Cómo configurar correctamente iThemes Security (actualizado)

Como seguramente ya sabrás, uno de los plugins de seguridad que más recomiendo es iThemes Security, anteriormente conocido como Better WP Security (sinceramente, me parecía mejor nombre, no se porqué lo cambiaron), y es que es una completa suite de herramientas de seguridad, que cubre las necesidades de cualquier web profesional, y estoy hablando de la versión gratuita.

Hay otros plugins de seguridad similares, pero la mayoría no ofrecen tantas herramientas de seguridad ni tan buenas en su versión gratis.

Tiene muchas virtudes, y por supuesto está totalmente en español, para mi un básico a la hora de recomendar plugins a clientes. Pero vamos a ver cómo configurarlo correctamente, que es el mejor modo de saber para qué sirve este plugin de seguridad para WordPress y cómo lo hace.

Instalación

Cómo no, se instala como cualquier otro plugin WordPress, está siempre destacado en los plugins populares del instalador de plugins de tu WordPress, pues tiene más de un millón de instalaciones activas, y siempre está actualizado.

Asistente de configuración

Nada más instalarlo y activarlo ve al nuevo menú llamado Seguridad, donde de momento solo encontraremos, y nada menos, su asistente de configuración.

Antes de la versión 8.0 no había un asistente de configuración, solo unos ajustes básicos iniciales, pero desde esta versión el plugin ha recibido un rediseño completo, en el que el asistente es absolutamente imprescindible, pues te facilita configurar toda la seguridad de tu sitio de manera sencilla.

Si no ejecutas el asistente luego tendrías que investigar en distintas secciones de ajustes del plugin para encontrar las configuraciones de seguridad, y sin un orden lógico.

Así que en este caso el asistente de configuración no es algo opcional, sino prácticamente imprescindible para una buena configuración del plugin.

Es posible encontrar de nuevo los ajustes del asistente, pero te aseguro que te costará encontrar algunos, a pesar del buscador que tiene el plugin, y de hecho algunos ajustes no estarán disponibles porque requieren que esté activo algún módulo que no se activó en el asistente.

Dicho esto, vamos a por los distintos pasos del asistente de configuración de iThemes Security.

Tipo de sitio

Este asistente propone realizar una serie de ajustes rápidos dependiendo del tipo de web: comercio electrónico, red de sitios, web de organización sin ánimo de lucro, blog, porfolio o catálogo.

Puedes saltarte este asistente de configuración, pero como comienzo te recomiendo usar alguna de las plantillas de tipo de web, pues te ahorrarás configurar unos cuantos ajustes, aunque luego siempre podrás acceder a todos los demás ajustes, da igual lo que eligieses en este asistente.

Sitio propio o para cliente

Da igual el tipo de sitio que elijas, el siguiente paso del asistente te preguntará si estás configurando el sitio para ti o para un cliente, y este paso es importante, pues si eliges para el cliente posteriormente te preguntará si quieres que pueda configurar los ajustes de seguridad, entre otras cosas.

Usuarios de los clientes

Y, si me hiciste caso, y es un sitio para un cliente, el siguiente paso te pide que selecciones qué usuarios son los asignados a tu cliente, agrupándolos para que sea posteriormente más fácil gestionar sus permisos.

Perfiles con permisos para gestionar la seguridad

El siguiente paso, que sería el primero si elegiste antes que era un sitio propio, es el de especificar qué usuarios van a poder administrar todos los ajustes del plugin, estando tu usuario activo por defecto.

¿Los clientes podrán configurar la seguridad o no?

A continuación, si es un sitio para clientes, el asistente te preguntará si les permitirás administrar los ajustes del plugin. Mi consejo es que si vas a llevar tú el mantenimiento de la web no lo permitas, y si les entregarás la web tras tu trabajo sí lo actives.

Perfiles de usuario de los clientes

En el siguiente paso debes seleccionar en qué perfiles de usuario de WordPress están los usuarios de tus clientes.

Refuerzo de contraseñas

En la siguiente pantalla entramos ya en materia de seguridad, pues deberás elegir si quieres forzar contraseñas fuertes a los usuarios. Mi consejo es que sí, que lo actives, pues aumenta los requisitos de contraseñas de WordPress.

