16 problemas de seguridad de WordPress (vulnerabilidades)
· Время на чтение: 22мин · por
·
Publicada
· Actualizado
Escucha este artículo
Vulnerabilidades de seguridad de WordPress – 16 problemas de seguridad populares, sobre ellos y cómo solucionarlos en este artículo. WordPress permite que cualquiera pueda crear rápidamente un sitio web, pero hay mucho ruido en Internet que nos dice cuántos problemas de seguridad tiene.
- ¿Wordpress tiene problemas de seguridad? Sí
- ¿Son irresistibles? No
- ¿Debería esto impedirle construir su sitio web con WordPress? Lo más probable es que no
La estimación más conservadora sitúa la cantidad de sitios web en alrededor de 2 mil millones, y casi 45% de ellos funcionan con WordPress. Esto se debe a que WordPress es tan prolífico que está sujeto a muchos ataques. Como consecuencia directa, WordPress se ha convertido en un sistema muy seguro. De hecho, muchos de los problemas de seguridad que WordPress ha resuelto a lo largo de los años aún existen en otros CMS.
En este artículo, explicaré qué problemas de seguridad de WordPress debe tener en cuenta y, lo que es más importante, cómo puede proteger su sitio de ellos.
El contenido del artículo:
- ¿WordPress tiene vulnerabilidades y problemas de seguridad?
- 16 problemas comunes de vulnerabilidad de seguridad de WordPress que podrían afectar su sitio
- Mejores prácticas para prevenir problemas de seguridad de WordPress
- Las principales razones para hackear sitios usando una vulnerabilidad de WordPress
- Producción
¿WordPress tiene vulnerabilidades y problemas de seguridad?
Sí, hay problemas de seguridad en WordPress, pero no son difíciles de solucionar. No necesita tener experiencia en desarrollo o experiencia con el código de WordPress para contrarrestar las amenazas. Siga las soluciones simples descritas en este artículo y tendrá un sitio web de WordPress confiable y seguro.
16 problemas comunes de vulnerabilidad de seguridad de WordPress que podrían afectar su sitio
WordPress tiene muchos problemas de seguridad y bastantes vulnerabilidades. Pero lo bueno es que todos ellos se pueden resolver fácilmente. Nadie quiere perder tiempo administrando la seguridad de su sitio web en lugar de desarrollarlo o aumentar sus ingresos.
Aparte de Vulnerabilidades de seguridad de WordPress y las contraseñas comprometidas, el malware y los ataques también son problemas de seguridad. Si bien los ataques de malware y WordPress a veces se usan indistintamente, son diferentes. El malware es el código malicioso que los piratas informáticos inyectan en su sitio, mientras que los ataques son los mecanismos que utilizan para inyectar malware. En la lista a continuación, he cubierto los 4 tipos de problemas de seguridad de WordPress.
Aquí hay una lista de problemas comunes de vulnerabilidad de seguridad de WordPress que debe tener en cuenta:
- Complementos y temas obsoletos;
- Contraseñas débiles;
- Malware en su sitio de WordPress;
- Malware de spam de SEO;
- estafas de phishing;
- Redirecciones maliciosas;
- Contraseñas reutilizables;
- software puesto a cero;
- Puertas traseras en su sitio de WordPress;
- Programa malicioso wp-vcd.php;
- Ataques de fuerza bruta (ataque de fuerza bruta);
- Inyección SQL;
- Ataques de secuencias de comandos entre sitios;
- El sitio funciona sobre HTTP, no HTTPS;
- correos electrónicos no deseados enviados desde WordPress;
- Cuentas de usuario inactivas.
1. Complementos y temas obsoletos
Los complementos y temas de WordPress se crean con código y, como expliqué anteriormente, los desarrolladores a veces cometen errores en el código. Los errores pueden causar agujeros de seguridad llamados vulnerabilidades.
