15 maneras de proteger WordPress contra malware

La popularidad de WordPress juega en su contra en algunos aspectos. El hecho de que cada vez más empresas usen WordPress para sus webs oficiales, plataformas de comercio electrónico y blogs corporativos hace que nuestro querido WordPress sea objetivo de ataque de hackers.

Y el modo más habitual que usan los hackers para controlar un sitio web suele ser introducir malware en el código, de manera que puedan conseguir permisos de administración y, con ello, acceder a todos los datos de la web para sus usos, habitualmente fraudulentos.

Ya he hablado en otras ocasiones de algunas medidas para asegurar WordPress, pero hoy quiero hacer lista de los básicos, a modo de recordatorio, para proteger de malware a WordPress.

Vamos a ello …

  1. Cambia las contraseñas con regularidad: no solo la de WordPress sino también las de acceso FTP, PHPmyAdmin e incluso la de acceso al panel de control de tu proveedor de alojamiento. Te puedes ayudar de algún plugin para forzar el cambio de contraseña en WordPress, el resto es cosa tuya. Lo ideal es que cambies tus claves como mínimo cada mes, y siempre uses buenas contraseñas, de al menos 12 caracteres que incluyan mayúsculas, minúsculas, números y caracteres especiales. Para esto último yo suelo usar un generador automático de contraseñas para Mac pero también tienes utilidades web como esta.
  2. Asegura la instalación de WordPress: aprovecha los muchos y buenos plugins para asegurar WordPress. Hay muchos y buenos, y encontrar la perfecta combinación hará tu WordPress mucho más seguro.
  3. Actualiza todo: no te fíes de plugins y temas sin actualizar o que llevan mucho tiempo sin tener una revisión por parte del desarrollador. Muchos plugins y temas usan scripts susceptibles de ser hackeados para incluir malware así que empieza por ahí. Una de las ventajas de los temas y plugins premium (de pago) es que el desarrollador adquiere un compromiso de actualización y cuidado por sus clientes, de manera que va actualizando sus productos para que sean seguros. Una opción también segura es probar siempre plugins y temas del repositorio oficial, pues también están sujetos a un proceso de revisión. Por supuesto, JAMÁS descargues temas premium (o no) desde redes P2P por ahorrarte unos pocos euros, ahí te aseguro que en el 99% de las veces te vas a encontrar temas y plugins con código inyectado que te meterán en problemas.
  4. Haz copias de seguridad: SIEMPRE, no dejes al azar el hecho de que una mañana te dispongas a visitar tu web o blog y descubras que no puedes acceder o que te lo han inyectado de malware. Hay muchos y buenos plugins para hacer backup en WordPress, además de las utilidades de backup de los proveedores de hosting. Hay incluso utilidades para hacer backup de WordPress en Dropbox.
  5. Limpia la tabla wp_options: esta es una de las tablas de la base de datos más delicada, donde están los ajustes e información de acceso de WordPress, así que limpia esta tabla de todo lo que sobre habitualmente. Ya escribí una guía para mantener limpia la tabla wp_options así que úsala habitualmente.
  6. Cambia de ruta del fichero wp-config y la carpeta wp-content: desde hace ya varias versiones que es posible cambiar la ruta del archivo wp-config.php y la carpeta wp-content. El fichero wp-config.php es uno de los más peligrosos pues contiene la información de acceso a tu base de datos. la carpeta wp-content contiene los plugins, el tema que usas y muchos ficheros de configuración de plugins y scripts, además de cachés, así que es buena idea eliminar las rutas de acceso obvias para evitar miradas indiscretas.
  7. Protege el archivo .htaccess: otro de los archivos vitales de cualquier instalación, que contiene ajustes y rutas de todo tipo, que además se carga antes que todo lo demás, es el fichero de Apache .htaccess. Así que no está de más protegerlo, cosa que además es muy fácil como expliqué en el artículo de cómo proteger el archivo .htaccess.
  8. Usa el archivo .htaccess como protección extra: si ya has protegido el mismo fichero .htaccess puedes proteger WordPress desde el archivo .htaccess con una buena cantidad de instrucciones que te evitarán más de un disgusto.
  9. No des información gratuita: evita a toda costa etiquetas «meta» y HTML que informen de la versión de WordPress, elimina el archivo «readme.html«, borra el fichero «wp-admin/install.php» y cualquier otro que facilite información sobre tu instalación de WordPress.
  10. Cambia las rutas de acceso a WordPress: otro modo de entorpecer los accesos automáticos es cambiar las rutas de acceso habituales de WordPress. Por si solo no es el sumum de la seguridad pero evita, una vez infectado, acciones automáticas de scripts de malware, que normalmente actúan sobre las rutas predefinidas por WordPress.
  11. Limita los intentos de acceso: otro modo de evitar automatizaciones del malware es limitar los intentos de acceso fallidos. Para esto tienes unos cuantos buenos plugins.
  12. Cambia los «salt» del archivo wp-config.php: desde WordPress 3.0 el archivo «wp-config.php» incluye una buena cantidad de «salts» de seguridad, que son una medida de proteger tu WordPress. En el mismo archivo tienes la ruta para elegir una nueva cadena y cambiarlos. Hazlo de vez en cuando, pues con ello forzarás el cierre de sesión de accesos permanentes, algo que usan bastantes códigos malware.
  13. Vigila cambios en archivos de WordPress: te puedes ayudar de fantásticos plugins para vigilar cambios en los ficheros de WordPress que podrían significar una inyección de código malware.
  14. Configura alertas de seguridad: hay muchos servicios web que ofrecen sistema de alertas que te avisan si tu sitio está comprometido por malware o inyecciones de código. Muchos son gratuitos y bastante competentes así que date de alta en alguno, mejorarán tu control de la seguridad de WordPress.
  15. Crea una cuenta en Google Webmaster Tools: las herramientas para webmasters de Google, además de avisarte de las actualizaciones de WordPress te informarán de inyecciones de código y como eliminarlas, además de que es el lugar donde retirar los avisos de sitio malicioso, que espero que tras estos consejos no veas nunca en una web tuya.