Identificación de 2 factores, ataques de fuerza bruta y seguridad Pro

Tras este paso entramos de lleno en las características de seguridad.

Consta de 3 pasos en los que debes decidir sobre la seguridad en la pantalla de acceso, en concreto si activar la protección en dos factores, si aplicar una política de bloqueos frente a ataques, y por último si quieres activar seguridad adicional (Pro) detectando la configuración e IPs del servidor, para añadir reglas que te protejan de ataques.

Mi consejo es que actives todo.

En concreto, la identificación en dos factores es la mejor seguridad en el acceso, pues requiere doble verificación y 3 datos:

1. Tu nombre de usuario o correo electrónico
2. Tu contraseña
3. La verificación en un dispositivo móvil o por correo electrónico de un código de un solo uso

Una vez actives la identificación en 2 factores cada usuario en su perfil podrá revisar el código QR para activar la aplicación, la clave secreta y los códigos de identificación.

En el caso de los códigos de identificación apúntalos, porque solo te los mostrará una vez.

En cuanto a la protección ante ataques de fuerza bruta, creo que no hay más que decir, actívalo sí o sí.

Por último, las comprobaciones de seguridad Pro no significa que tengas que pagar por la versión de pago del plugin, sino que al activarlas se añade una herramienta de protección adicional basada en la configuración de tu servidor que posteriormente podrás ejecutar.

Grupos de usuario

Vistas las características principales de seguridad llegamos a la configuración de grupos de usuarios.

Lo más recomendable, especialmente si ya configuraste antes el grupo de clientes o similar, es que uses los grupos por defecto, en caso contrario tendrás que crearlos y asignarles configuraciones de seguridad.

Pero da igual lo que selecciones, en la siguiente pantalla tienes la posibilidad de configurar cada grupo, bien sean los ya creados como los que tú generes personalizados.

En la pantalla de configuración mis ajustes recomendados para clientes sería esta:

• Gestionar iThemes Security – Desactivado (si vas a gestionar tú la web, en caso contrario activado)
• Permitir la creación de escritorios – Desactivado (es una personalización de la interfaz innecesaria)
• Contraseñas seguras – Activado
• Rechazar contraseñas comprometidas – Activado (sistema de comprobación de si los correos electrónicos de los usuarios están en listas de emails comprometidos en brechas de seguridad en otras webs – muy recomendable)
• Omitir asistente de dos factores – Desactivado (facilita la configuración de la identificación en 2 pasos)
• Contraseñas de aplicación – Activado (método más seguro de acceso incluido en WordPress)

Aquí la tienes:

La opción de rechazar contraseñas comprometidas en brechas de seguridad conocidas es especialmente potente, e impedirá a un usuario utilizar contraseñas que se sabe han sido vulneradas en ataques en otras webs.

Siguiendo con los ajustes según el grupo de usuarios, si hablamos de la configuración recomendada para el administrador que gestione la seguridad y configure el plugin, los ajustes serían estos otros:

• Gestionar iThemes Security – Activado
• Permitir la creación de escritorios – Activado
• Contraseñas seguras – Activado
• Rechazar contraseñas comprometidas – Activado
• Omitir asistente de dos factores – Desactivado
• Contraseñas de aplicación – Activado

Que sería como ves en esta otra pantalla, la siguiente en el asistente de configuración de iThemes Security:

A continuación el asistente te irá pidiendo que configures estos ajustes para cada uno de los demás perfiles de usuario existentes en tu instalación de WordPress, y mi consejo es que les apliques la misma configuración que para el grupo de clientes, salvo que quieras permitir alguna configuración adicional a algún perfil, por ejemplo a los editores. Tú decides.

Y con esto hemos terminado la configuración de grupos.

Ajustes globales

En este punto llegamos a los ajustes globales de seguridad, en cuya primera pantalla tendremos la recomendación de aceptar la configuración realizada por el plugin en base a lo que ya hemos configurado previamente, así que le hacemos caso.

Pero no te apures, vamos a poder revisar estos ajustes en las siguientes pantallas.