Los investigadores de seguridad están buscando vulnerabilidades de seguridad de WordPress en software popular para hacer de Internet un lugar más seguro. Cuando descubren vulnerabilidades, las informan a los desarrolladores para que las solucionen. Luego, los desarrolladores responsables lanzan un parche de seguridad en forma de actualización que corrige la vulnerabilidad. Después de un tiempo suficiente, los investigadores de seguridad anunciarán sus hallazgos.
Idealmente, los complementos y los temas deberían estar actualizados en este momento. Sin embargo, muy a menudo este no es el caso. Y los piratas informáticos conocen y confían en esta tendencia de atacar sitios web y explotar vulnerabilidades.
Las actualizaciones a veces pueden romper un sitio si no se hacen con cuidado. Use BlogVault para administrar las actualizaciones de modo que se haga una copia de seguridad de su sitio antes de una actualización para que pueda asegurarse de que todo funcione perfectamente en una fase de prueba antes de pasar a un sitio de producción.
Corrección: Administre las actualizaciones en su sitio web rápidamente.
2. Contraseñas débiles
Los piratas informáticos usan programas llamados bots para atacar las páginas de inicio de sesión probando muchas combinaciones de nombres de usuario y contraseñas para ingresar a un sitio web. Los bots a menudo pueden probar cientos de combinaciones por minuto, utilizando palabras del diccionario y contraseñas de uso común para descifrar. Una vez que tengan éxito, el hacker tendrá acceso abierto a su sitio.
Por otro lado, las contraseñas complejas son difíciles de recordar, por lo que los administradores eligen las fáciles de recordar, como nombres de mascotas, cumpleaños o incluso variaciones de la palabra "contraseña".
Sin embargo, esto deja la seguridad del sitio vulnerable a ataques. Esta información está disponible legalmente en línea a través de las redes sociales y otros sitios, e ilegalmente a través de violaciones de datos o la web oscura. Lo mejor es tener una contraseña fuerte y única para mantener segura su cuenta y, por lo tanto, el sitio web.
NotaR: Debe establecer contraseñas seguras para las cuentas de su sitio web, incluidas su cuenta de usuario y su cuenta de alojamiento. El administrador no suele cambiar las credenciales y las bases de datos de SFTP, pero si lo hace, asegúrese de establecer también contraseñas seguras para ellos.
Además, puede limitar el número de intentos de inicio de sesión de WordPress. Si un usuario tiene demasiados inicios de sesión incorrectos, se le prohíbe temporalmente o debe completar un CAPTCHA para demostrar que no es un bot. Esta medida protege contra los bots y tiene en cuenta el factor humano.
Corrección: utilice contraseñas seguras y limite el número de intentos de inicio de sesión para bloquear bots.
3. Malware en su sitio de WordPress
Malware es un término genérico que se utiliza para describir cualquier código que permita la actividad no autorizada en su sitio web. En los siguientes párrafos, también analizaré casos específicos, como puertas traseras y ataques de phishing.
Cuando hablamos de resolver los problemas de seguridad de WordPress, el objetivo es mantener alejado el malware. Sin embargo, como dije antes, ninguno de los sistemas perfora la armadura en el 100%. Puede hacer todo bien, y un hacker inteligente encontrará una nueva forma de romper la protección. Es raro, pero sucede. Entonces, ¿cómo lidiar con el malware si ya está en su sitio?
En primer lugar, debe confirmar que el malware está realmente en su sitio. El software malicioso puede ocultarse en archivos, carpetas y en una base de datos. Hemos visto archivos maliciosos disfrazados de archivos centrales de WordPress, archivos de imagen e incluso mostrados como complementos. La única forma de estar seguro de si su sitio web está infectado o no es escanearlo en profundidad todos los días. Para hacer esto, debe instalar MalCare o Wordfence Security. Echemos un vistazo a MalCare:
MalCare utiliza un algoritmo sofisticado para detectar malware en su sitio. Otros escáneres usan métodos parcialmente efectivos, como la comparación de archivos y la coincidencia de firmas para marcar el malware. MalCare usa más de 150 señales para verificar el comportamiento del código y luego lo marca como malware si la intención es maliciosa. Esto tiene dos grandes beneficios:
- en primer lugar, no hay falsos positivos cuando el código de usuario se marca como malware;
- en segundo lugar, incluso las variantes más recientes de malware se detectan correctamente.
