seguridad regularmente: WP-DB-Backup

   
   
   Te recomienda que veas estos dos artículos en ingles sobre contraseñas comunes y como un porcentaje importante usuarios usa contraseñas muy simples:
   https://xato.net/passwords/more-top-worst-passwords/
   http://www.cbsnews.com/news/the-25-most-common-passwords-of-2012/
   
   Si deseas puedes usar un generador de contraseñas seguras de Norton:
   https://identitysafe.norton.com/password-generator/
2. SSir Andrew Perkins24 mar 2014#2
   Algo que leí y me pareció genial, incluso debería estar por defecto de esta manera en todo WP
   
   Es indicar mediante .htaccess las IP aprobadas para entrar a wp-login.php
   
   

   <Files wp-login.php>
   Order Deny, Allow
   Deny from all
   Allow from xx.xx.xx.xx aquí tu IP
   </Files>

   
   
   Con esto en teoría ya no hay posibles hackeos, pones la tuya y ya no puede entrar nadie salvo tú.
3. SSauron24 mar 2014#3
   @"Sir Andrew Perkins" pues eso una buena idea si el blog lo lleva una sola persona, y aún así, si tu IP es dinámica, vas a necesitar estar cambiando el .htaccess en cada cambio de IP. Si sois varios colaboradores en un blog, esta tarea se haría pesada.
4. SSir Andrew Perkins24 mar 2014#4
   Una medida extrema para casos extremos como el mio que tengo por mi desconocimiento el WP frecuentemente hakeado :dodgy:
   
   Estoy esperando a que se actualicen los caches de google para ver si conseguí salir del hakeo y subo al foro mi experiencia, sin ser un experto ya conozco varios métodos que usaron y me parecen sublimes :heart:
5. SSauron24 mar 2014#5
   @"Sir Andrew Perkins" ten siempre actualizado el Wordpress, porque cuando se detectan fallos de seguridad, como es el CMS más popular, se hacen ataques masivos a todos los Wordpress...
6. Ddislikeit6 abr 2014#6
   Recomiendo de todo corazón Wordfence.
   Es gratuito y tira bastante bien.
7. Jjavib11 abr 2014#7
   Como consejos básicos yo añadiría:
   - Cambiar la URL de acceso (hay plugins para eso)
   - Hacer backups regulares
8. SSilvia7725 abr 2014#8
   aparte de no usar el user por defecto (admin) el admin que uno se haga no debe postear, o, si lo hace, que eh theme no muestre el autor, me explico. De poco sirve no tener un admin que no se llama admin, si el admin (que se llama pepito) tambien postea y su nombre aparece en las entradas que hace. El hacker de turno, cuando vea que admin no funciona, probará con los autores del blog, si consigue romper con el autor que es tambien admin, toma destrozo.
   
   Ah! y wp tiene un fallo de seguridad muy tonto, que es que cuando tratas de loguearte y pones mal el user, te lo dice!!!!! para corregirlo, en functions.php se añade esto:
   
   

   //Eliminar el mensaje de error en la pantalla de login de admin
   
   add_filter('login_errors',create_function('$a', "return null;"));

9. SSilvia7725 abr 2014#9
   para quienes hayan (hayamos, me incluso , que a veces por las prisas no lo he cambiado y me toca cambiarlo despues) creado un admin de nombre admin y no quieran simplemente borrarlo, si no cambiarle el nombre, en el repositorio de wordpress hay este plgin: Admin renamer extended
   
   Lo he probado y funciona incluso con instalaciones multisite
10. EEnsiferum25 abr 2014#10
    Gracias! acabo de probarla y funciona a la perfección, justo me había olvidado de cambiarle el admin a una nueva instalación ;)
    
    

    Silvia77 escribió:para quienes hayan (hayamos, me incluso , que a veces por las prisas no lo he cambiado y me toca cambiarlo despues) creado un admin de nombre admin y no quieran simplemente borrarlo, si no cambiarle el nombre, en el repositorio de wordpress hay este plgin: Admin renamer extended
    
    Lo he probado y funciona incluso con instalaciones multisite

11. Rrafffael27 abr 2014#11

    Sir escribió:Algo que leí y me pareció genial, incluso debería estar por defecto de esta manera en todo WP
    
    Es indicar mediante .htaccess las IP aprobadas para entrar a wp-login.php
    
    

    <Files wp-login.php>
    Order Deny, Allow
    Deny from all
    Allow from xx.xx.xx.xx aquí tu IP
    </Files>

    
    
    Con esto en teoría ya no hay posibles hackeos, pones la tuya y ya no puede entrar nadie salvo tú.

    
    
    Sin duda es una excelente opción, aunque el problema se presentaría si tenemos ip dinámica.
12. SSilvia771 may 2014#12
    @Sir Andrew Perkins @rafffael efectivamente, bloquear todas las ips puede causar el problema de que si la nuestra cambia, jodidos estamos. Una buena opcion es implantar algun sistema que bloquee ips tras x intentos fallidos. wordfence lo hace e ithemes security tambien. Este ultimo ademas provee de una forma super "user-friendly" de proteger nuestras instalaciones de wordpress (se pueden tener los 2 a la vez, no son incompatibles).
    
    Quiero decir, está la forma "manual" de tocar los htaccess, permisos, etc etc etc que no solo puede ser complicada para muchos, si no francamente pesada de implementar y actualizar (sobre todo si se manejan muchos sitios). Yo antes lo hacia asi (y estoy contenta con los resultados). Así , que yo recuerde, es importante bloquear (se hace desde htaccess) el listado de directorios, la ejecución/subida de determinados archivos en determinadas carpetas... y alguna cosa mas que ahora mismo no me acuerdo xD. Lo que me ha gustado de este plugin (que es gratis y esta en el repositorio, y no, no gano nada con promocionarlos xD ) es que te muestra un listado de fallas de seguridad y las puedes ir corrigiendo una a una con unos pocos clicks.
    
    Lo encontré porque tras poner el wordfence me han estado llegando toneladas de emails de "se ha bloqueado tal ip tras 10 intentos fallidos, trataba de entrar con el user "admin" " y queria cambiar la url de wp-login, pero no conseguía que me funcionara bien trasteando el htaccess de marras.
    
    Ah! ambos plugins son perfectamente compatibles con tener puesto el que comenté de cambiar el username al admin(dado que se ejecuta una vez y ya, no es una funcion que esté coriendo todo el rato) y con el pedazito de codigo que puse por ahi para quitar el mensaje de "user incorrecto" o "pass incorrecta" , dado que no se llama igual la fuinción (al menos a mi no me ha dado ningun problema).
13. Mmpsgroup17 may 2014#13
    Para evitar la sobrecarga de plugins, si habéis creado el user admin es tan fácil como crear otro usuario dándole permisos de administrador y luego os logeais con ese nuevo usuario y borráis el user admin (acordaros de pasar los posts del user admin al vuestro).

Este hilo pertenece al archivo del foro y ya no admite respuestas.