Autorización y detección de IPs y servidores

En la primera podemos añadir nuestra IP actual para que conste en la lista blanca, así como cualquier otra IP necesaria para el buen funcionamiento de nuestra web, por ejemplo de CloudFlare o de pasarelas de pago como RedSys.

Lo que sí te recomiendo es cambiar el método de detección de IPs al modo de exploración de seguridad, el más eficaz.

Ataques de fuerza bruta en la red

En la siguiente pantalla puedes elegir con qué correo electrónico te unes a la red de sitios con iThemes Security activo, para que aproveches el conocimiento compartido de otras webs a la hora de bloquear automáticamente IPs o servidores, y de paso, también puedes activar el boletín de seguridad (esto último no te lo recomiendo, es en inglés y aporta poco o nada, en seguridad hay que estar al día, no a la semana).

Es totalmente recomendable unirte a este sistema poniendo tu dirección de correo electrónico pues en caso de que la red de sitios con iThemes Security detecte ataques de fuerza bruta de ciertas IPs o servidores, tu web se aprovechará de este conocimiento compartido y bloqueará a los atacantes detectados en otros sitios.

Centro de avisos

En la siguiente pantalla tienes que (obligatoriamente) poner un correo electrónico por defecto para los avisos, y determinar a quién llegarán.

Es importante que los actives, pues te avisarán de información importante.

Y puedes incluso configurar de cuáles quieres que te avise.

Además de enviar correos electrónicos con los eventos más relevantes.

Y con esto hemos llegado al final del asistente.

Asegurar sitio

En la última pantalla del asistente solo tienes que confirmar, y revisar si quieres, qué ajustes de seguridad se aplicarán según las decisiones que hayas tomado en el asistente.

Según lo que hemos visto en los pasos anteriores debería quedar así:

Si estás convencido simplemente pulsa en el botón de «Asegurar sitio» y, a continuación en el de «Finalizar».

Cuando termines se mostrará esta simpática pantalla, desde la que puedes ir al escritorio de iThemes Security o revisar ajustes.

Truco: En cualquier momento del asistente puedes revisar ajustes de pantallas anteriores haciendo clic en la correspondiente sección del lateral izquierdo.

El escritorio de seguridad

En el caso de que te decidas por ir al escritorio de iThemes Security encontrarás una serie de tarjetas con distintos avisos y estadísticas, dependiendo de los módulos que tengas activos.

Estas tarjetas puedes arrastrar y moverlas para cambiarlas de sitio a tu gusto.

Además, desde el enlace de la parte superior puedes añadir u ocultar las tarjetas que quieras.

Pero no solo eso, desde el escritorio tienes algunos botones, como por ejemplo el de realizar exploraciones del sitio.

O también copias de seguridad rápidas de la base de datos.

Ajustes de seguridad

Si en algún momento quieres revisar la configuración de seguridad realizada durante el asistente, o si te saltaste el asistente, puedes acceder a los ajustes de seguridad desde el enlace de la parte superior del escritorio o desde el menú de seguridad del plugin.

Llegarás a una pantalla en la que encontrarás los mismos ajustes y configuraciones que ya hemos visto en el asistente de configuración y algunas más, pudiendo modificarlos si decides hacer algún cambio, añadir algún grupo de usuarios, etc.

Hay mucho que configurar, así que vamos a repasar todos los ajustes…

Seguridad en el acceso – Identificación de 2 factores

Esta sección es especialmente importante, pues vamos a reforzar la puerta de entrada a la administración de WordPress. Y es aquí donde lo recomendable es activar la identificación en 2 factores, o doble verificación. Solo tienes que activarla y, a continuación, pulsar en el icono para los ajustes de la herramienta.

En la siguiente pantalla tienes 2 configuraciones importantes, como son la elección de métodos de verificación en 2 factores, y si quieres desactivar la bienvenida del proceso de configuración de la verificación de dos factores.