MalCare proporciona una precisión de escaneo de malware de más de 95 % y es completamente gratuito. Si los resultados del escaneo muestran que su sitio ha sido pirateado, solo entonces necesita actualizar para limpiarlo. Con MalCare, la función de limpieza automática eliminará quirúrgicamente el malware de su sitio de WordPress, dejando su sitio impecable nuevamente.
Corrección: Escanee y limpie su sitio con MalCare.
4. Malware de spam SEO
El spam de SEO es un malware particularmente atroz que utilizan los piratas informáticos para redirigir el tráfico de su sitio web desde su sitio web a sus sitios dudosos y de spam. Lo hacen secuestrando los resultados de búsqueda de Google, inyectando código en sus páginas existentes o redirigiendo el tráfico a sus propios sitios web. A veces hacen todas estas cosas. De cualquier manera, siempre son malas noticias.
Hay varias variantes comunes de malware de spam SEO, como el pirateo de palabras clave japonesas y el pirateo farmacéutico. Ambas opciones han ganado notoriedad por derecho propio porque sus síntomas son caracteres japoneses específicos o palabras clave de compañías farmacéuticas en los resultados de búsqueda.
Todos los tipos de malware de spam SEO son increíblemente difíciles de eliminar manualmente porque pueden crear cientos de miles de nuevas páginas de spam que no se pueden eliminar fácilmente. Además, inyectan malware en archivos y carpetas importantes del núcleo de WordPress, como el archivo .htaccess, que puede dañar el sitio si no se limpia adecuadamente.
Los sitios con estas variedades de malware se marcan invariablemente en Google Search Console, Google los incluye en la lista negra y hacen que el servidor web suspenda su cuenta de alojamiento. Así que la clave para combatir este hackeo es dejarlo en manos de los expertos, que en este caso son los complementos de seguridad de WordPress. No solo eliminarán el malware, sino que también protegerán su sitio con un firewall avanzado.
Corrección: elimine el malware de spam SEO con los complementos de seguridad de WordPress.
5. Estafa de phishing
El malware de phishing es una estafa de dos partes que engaña a los usuarios para que revelen sus datos confidenciales mientras se hacen pasar por marcas confiables.
La primera parte es enviar al usuario desprevenido un correo electrónico formal, generalmente con una advertencia terrible de que sucederá algo terrible si no actualiza sus contraseñas o algo así de inmediato. Por ejemplo, cuando un correo electrónico de phishing suplanta a un cliente de alojamiento web, es posible que digan que el sitio está en peligro de ser eliminado.
La segunda mitad de la estafa ocurre en el sitio web. Un correo electrónico de phishing generalmente contiene un enlace que lleva al usuario a un sitio web supuestamente oficial y requiere que ingrese sus credenciales. El sitio web es claramente falso y así es como muchas personas comprometen sus cuentas.
Hay dos tipos de phishing en los sitios web de WordPress, según la parte de la estafa que esté ocurriendo. En el primer caso, el administrador de WordPress recibe correos electrónicos de phishing que su sitio web necesita una actualización de la base de datos y se le engaña para que ingrese sus datos de inicio de sesión.
Por otro lado, los piratas informáticos pueden usar su sitio para páginas falsas. A menudo, los administradores de sitios web se han encontrado con logotipos de bancos o logotipos de sitios web de comercio electrónico en su sitio web, incluso si no tienen motivos para hacerlo. Se utilizan para engañar a la gente.
Google y Yandex son muy rápidos para tomar medidas enérgicas contra el phishing, especialmente en los sitios web que alojan estas páginas. Su sitio web se incluirá en la lista negra y se le notificará cuando se encuentre un sitio web de phishing, y esto es terrible para la confianza y la marca de los visitantes. Aunque eres inocente, tu sitio web se ha convertido en un sitio fraudulento. Es imperativo que se deshaga de este malware lo antes posible y tome medidas para evitar el daño.