Y hasta aquí. Estos consejos no son todos los posibles, pero si son útiles para proteger WordPress de malware y otros peligros.

Si sabes de alguna medida más de protección cuentánosla en los comentarios, de buen gusto la añadiré a la lista.

VALORA Y COMPARTE ESTE ARTÍCULO PARA MEJORAR LA CALIDAD DEL BLOG…
(12 votos, promedio: 5)

¿Te gustó este artículo? ¡Ni te imaginas lo que te estás perdiendo en YouTube!

AVISO: Esta publicación es de hace 3 años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado.

20 comentarios en “15 maneras de proteger WordPress contra malware”

  1. Hola Fernando, muy buenos consejos los que nos das, lo único que echaría en falta sería las opiniones propias o tu experiencia contando un poco lo que usas. Algo así como una conclusión.

    Por ejemplo, ¿usas plugins de seguridad como BulletProof? Lo digo porque yo lo uso pero realmente veo que lo único que hace es crear fichero .htaccess que a la vez has dado tu determinados consejos para realizar acciones con ellos. ¿No es como hacer dos veces lo mismo?

    Muchas gracias!!

    1. Yo uso casi todo lo del artículo, menos los plugins. Bueno, en realidad si los uso pero no están activos permanentemente, los activo regularmente para hacer repasos de seguridad.

      Alguna cosa se me olvida a veces, como borrar el readme.html después de las actualizaciones, pero vamos, poca cosa 🙂

      1. Gracias por el consejo. Es que como digo lo que hace el BulletProof me parece una repetición de los consejos ya dados sobre el .htaccess. Porque que yo sepa lo único que hace el plugin es trabajar con los .ht

        Saludos y Gracias!!

  2. Muy buenos consejos. Además si me permites también añadiria que es conveniente cambiar el prefijo de la base de datos, en vez de "wp_*****"  que sea algo totalmente diferente "tpfr34d_*****"

  3. Disculpad la intromisión de alguien desesperado. Tengo un malware en mi web y no se como limpiar el codigo. Quizas puedan suguerirme una empresa o un profesional para ayudarme ? Muchisimas gracias.

  4. Tienes toda la razón con el tema de descargar los temas premium gratuitamente. Una vez descargué uno, y gracias a Dios que estuve haciendo pruebas en mi localhost ya que Kaspersky dedectó codigo inyectado en dicho tema.

  5. Se me ha ocurrido hacer un cron en CPanel para borrar de vez en cuando los archivos readme.html y wp-admin/install.php y parece que ha funcionado. Lo he puesto para que lo haga todos los domingos. Yo creo que sería suficiente quizás con una vez al mes ¿no?

    rm —-/readme.html; 
    rm —-/wp-admin/install.php

    Me ha parecido una buena idea 😀

  6. Fernando eres un master!, fijate que hace poco recibi un hack en mi blog de wordpress, se lo atribuyo a que active los protocolos de publicación XML-RPC, ¿Tienes conocimiento de que tenga problemas de seguridad esto? ¿conviene si activarlo? ¿con lo que propones en este tutorial me podría a tener mas seguro mi blog contra ataques de fuerza bruta por ejemplo? Excelente artículo Fernando, saludos!!!

    1. XML-RPC sirve para usar tu wp desde aplicaciones o dispositivos externos, si no vas a usarlo desactívalo, como cualquier protocolo abierto es susceptible de ser atacado.

  7. Pingback: Por qué no debes proteger con contraseña /wp-admin/

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

 

Ir arriba Ir al contenido