Los métodos de verificación en 2 pasos disponibles son:

• Aplicación móvil – El usuario tendrá que instalar una app en su móvil, como Google Authenticator o Authy, y para poder acceder a la web, además de su su usuario y contraseña, tendrá que añadir un código de un solo uso con temporizador desde la aplicación elegida.
• Correo electrónico – Tras introducir usuario y contraseña el usuario tendrá que añadir un código que le llegará por correo electrónico.
• Códigos de identificación de respaldo – Esto es una salvaguarda por si pierdes el móvil, el acceso al mail, o desinstalas la aplicación móvil, y consiste en una serie de códigos de un solo uso, que puedes usar si alguno de los métodos anteriores falla.

Aquí elige el método que prefieras, pero siempre asegúrate de que estén activos los códigos de identificación de respaldo, por si los errores.

En lo que respecta al flujo de configuración, podrías desactivar las instrucciones de bienvenida en el primer acceso pero no te lo recomiendo, siempre es una ayuda para los usuarios, y puedes personalizar el texto según necesidad.

Para finalizar con esta parte, y es algo que debes hacer en cada ajuste de iThemes Security que modifiques, fíjate que en la parte superior de las configuraciones hay un enlace a los grupos de usuarios, pues te recomiendo hacer clic para revisar ajustes de esta característica de seguridad en cada grupo de usuarios, pues hay ajustes adicionales, que puedes personalizar en cada grupo.

Esto es una constante en varios pasos de la configuración del plugin, así que siempre que estés configurando algo, tras guardar los ajustes principales, mira a ver si hay que hacer clic para configurar ajustes adicionales en los grupos de usuarios.

Es más, estos ajustes concretos para grupos de usuarios no tienes otra manera de acceder a ellos, debes pasar por la característica de seguridad para hacerlo.

En la siguiente pantalla de los ajustes de esta característica para grupos de usuarios verás 2 configuraciones adicionales que revisar en cada grupo de usuarios de la lista de la barra lateral izquierda, por si quisieses cambiarlos.

Los ajustes, y mi recomendación, son estos:

• Saltarse la bienvenida de la verificación de dos factores – Desactivado – Es mejor explicar siempre a todos los usuarios un poco el proceso de identificación en 2 factores.
• Contraseñas de aplicación – Activar – Un método de verificación sin comprometer tu contraseña.

Bloqueos

Esta herramienta de seguridad es vital para proteger tu web así que mi consejo es que actives los 3 componentes del módulo:

• Prohibir usuarios – Activar –  Para poder bloquear direcciones IP y tipos de usuario.
• Fuerza bruta local – Activar – Protege tu web contra delincuentes que traten de acceder a tu web mediante ataques de fuerza bruta.
• Fuerza bruta en red – Activar – Como te expliqué antes, te unes a la red global de iThemes Security y aprovechas ajustes de bloqueo en caso de ataques masivos.

Una vez actives las 3 herramientas haz clic en el icono de la rueda sobre cualquiera de ellas o en la sección Configurar → Bloqueos de la barra lateral izquierda, lo que prefieras, para configurar los ajustes de cada herramienta de este módulo.

Prohibir usuarios

En los ajustes de prohibir usuarios activa la lista por defecto, que añadirá a tu archivo .htaccess una serie de prohibiciones sobre IPs y agentes de usuario atacantes conocidas.

Además, activa la lista de prohibiciones, y ve añadiendo cualquier agente de usuario, como bots y navegadores falsos, que con el tiempo detectes en tu web.

Fuerza bruta local

En estos ajustes te recomiendo activar la prohibición del usuario «admin», una vulnerabilidad histórica de las instalaciones antiguas de WordPress, en las que siempre el primer usuario se llama así.

Además, puedes configurar la cantidad de intentos de acceso:

• Por servidor – Las veces que un mismo servidor/ordenador/IP puede intentar accesos incorrectos antes de que entre en la lista de bloqueos
• Por usuario – Número máximo de intentos por nombre de usuario antes de bloquearlo.

El último ajuste es para especificar durante cuánto tiempo se bloqueará a los usuarios y/o servidores tras los intentos fallidos.

Las cantidades por defecto son correctas, déjalas así salvo necesidades especiales.

Fuerza bruta en red

En esta pantalla simplemente pon el email principal para que se active si no lo estaba ya desde el asistente de configuración del plugin.