Corrección: elimine el malware de phishing de su sitio web con el complemento de seguridad MalCare o Wordfence Security, y aconseje a sus usuarios que no hagan clic en los enlaces de los correos electrónicos.
6. Redirecciones a sitios web maliciosos
Uno de los peores hacks de WordPress es el hack de redireccionamiento malicioso. Es increíblemente frustrante visitar su sitio web solo para terminar en otro sitio web fraudulento o fraudulento que vende productos y servicios cuestionables. A menudo, un administrador de WordPress ni siquiera puede iniciar sesión en sus sitios web debido a un malware de redirección pirateado. Hay muchas variaciones de este malware e infecta completamente los archivos y la base de datos del sitio web.
La única forma de deshacerse de los redireccionamientos de malware malicioso es usar un complemento de seguridad. De hecho, probablemente necesitará ayuda para instalar el complemento porque no podrá iniciar sesión en su sitio.
Corrección: Deshágase del malware de redireccionamiento descifrado con MalCare o Wordfence Security.
7. Contraseñas reutilizables
Las contraseñas reutilizables pueden ser contraseñas seguras, como mencioné en la sección anterior, pero no necesariamente son únicas.
Por ejemplo, su cuenta de redes sociales y su cuenta de sitio web tienen la misma cadena de letras, símbolos y números para la contraseña. Estás acostumbrado a escribirlo y crees que es imposible de adivinar, por lo que es una buena contraseña.
Pues tienes la mitad de razón. Esta es una buena contraseña, pero solo para una cuenta. La regla general es nunca reutilizar contraseñas para diferentes cuentas. Y la razón es la amenaza potencial de fuga de datos.
GoDaddy tuvo una fuga en septiembre de 2021 que solo descubrieron en noviembre de 2021. En ese momento, se había comprometido una base de datos de 1,2 millones de usuarios y credenciales SFTP. Si alguno de estos usuarios había usado esas contraseñas en otro lugar, como para una cuenta bancaria, esa información ahora estaba en manos de un hacker. Se ha vuelto mucho más fácil hackear otras cuentas.
Confiamos en varios servicios y sitios web para proteger nuestros datos, pero ningún sistema es completamente penetrante. Todo puede y se romperá en el momento adecuado. El objetivo es contener el daño tanto como sea posible. Esto lo ayudará a crear contraseñas únicas y seguras para cada cuenta.
Corrección: Establezca contraseñas únicas y use un administrador de contraseñas para recordarlas.
8. Software puesto a cero
Los complementos y temas anulados son versiones premium con licencias descifradas que están disponibles de forma gratuita en línea. Más allá de la moralidad de robar a los desarrolladores, el software puesto a cero representa un gran riesgo de seguridad para WordPress.
La mayoría de los temas y complementos puestos a cero están infestados de malware. Los hackers cuentan con que la gente quiera comprar un producto premium a buen precio y esperar a que lo instalen. El sitio web está recibiendo una dosis de malware entregado manualmente y ahora el sitio ha sido pirateado. Esta es la única razón por la que alguien piratea software premium. Robin Hood no forma parte del ecosistema de WordPress.
Incluso si los temas y complementos de reinicio no contienen malware, lo cual es muy raro, no podrá actualizarlos. Como no son versiones oficiales, obviamente no reciben soporte por parte de los desarrolladores. Entonces, si se descubre una vulnerabilidad y los desarrolladores lanzan un parche de seguridad, el software puesto a cero también está desactualizado con la vulnerabilidad, además de tener malware instalado.
CorrecciónR: Evite complementos y temas anulados como la peste.
9. Puertas traseras en tu sitio de WordPress
Las puertas traseras, como su nombre indica, son formas alternativas e ilegales de acceder al código de su sitio web. Junto con el malware, los piratas informáticos inyectan código de puerta trasera en su sitio web, por lo que si se encuentra y elimina el malware, pueden recuperar el acceso con la puerta trasera.
