Las prácticas de seguridad de WordPress cambian con el tiempo, mientras que algunas se mantienen constantes con el paso de los años, y luego hay otras que son completamente nuevas. Todo esto es bastante normal ya que nuestra tecnología de alojamiento web se desarrolla e innova continuamente. Aun así, independientemente de cómo se aseguró un sitio web de WordPress en el pasado y cómo será en el futuro, Henmalura está aquí para presentarle las mejores prácticas que hemos compilado para el año 2023.
Siga leyendo y verá Véalos todos porque se desaconseja encarecidamente correr riesgos con la seguridad de su sitio web, y cada pequeño paso que se dé para mejorar la seguridad de WordPress valdrá la pena a largo plazo.
Fortalecimiento de su acceso para mejorar la seguridad de WordPress
Comenzamos esta publicación de blog profundizando en las diversas formas en que puede mejorar, mejorar y fortalecer la seguridad de WordPress de su área de inicio de sesión.
Estas son las diversas categorías en las que le sugerimos que se concentre cuando haga precisamente eso:
La URL de administración
De forma predeterminada, su WordPress creará la URL de administración en /wp-admin y accederá a ella, por ejemplo, a través de www.testsite.com/wp-admin, lo cual es bastante aceptable en la mayoría de los casos. Sin embargo, este también es un lugar bien conocido para que las personas malintencionadas localicen cuándo les gustaría violar la seguridad de WordPress. Es por eso que se deben tomar más medidas para garantizar que la «puerta» a su funcionamiento interno de WordPress permanezca bloqueada de forma segura para todos los que no deben tener ese tipo de acceso.
Para asegurarse de que ese ya no sea el caso, puede comenzar configurando un complemento en el sitio web que le permitirá cambiar dónde se carga su URL de administrador en el navegador. Esto hará que sea más difícil para cualquier persona obtener acceso a su sitio web que intente ingresar a la fuerza.
Aquí hay una sugerencia para un complemento como ese: WPS Hide Login
WPS Hide Login es un complemento muy ligero que le permite cambiar de manera fácil y segura la URL de la página del formulario de inicio de sesión a lo que quieras. Literalmente, no cambia el nombre ni cambia los archivos principales, ni agrega reglas de reescritura. Simplemente intercepta solicitudes de página y funciona en cualquier sitio web de WordPress. El directorio wp-admin y wp-login.php la página se vuelve inaccesible, por lo que debe marcar o recordar la URL. Desactivar este complemento hace que su sitio vuelva exactamente al estado en que se encontraba antes.
* Nota: tenga cuidado con su elección y configuración, incluso con los complementos de seguridad de WordPress. Algunos pueden tener un impacto en el rendimiento de su sitio web si no se configuran correctamente.
Con un complemento como este, puede modificar su wp-admin para que sea más seguro a largo plazo. Por ejemplo, cambiarlo del predeterminado www.testsite.com/wp-admin a www.testsite.com/login.
Protección de fuerza bruta
El método más común que un pirata informático intentará superar su seguridad de WordPress es a través de un método conocido como ataque de fuerza bruta. Hablemos un poco más sobre eso antes de decirle cuál es la mejor manera de evitarlo, ¿de acuerdo?
Un ataque de fuerza bruta utiliza prueba y error para adivinar la información de inicio de sesión, las claves de cifrado o encontrar una página web oculta. Los piratas informáticos trabajan con todas las combinaciones posibles con la esperanza de adivinar correctamente. Estos ataques se realizan por «fuerza bruta», lo que significa que utilizan intentos contundentes excesivos para intentar «forzar» su entrada en su(s) cuenta(s) privada(s).
Este es un método de ataque antiguo, pero aún es efectivo y popular entre los piratas informáticos. Según la longitud y la complejidad de la contraseña, el descifrado puede llevar desde unos pocos segundos hasta muchos años.
Naturalmente, este tipo de ataque debe evitarse, y la instalación de un complemento que pueda ayudar a resolver ese problema en la seguridad de WordPress será muy beneficiosa para su sitio web.