Lo que no te recomiendo es activar las novedades por correo electrónico, es un email semanal que no aporta nada.

Comprobación del sitio

Este módulo, inactivo por defecto, deberías tenerlo siempre activo. Así el plugin te avisará cuando haya cambios en archivos, en ocasiones debido a hackeos, y así podrás estar al tanto, e informar a tus usuarios, de brechas de seguridad.

Es un sistema de detección de cambios en archivos, fundamental para poder revisar si nuestra web está comprometida porque se ha añadido o modificado sin nuestro conocimiento algún elemento de la instalación.

Una vez activa ve a los ajustes de la herramienta haciendo clic en el icono de ajustes de la pantalla o desde el menú lateral izquierdo Configurar → Comprobación del sitio.

Esta pantalla es algo especial. Primero tienes un navegador por los archivos de tu web, y a la derecha una lista de archivos y carpetas que quieras excluir de la exploración.

Para excluir una carpeta o archivo tienes que seleccionarlo y luego pulsar el botón inferior de selección, y se añadirá su ruta a la lista de la derecha.

Para finalizar, también puedes excluir de la comprobación archivos con las extensiones que añadas a la caja de tipos de archivo.

Utilidades

Para finalizar, tenemos una serie de utilidades adicionales, que ya te anticipo que la mayoría no sirven de mucho, o no en la medida en que las ofrece iThemes Security.

Resumiendo, esta es mi recomendación:

• Forzar SSL – Desactivar – Si no tienes otro sistema de forzar SSL puede servir, pero incluso WordPress tiene esta herramienta, y si quieres controlar más aspectos del forzado SSL te recomiendo mejor que uses SG Optimizer de SiteGround, o el mismo plugin Redirection.
• Copias de seguridad de base de datos – Desactivar – Muy limitado, solo permite guardar copias en local o enviarlas por email. Mejor usa un buen sistema plugin de copias de seguridad para WordPress.
• Comprobaciones de seguridad Pro – Activar – Como te expliqué en el apartado de esta guía relativo al asistente de configuración, es interesante activarlo, pues añade comprobaciones adicionales en base a la configuración de tu servidor.

Herramientas de iThemes Security

Desde la pantalla de ajustes puedes acceder, desde un enlace en la parte inferior izquierda (sí, está un poco escondido), a las herramientas de iThemes Security.

Desplegando cada una de las herramientas podrás configurar ajustes muy importantes para la seguridad de tu web.

Identificar IPs del servidor

Pulsa en el botón «Ejecutar» para que iThemes Security identifique la IP de tu servidor y, en base a ella, evite bloqueos involuntarios y otros errores.

Cambiar el usuario con ID 1

Esta es una vulnerabilidad de seguridad básica de WordPress, por la que el primer usuario, el administrador que hace la instalación, por defecto recibe el ID 1 en la base de datos, y esto lo pueden aprovechar algunos hackers.

Ejecuta esta herramienta para cambiar el ID de este usuario automáticamente.

Advertencia: Si limitaste la configuración de iThemes Security a tu usuario administrador podrías perder los permisos de acceso a los ajustes del tema, así que antes de hacer este cambio asegúrate de que cualquier usuario administrador pueda gestionar iThemes Security en los ajustes de los grupos de usuarios.

Cambiar el prefijo de la base de datos

Otro de los consejos básicos de seguridad es nunca usar el prefijo de las tablas por defecto de WordPress, el wp_, y en este módulo puedes cambiarlo fácilmente.

Siempre haz copia de seguridad de la base de datos antes pero es bastante seguro el cambio.

Salvo que el archivo wp-config.php o la base de datos estén protegidos contra escritura el cambio es automático y sin dolor.

Comprobar permisos de archivos

Esta herramienta simplemente lee los permisos de escritura de capetas y archivos de tu instalación de WordPress, para que tomes mediadas en caso necesario en el módulo de Ajustes del sistema que veremos más adelante.

Así que pulsa el botón para comprobar el estado actual, si hay alguna advertencia luego la solucionaremos, para conseguir poner todo en verde.