Las puertas traseras son una de las principales razones por las que no recomiendo eliminar manualmente el malware de su sitio web. Puede encontrar scripts maliciosos y eliminarlos, pero las puertas traseras se pueden ocultar de manera muy inteligente y hacerse casi invisibles. La única forma de eliminar las puertas traseras de su sitio es usar un complemento de seguridad de WordPress.
Corrección: use un complemento de seguridad para eliminar las puertas traseras.
10. wp-vcd.php malicioso
El malware wp-vcd.php genera ventanas emergentes de spam en su sitio web de WordPress que dirigen a los usuarios a otros sitios web. Tiene el mismo propósito que los hacks de spam SEO y los redireccionamientos maliciosos, pero funciona de manera diferente. Tiene varias opciones como wp-tmp.php y wp-feed.php.
El malware wp-vcd.php infecta sitios web con un código que se ejecuta cada vez que se carga el sitio. Este es uno de los hacks más desagradables que infectan los sitios de WordPress porque tan pronto como lo eliminas, parece volver; en algunos casos al instante. Si alguna vez hubo malware que pudiera compararse con un virus recurrente que simplemente no pudiera erradicarse, entonces wp-vcd.php es el camino a seguir.
El malware wp-vcd.php infecta sitios web principalmente a través de complementos y temas anulados. Wordfence llega a llamarlo "malware que instaló en su propio sitio".
Corrección: Deshágase instantáneamente del malware wp-vcd.php de su sitio web con un complemento de seguridad.
11. Ataque de fuerza bruta
Los piratas informáticos usan bots para bombardear su página de inicio de sesión con combinaciones de nombre de usuario y contraseña para obtener acceso. Este método se conoce como ataque de fuerza bruta y puede tener éxito si las contraseñas son débiles o las mismas que en la filtración de datos.
Los ataques de fuerza bruta no solo son terribles para la seguridad, sino que también consumen los recursos del servidor de su sitio. Cada vez que se carga la página de inicio de sesión, requiere algunos recursos. Por lo general, el uso del disco es insignificante, por lo que no tiene un impacto notable en el rendimiento. Pero los bots de fuerza bruta obstruyen la página de inicio de sesión a un ritmo de varios cientos, si no miles, de veces por minuto. Si su sitio está en alojamiento compartido, habrá repercusiones notables.
La forma de contrarrestar los ataques de fuerza bruta es proteger su sitio de los bots, así como limitar los intentos de inicio de sesión no válidos.
También puede habilitar CAPTCHA en la página de inicio de sesión. Puede ver consejos para ocultar la página de inicio de sesión cambiando la URL predeterminada, pero no lo haga. Es increíblemente difícil de recuperar si se pierde esa URL y te expulsan de tu sitio web junto con los piratas informáticos.
Corrección: limite la cantidad de intentos de inicio de sesión y obtenga protección contra bots para su sitio.
12. Inyección SQL
Todos los sitios web de WordPress tienen bases de datos que almacenan información importante sobre el sitio web. Cosas como los usuarios, sus contraseñas codificadas, publicaciones, páginas, comentarios se almacenan en tablas y los archivos del sitio web los editan y recuperan regularmente. Rara vez se accede directamente a la base de datos y está controlada por los archivos del sitio web por razones de seguridad.
Las inyecciones de SQL son ataques particularmente peligrosos porque los piratas informáticos pueden interactuar directamente con la base de datos. Utilizan formularios en su sitio web para insertar consultas SQL, lo que les permite manipular o leer la base de datos. SQL es un lenguaje de programación que se utiliza para realizar cambios en una base de datos, como agregar, eliminar, modificar o recuperar datos. Esta es la razón por la que los ataques de inyección SQL son tan peligrosos.