Es relevante decir aquí que Henmalura ya le brinda protección de fuerza bruta en todas las soluciones de alojamiento web compartido Cloud SSD.
Aquí hay una sugerencia para un complemento como ese: WPS Limit Login
Limite la cantidad de intentos de inicio de sesión que son posibles tanto a través del inicio de sesión normal como mediante el uso de cookies de autenticación. WordPress, de forma predeterminada, permite intentos de inicio de sesión ilimitados, ya sea a través de la página de inicio de sesión o mediante el envío de cookies especiales. Esto permite descifrar contraseñas (o hashes) mediante fuerza bruta con relativa facilidad. El inicio de sesión con límite de WPS impide que una dirección IP realice más intentos después de que se haya alcanzado un límite específico de reintentos, lo que dificulta o imposibilita un ataque de fuerza bruta.
*Nota: tenga cuidado con su elección y configuración, incluso con los complementos de seguridad de WordPress. Algunos pueden tener un impacto en el rendimiento de su sitio web si no se configuran correctamente.
Actualizar sus parámetros de inicio de sesión así con el uso de un complemento lo ayudará a defenderse contra los ataques de fuerza bruta.
Contraseña más fuerte para una mejor seguridad de WordPress
No hay mucho que nos gustaría cubrir en este punto del tema, más bien nuestro objetivo es continuar recordando a nuestros clientes y visitantes que generar una contraseña segura contribuirá en gran medida a mejorar la seguridad de WordPress de su sitio web.
Hay muchos sitios web generadores de contraseñas aleatorias que puede usar en línea para crear una contraseña única para usar en su sitio web. ¡Este es uno que puedes usar!
Para cambiar su contraseña de WordPress en las versiones actuales:
Paso 1. En el menú de la pantalla de administración, vaya a Usuarios > Todos los usuarios.
Paso 2. Haga clic en su nombre de usuario en la lista para editarlo.
Paso 3. En la pantalla Editar usuario, desplácese hacia abajo hasta la sección Nueva contraseña y haga clic en el botón Generar contraseña.
Paso 4. Si desea cambiar la contraseña generada automáticamente, puede sobrescribirla escribiendo una nueva contraseña en el cuadro proporcionado. El cuadro de fortaleza le mostrará qué tan buena (fuerte) es su contraseña.
Paso 5. Haga clic en el botón Actualizar usuario.
¡Su nueva contraseña se activa de inmediato!
Limpieza de usuarios
En algunos casos, WordPress puede instalar un usuario por defecto con el nombre: “admin”. Este usuario no tiene ningún impacto en el funcionamiento de su sitio web o su rendimiento. De todos modos, es un objetivo fácil para los piratas informáticos y los scripts maliciosos que buscan encontrar una manera de burlar la seguridad de WordPress.
Entonces, la mejor manera de evitar esto, si solo tiene el nombre de usuario «admin», es crear otro usuario ingresando al menú de la pantalla de administración de WordPress y luego navegando a Usuarios> Todos los usuarios. Puede crear su nuevo nombre de usuario a través de allí con su propio nombre único, contraseña y, no lo olvidemos, ¡los privilegios de administrador que necesita para configurarlo!
Cuando se crea su nuevo nombre de usuario y se le otorgan privilegios de administrador, debe usarlo para eliminar el nombre de usuario «administrador». Mientras lo hace, también debe buscar eliminar cualquier nombre de usuario inactivo o antiguo creado para el personal o los desarrolladores que los usuarios maliciosos podrían explotar igualmente.
El mantenimiento de WordPress conduce a una mayor seguridad de WordPress
El mantenimiento de su sitio web de WordPress es un proceso constante, si no diario, que involucra varias actividades, cada una de las cuales contribuye a la salud y seguridad general del sitio.
¿Tiene curiosidad por saber más sobre en qué mantenimiento de WordPress debe centrarse para encontrar formas de aumentar la seguridad de su sitio web? Entonces no debe buscar más allá de las siguientes categorías.