Reglas de configuración del servidor

Esta herramienta te puede mostrar 3 posibles estados:

• Que no haya que escribir ninguna regla.
• Que haya reglas que escribir.
• Visualización de las reglas escritas en el archivo .htaccess

Esta herramienta principalmente sirve para visualizar las reglas aplicadas por iThemes Security en el archivo .htaccess para proteger tu web, en base a la configuración y ajustes que hayas activado.

La mayoría de estas reglas se configuran en los ajustes del sistema, que veremos más adelante.

Reglas de wp-config.php

Igual que la herramienta anterior, pero en este caso aplicable a reglas que el plugin añade al archivo de configuración de WordPress, wp-config.php.

De nuevo es un visualizador y poco más, estas reglas se aplican desde los ajustes de WordPress del plugin, que también veremos más abajo.

Cambiar SALTs de WordPress

Esta herramienta permite cambiar al instante los SALTs del archivo wp-config.php de WordPress, con el resultado de que se fuerza la desconexión de todos los usuarios conectados (tú incluido).

Útil cuando sospechas que ha habido accesos no deseados y necesitas echar a todos par aplicar alguna restricción temporal (como el Modo de reposo).

Comprobaciones de seguridad Pro

Si activaste esta herramienta en las características (módulos) de iThemes Security aquí puedes ejecutarla, aplicando ajustes relevantes para la seguridad de tu web, además de consejos para mejorarla.

Ajustes avanzados de seguridad

Otra de las características casi ocultas, pero muy importante, son los ajustes avanzados de iThemes Security.

Para acceder a estos ajustes tienes un enlace en la página de ajustes del plugin.

Hay 3 secciones en estos ajustes:

1. Ajustes del sistema – Configuraciones para aumentar la seguridad, restringiendo el acceso a archivos y la ejecución de PHP en tu servidor, para reducir vulnerabilidades en la subida de archivos, sobre todo.
2. Ajustes de WordPress – Aquí puedes mejorar la seguridad quitando la posibilidad de editar archivos desde el escritorio de WordPress, y limitando el modo en que las APIs y los usuarios acceden a tu web.
3. Ocultar escritorio – No es el método de seguridad ideal para el acceso a WordPress pero te quitará muchos intentos de ataque por fuerza bruta a las URLs habituales desde las que acceder a la administración de WordPress.

Interesantes ¿no? Vamos a ver cada sección en detalle…

Ajustes del sistema

Este módulo tiene todos sus ajustes inactivos por defecto, y ya tardas en activarlos pues hay ajustes importantísimos para asegurar WordPress que debes activar sí o sí.

Aquí te hago resumen de lo que debes activar o no y el motivo:

• Acceso a archivos
  • Proteger los archivos del sistema – Activo: Protege los archivos de sistema mediante reglas de .htaccess.
  • Desactivar la navegación de directorios – Activo: Es una regla básica de seguridad que actualmente casi todos los hosting tienen pero por si acaso actívalo.
• Ejecución de PHP
  • Desactivar PHP en uploads / plugins / temas – Activo : Añade un archivo .htaccess a las carpetas de plugins, temas y subidas (donde se alojan las imágenes y documentos que subes) para que no se pueda ejecutar PHP desde ellas. Y sí, los plugins y temas siguen funcionando (me lo preguntan mucho)

O sea, ponlo como en la siguiente captura y guarda los cambios:

Ajustes de WordPress

Aquí tenemos otro módulo que es importante que revises para reforzar la seguridad de WordPress, sobre todo porque todos sus ajustes están configurados inseguros por defecto.