La solución es mantener sus complementos y temas actualizados porque las vulnerabilidades de seguridad de WordPress, como la entrada sin procesar, conducen a ataques de inyección SQL exitosos. Además, un buen cortafuegos protegerá tu sitio de intrusos.
CorrecciónR: Mantenga todo actualizado e instale un firewall.
13. Ataques de secuencias de comandos entre sitios
Los ataques de secuencias de comandos entre sitios, o XSS, en sitios web son similares a las inyecciones de SQL en el sentido de que un pirata informático inyecta código en un sitio web. La diferencia es que el código está dirigido al próximo visitante de su sitio, no a la base de datos de su sitio.
Un ataque XSS agrega malware a su sitio. Llega un visitante y su navegador piensa que el malware es parte de su sitio web y, por lo tanto, el visitante es atacado. Por lo general, los ataques de secuencias de comandos entre sitios se utilizan para robar datos de visitantes desprevenidos.
Para proteger a los visitantes de su sitio, debe asegurarse de que su sitio no tenga vulnerabilidades XSS. La forma más fácil de hacer esto es asegurarse de que su sitio esté completamente actualizado. Puede llevar su seguridad al siguiente nivel instalando un complemento de firewall de WordPress.
Corrección: Instale un firewall de WordPress y mantenga todo actualizado en el sitio web.
14. El sitio web usa HTTP, no HTTPS
Es posible que haya notado que muchos sitios web ahora tienen un candado verde junto a la barra de direcciones. Esta es una insignia de confianza para que el visitante sepa que el sitio web está usando SSL. SSL es un protocolo de seguridad que cifra el tráfico entrante y saliente de un sitio web.
Una buena analogía para esto es una llamada telefónica. Los datos intercambiados entre dos personas en una línea deben permanecer entre ellos como una conversación privada. Sin embargo, si un tercero pudiera conectarse a esta línea, entendería los datos y por lo tanto dejaría de ser privado. Sin embargo, si las dos personas originales usaron un código que solo ellos podían descifrar, no importa cuánto escuche la tercera persona, el verdadero significado de la información se les oculta.
Así es como funciona SSL para los sitios web. Cifra los datos enviados hacia y desde el sitio web para que la información confidencial no pueda ser leída por un tercero y utilizada de manera ilegal.
En la última década, Internet en su conjunto se ha estado moviendo hacia la seguridad y privacidad de los datos, y SSL se ha convertido en una de las principales formas de lograr este objetivo. Incluso Google defiende enérgicamente los sitios web habilitados para SSL, hasta el punto de penalizar los sitios web sin SSL en los resultados de búsqueda.
Corrección: Instale un certificado SSL en su sitio.
15. Correos electrónicos no deseados enviados desde WordPress
Los correos electrónicos son la piedra angular del marketing digital y la forma en que interactúa con los visitantes del sitio web. Las personas también se están volviendo más conscientes acerca de los correos electrónicos que desean recibir, por lo que existe una confianza subyacente.
Dada la naturaleza delicada de la confianza, es terrible pensar que un pirata informático podría inyectar malware en su sitio web y enviar spam a sus visitantes por correo electrónico. Y, sin embargo, eso es exactamente lo que hacen algunos programas maliciosos. Interceptan la función principal de WordPress wp_mail() para enviar spam.
El malware generalmente incluye a Google en la lista negra, prohíbe su sitio de Yandex y suspende su proveedor de alojamiento web, pero en caso de spam, su proveedor de alojamiento web también incluirá en la lista negra su servicio de correo electrónico y verá muchos otros errores. De hecho, si el spammer también agrega direcciones de correo electrónico a su sitio web, corre el riesgo de ser incluido en la lista negra.
Los correos electrónicos no deseados caen en la trampa del correo no deseado y comprometen la autoridad de envío de correos electrónicos del sitio web de WordPress.
Corrección: Limpie el spam de su sitio web y utilice una herramienta de marketing por correo electrónico en su lugar.
16. Cuentas de usuario inactivas
Los usuarios del sitio cambian constantemente. Por ejemplo, si ejecuta un blog con varios autores y editores, es probable que a menudo se agreguen nuevos autores al sitio web y los antiguos se vayan.