Aquí están:
Mantenerse al día
Una de las principales causas de los problemas de rendimiento del sitio web y las vulnerabilidades de los piratas informáticos y los scripts maliciosos es un complemento desactualizado. Por eso, otra forma fundamental de reforzar la seguridad de tu WordPress es mantenerlo siempre actualizado. Esto incluye archivos principales, complementos y temas de WordPress. Estos se actualizan por una razón, y muchas veces incluyen mejoras de seguridad y correcciones de errores que son necesarios para la salud y la seguridad de su sitio web de WordPress.
La mayoría de las veces, puede asegurarse de que sus componentes separados de WordPress se actualicen a través del actualizador automático integrado en el área de administración de WordPress. Junto con la actualización, es esencial mencionar que también debe limpiar los complementos no utilizados que tenga. Supongamos que ve que uno de estos complementos no se ha actualizado en los últimos seis meses. En ese caso, debe considerar eliminarlos de inmediato porque el riesgo de una vulnerabilidad de seguridad aumenta cuanto más tiempo permanece un complemento sin una actualización de su versión.
Actualizar a la última versión de PHP
PHP es la columna vertebral de su sitio de WordPress, por lo que es muy importante utilizar la última versión en su servidor. Cada versión principal de PHP generalmente es totalmente compatible durante dos años después de su lanzamiento. Durante ese tiempo, los errores y los problemas de seguridad se solucionan y corrigen con regularidad.
A partir de ahora, Henmalura es compatible con la última versión de PHP, que es PHP 8. Puede leer más sobre esta y considerar actualizarla correctamente siguiendo esta otra publicación de blog que hemos escrito sobre PHP 8.
Haga una copia de seguridad de su sitio web regularmente
Esta es una actividad crucial que todos los administradores de sitios web deben realizar regularmente en cualquier proyecto en línea. Hacer una copia de seguridad del contenido de su sitio web garantizará que, si hay un error o si algo ha comprometido la seguridad de WordPress, podrá recurrir a la restauración de la copia de seguridad de su sitio web. Así es como su sitio web puede volver a ser como era antes de que surgiera algún problema. Ahorrándole tiempo y el estrés de tener que solucionar cualquier problema nuevo manualmente y uno por uno.
Henmalura proporciona copias de seguridad diarias en todas nuestras soluciones de alojamiento web compartido SSD en la nube.
Complementos de seguridad de WordPress
Finalmente, debe considerar seriamente instalar y activar algunos complementos de seguridad de WordPress que le proporcionarán capas adicionales de seguridad y garantizarán la seguridad de su sitio web aún mejor. Hay muchos grandes desarrolladores y empresas que brindan excelentes soluciones para ayudar a proteger mejor sus sitios de WordPress.
Estas son algunas menciones de honor:
Sucuri-Scanner
iThemes Security
WordFence
Todas nuestras soluciones de alojamiento web compartido SSD en la nube vienen con la seguridad Imunify360 ya integrada. Como su servidor web, esto significa que estamos tomando la iniciativa para aumentar la seguridad de su entorno de alojamiento web y la seguridad de WordPress en su conjunto.
Terminando las cosas para la seguridad de WordPress
Lo ha logrado con éxito hasta el final (o simplemente se desplazó hacia abajo sin leer todo. Está bien, no se lo diremos a nadie), así que esperamos que haya disfrutado nuestra publicación sobre cómo mejorar la seguridad de WordPress en general. . Como puede ver, hay más de un método para realizar este tipo de mejora de la seguridad y hay muchos componentes individuales de WordPress que requieren mayor seguridad y personalización para lograr los mejores resultados.
Una vez más, llegamos a la parte en la que le decimos que puede comunicarse con nosotros en cualquier momento, ya que nuestro equipo de soporte está listo para ayudarlo. Si tiene más preguntas sobre la seguridad de WordPress o desea obtener más información sobre lo que Henmalura ya le proporciona, ¡no sea tímido y comuníquese con nosotros al respecto!