Mi recomendación de configuración segura de este módulo es la siguiente:

• Editor de archivos – Desactivar: Desactiva el editor interno de WordPress de plugins y temas, además del editor de archivos de Yoast SEO y otros plugins. No desactiva el CSS adicional del personalizador. Es común que los hackers primero accedan y luego traten de escalar permisos para usar estos editores para inyectar código.
• Acceso a la API
  • XML-RPC – XML-RPC desactivado : Si no usas la aplicación móvil de WordPress, JetPack o los pingbacks (el ajuste recomendado) harás bien en desactivar esta vieja vulnerabilidad de WordPress.
  • Múltiples intentos de autenticación por petición XML-RPC – Desactivar: Aunque tengas activo XML-RPC desactiva esto siempre.
  • API REST – Acceso restringido: Aunque alguna aplicación use la REST API, restringe el acceso para que se requiera un usuario conectado.
• Usuarios
  • Acceso con dirección de correo electrónico o nombre de usuario – Solo dirección de correo electrónico: Aunque WordPress permite acceder con el usuario o el correo es más seguro permitirlo solo con el correo electrónico, siempre tiene caracteres especiales y son más largos que el nombre.
  • Forzar alias único – Activar: Evita usar el nombre de usuario como alias y así no dar pistas a los hackers.
  • Desactivar archivos de usuario adicionales – Desactivar: Si un autor no tiene artículos publicados no genera su archivos de autor para no dar pistas a los hackers.

De nuevo, mi configuración recomendada para una mayor seguridad es como la de esta captura:

De todos modos, si alguna aplicación deja de funcionar porque necesita mayor acceso a la API, o hay usuarios que no se aclaran con tener que acceder de manera diferente, puedes cambiar algún ajuste según necesidad, pero siempre conociendo las connotaciones de seguridad que te he explicado antes.

Ocultar escritorio

Esta herramienta sirve para ocultar el acceso mediante wp-login.php o wp-admin, cambiando la dirección por defecto para acceder a WordPress por una a tu elección.

Aunque la mejor herramienta para asegurar el acceso es la identificación en 2 factores, esto suma, ahorrándote una buena cantidad de intentos de acceso automatizados mediante fuerza bruta, y de paso añades una capa de personalización a tu sitio.

Simplemente actívalo y elige los slugs (URLs) de acceso y registro que quieras en vez de las por defecto de WordPress.

También puedes activar una redirección personalizada para los usuarios/bots que intenten acceder por las URLs habituales de WordPress. Puedes poner una URL completa o un slug de tu web.

La acción de acceso personalizada solo deberás añadirla si algún plugin la requiere.

Configurar – Ajustes globales de seguridad

Una sección que se queda a medio configurar por mucho que repasemos todos los ajustes e incluso el asistente son los ajustes de seguridad de la sección de configuración, y no debes dejar de revisarlos, pues hay algunos ajustes de seguridad realmente importantes.

Vamos a repasar la configuración recomendable en cada ajuste…

• Escribir en archivos – Activar – Imprescindible que permitas a iThemes Security poder añadir reglas a los archivos de configuración de WordPress (.htaccess y wp-config.php), sino la mayoría de tus ajustes y configuraciones no tendrán efecto.
• Bloqueos
  • Minutos de bloqueo – Tiempo durante el que cualquier usuario no podrá acceder tras varios intentos fallidos – Recomendado: No menos de 5 minutos.
  • Días a recordar los bloqueos – Cuantos días el plugin recuerda un usuario/servidor bloqueado y no le permitirá acceder – Recomendado: Mínimo de 1 día.
  • Prohibir la reincidencia – Activar – Si el plugin debe añadir una IP a la lista de bloqueos tras superar un umbral de reincidencia.
    • Umbral de prohibición – Recomendado un máximo de 3.
• Mensajes de bloqueo – Aquí puedes personalizar los mensajes que verán los usuarios cuando el plugin les bloquee el acceso cuando falle – Recomendado: Explicar bien cada caso, para ayudar a usuarios normales, los bots y hackers ni siquiera leerán los mensajes.
• Servidores autorizados
  • Autorizar automáticamente servidores temporalmente – Activar – Añade una lista de las direcciones IP que quieras autorizar para que no las bloquee el plugin por error. Buenos ejemplos son tu propia IP o las de servicios que lo requieran.
• Registro
  • Cómo deberían guardarse los registros – Aquí configuramos dónde almacenar los registros de la actividad de iThemes Security – Recomendado: Solo base de datos.
  • Días a guardar los registros en la base de datos – Procura no almacenarlos muchos días o crecerá mucho el tamaño de tu base de datos – Recomendado: 15 días máximo.
• Detección de IP – Aquí eliges el método que usará el plugin para la detección de IPs – Recomendado: Exploración de seguridad.
• Retoques de la IU
  • Ocultar menú de seguridad en la barra de administración – Por defecto hay un menú de seguridad en la barra de menú de admin, casi siempre innecesario, salvo si desactivas los avisos por correo electrónico para cambios de archivos. Recomendado: Activar para ocultarlo.
  • Activar informe de grado – Activar – Al activarlo podrás ver una especie de valoración de la seguridad de tu sitio en el escritorio de seguridad.