La conclusión aquí es que las cuentas de usuario antiguas que no se eliminan se convierten rápidamente en un problema de seguridad de WordPress con el tiempo. Debido a que las cuentas existen pero las contraseñas no se actualizan periódicamente, son vulnerables a los ataques. Las cuentas de usuario inactivas están sujetas a los mismos riesgos que las contraseñas comprometidas, por lo que eliminar cualquier cuenta que no se utilice activamente es una tarea comercial necesaria.
También es importante saber quién está haciendo qué en su sitio. Las acciones inusuales o inesperadas de los usuarios son una señal temprana de que las cuentas han sido pirateadas.
Corrección: elimine las cuentas de usuario inactivas y use el registro de actividad.
Mejores prácticas para prevenir problemas de seguridad de WordPress
Los problemas de seguridad de WordPress están en constante evolución y es difícil mantenerse al día con ellos, además de todo el trabajo que implica el funcionamiento de un sitio web. Aquí hay algunos buenos consejos de seguridad que lo ayudarán a proteger su sitio contra malware y piratas informáticos sin ningún esfuerzo adicional de su parte.
- Instalar el complemento de seguridad: La mejor protección para su WordPress contra los piratas informáticos es un buen complemento de seguridad. Un complemento de seguridad de WordPress debe tener un escáner y limpiador de malware. Idealmente, también debería venir con un firewall, protección de fuerza bruta, protección contra bots y un registro de actividad. Dicho complemento lo ayudará a superar las vulnerabilidades de seguridad de WordPress.
- Usa un cortafuegosR: Web Application Firewall protege su sitio de todo tipo de intrusos. Los piratas informáticos quieren explotar las vulnerabilidades de su sitio web además de otros problemas de vulnerabilidad de seguridad de WordPress. El cortafuegos evita esto al permitir el paso solo a los visitantes legítimos. Esto es imprescindible para su sitio web, y es aún mejor si viene incluido con su complemento de seguridad.
- Mantén todo actualizado: Asegúrese de que el núcleo, los complementos y los temas de WordPress estén siempre actualizados. Las actualizaciones suelen contener correcciones de seguridad para vulnerabilidades, por lo que es importante actualizarlas lo antes posible. Para minimizar el riesgo, actualice de manera segura su sitio web con BlogVault. Se realiza una copia de seguridad de su sitio justo antes de la actualización y puede ver cómo funciona la actualización en preparación antes de actualizar su sitio web en vivo.
- Usar autenticación de dos factores: Las contraseñas se pueden descifrar, especialmente si no son muy seguras o se han reutilizado. La autenticación de dos factores genera un token de inicio de sesión en tiempo real además de contraseñas que son mucho más difíciles de descifrar. Puede habilitar la autenticación de dos factores con un complemento como WP 2FA u otro de esta lista.
- Aplicar políticas de contraseñas segurasR: No puedo enfatizar lo suficiente la importancia de las contraseñas seguras y únicas. Recomiendo usar un administrador de contraseñas. Para proteger su sitio web de problemas de seguridad, como ataques de fuerza bruta, su complemento de seguridad también debe restringir los intentos de inicio de sesión.
- Realice copias de seguridad periódicas del sitio webR: Las copias de seguridad son el último recurso de un hackeo y su sitio web siempre debe tener una copia de seguridad que se mantenga alejada del servidor de su sitio web.
- Usar SSL: instale un certificado SSL en su sitio web para cifrar la comunicación con él. SSL se ha convertido en el estándar de facto y Google está promoviendo activamente su uso para una navegación más segura.
- Realizar una auditoría de seguridad cada pocos meses: Verifique los usuarios y sus actividades en el sitio web con el registro de actividad. La actividad inusual puede ser una advertencia temprana de malware. También le recomendamos que implemente una política de privilegios mínimos para las cuentas de administrador y usuario. Finalmente, elimine cualquier complemento o tema no utilizado en su sitio web. Los temas y complementos desactivados se ignoran para las actualizaciones, y las vulnerabilidades de seguridad de WordPess permanecen sin verificar, lo que resulta en la piratería de sitios web.