Por si te queda alguna duda aquí tienes unas capturas con las configuraciones recomendadas de estos ajustes globales, en el mismo orden de la lista.

El centro de avisos

Aunque en un principio ya configuramos el ajuste básico para los avisos, a medida que vayas activando módulos y configurando ajustes se crean nuevas opciones de avisos, tanto al administrador como a los usuarios, así que es conveniente que, cuando termines de configurar el plugin, te pases por el centro de avisos y lo revises, pues habrá con toda seguridad ajustes interesantes de configurar.

Lo primero, nada más acceder, es la posibilidad de cambiar el email del remitente de los avisos por correo electrónico de incidencias y amenazas diversas.

Si no pones nada, si lo dejas en blanco, se usará el de administración, salvo que quieras poner otro, un falso por ejemplo, para que no contesten.

A continuación debes decidir quién recibirá los avisos de seguridad, y te recomiendo que lo limites a los administradores, o mucho mejor a quien sepa realmente tratar este tipo de avisos de seguridad, normalmente el responsable técnico o de mantenimiento de la web, o en su defecto tú, si eres el administrador.

Guarda los cambios y vamos a repasar qué más podemos configurar en el centro de avisos.

Lo siguiente es si queremos recibir avisos cuando se bloquee a un usuario o IP, y mi consejo es que no lo actives, pueden ser muchos los correos que se reciben y, en esto como en todo, muchos avisos terminan siendo igual de útiles que ningún aviso, pues se termina por no prestarles atención, perdiendo sentido la herramienta.

Diferente es el caso de los avisos en caso de cambio de archivos, que suele ser tan relevante para la seguridad que mi consejo es que los actives.

Puede que recibas un correo tras actualizar tú mismo un plugin o el mismo WordPress, pero no es tan frecuente como con los bloqueos, y siempre conviene revisar los cambios en archivos.

Los correos de avisos de cambio en archivos te llevarán a un registro de los archivos que hayan cambiado.

Y también puedes revisarlos posteriormente en el registro del plugin.

Por último, terminamos con la configuración de los mensajes que llegarán a los usuarios para activar y confirmar la identificación de dos factores por correo electrónico.

Lo importante aquí es que sean mensajes claros, que el usuario comprenda fácilmente, para poder completar el proceso de verificación en el acceso.

Módulos de pago

Además de los módulos anteriores, gratuitos, también puedes acceder a módulos de pago desde 48$ al año, estos son los más interesantes:

• Dispositivos de confianza.
• Resumen de actualizaciones.
• Perfiles de seguridad por usuario, además de por grupo.
• Soporte personalizado premium.

¿Es iThemes Security el mejor plugin de seguridad para WordPress?

Aunque hay gustos para todo, yo recomiendo habitualmente iThemes Security porque …

• Está totalmente en español (de hecho lo suelo traducir yo mismo)
• Explica todo muy bien, con mucho texto para saber qué haces y por qué
• Tiene todo lo imprescindible
• Ofrece gratis herramientas de seguridad que en otros plugins son de pago
• Lo que hace lo hace todo bien
• Es fácil de configurar (ahora más con esta guía)

Nota: Si notas algo raro en este tutorial desde la última vez que lo revisaste es porque antes de la versión 8 de iThemes Security el plugin era totalmente distinto, y la guía que viste se basaba en la versión anterior. Con la llegada de la versión 8 ha cambiado totalmente el aspecto y herramientas de iThemes Security, así que he tenido que rehacer al completo la guía desde cero. Que es lo que ves actualmente.

Si aún utilizas la versión 7.x de iThemes Security tienes la antigua guía en este enlace.

¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!