- Elija complementos y temas de buena reputaciónR: Esto es un poco subjetivo como medida de seguridad, pero vale la pena usar los mejores complementos y temas en su sitio. Por ejemplo, compruebe si el desarrollador actualiza periódicamente su producto. Además de las revisiones en línea y otras experiencias de atención al usuario, esta es una métrica importante. Además, el software premium es generalmente mejor. Pero lo más importante, nunca use software puesto a cero. A menudo contiene malware en el código, ya que fue pirateado por esa misma razón. Simplemente no vale la pena el riesgo.
Las principales razones para hackear sitios usando una vulnerabilidad de WordPress
Hay dos eslabones débiles en la seguridad de su sitio de WordPress: las vulnerabilidades de WordPress y las contraseñas. El malware 90%+ se introduce a través de vulnerabilidades, 5%+ debido a contraseñas comprometidas o débiles, y <1% debido a otras razones, como servicios de alojamiento web deficientes.
vulnerabilidades
Si bien WordPress en sí mismo es seguro, los sitios web se construyen con algo más que el núcleo de WordPress. Usamos complementos y temas para mejorar la funcionalidad de nuestros sitios web, agregar características, un diseño atractivo y la interacción con los visitantes del sitio web. Todo esto se logra a través de complementos y temas.
Los complementos y temas como WordPress están construidos con código. Cuando los desarrolladores escriben código, pueden cometer errores que conducen a lagunas. Los piratas informáticos pueden usar lagunas en el código para realizar acciones no previstas por el desarrollador.
Por ejemplo, si su sitio web permite que los usuarios carguen imágenes para, por ejemplo, una imagen de perfil, la carga solo debe ser un archivo de imagen. Sin embargo, si el desarrollador no ha establecido estos límites, el pirata informático puede descargar un archivo PHP lleno de malware. Una vez cargado en un sitio web, un pirata informático puede ejecutar el archivo y el malware se propagará al resto del sitio. Estas lagunas son vulnerabilidades. Por supuesto, hay otros tipos, pero estos son los principales que sufren los sitios de WordPress.
Contraseñas comprometidas
Si un pirata informático tiene las credenciales de su cuenta, no necesita piratear su sitio. Esta es la razón por la que las contraseñas seguras son tan importantes.
Hay dos formas principales en que las contraseñas se convierten en el eslabón más débil de la cadena de seguridad de WordPress. Una es usar contraseñas fáciles de recordar que, por lo tanto, sean fáciles de adivinar para los piratas informáticos y sus bots. Y la segunda forma es cuando los usuarios reutilizan las contraseñas en diferentes sitios y servicios.
Las filtraciones de datos son demasiado comunes. Por ejemplo, un usuario tiene la misma contraseña para dos cuentas diferentes: un sitio web de comercio electrónico y su cuenta de Twitter. Si un sitio web de comercio electrónico tiene una violación de datos en la que se roban los datos del usuario, su cuenta de Twitter ahora está comprometida. Un pirata informático puede ingresar a una cuenta y causar todo tipo de destrucción.
Tanto las vulnerabilidades como las contraseñas comprometidas son amenazas de seguridad de WordPress que se pueden tratar fácilmente con las herramientas adecuadas y los consejos correctos.
Producción
Los problemas de vulnerabilidad de seguridad de WordPress pueden ser intimidantes para un administrador sin experiencia, pero eso no significa que no haya una solución para ellos. Los problemas de seguridad se pueden resolver fácilmente escuchando los consejos de los expertos. Espero que este artículo haya ayudado a disipar las preocupaciones. Si hay algo que no he cubierto, por favor hágamelo saber.
Leyendo este artículo:
Gracias por leer: AYUDANTE DE SEO | NICOLA.TOP
