Una de las más posibles vías de entrada de intrusos en una instalación WordPress es la carpeta «uploads«, situada en la ruta «…/wp-content/uploads«, pues debe tener permisos de escritura para que el mismo WordPress pueda almacenar las imágenes y documentos que subes a través del cargador de medios.
Es por ello que es especialmente importante asegurar lo máximo esta carpeta, para evitar cargas de archivos indeseadas, especialmente si tu WordPress tiene habilitada la publicación de artículos por terceros, incluso invitados y, por supuesto, por hackers indeseables, que los hay.
Lo primero que debes tener en cuenta son los permisos correctos de carpetas en WordPress y, una vez comprobado, podemos añadir un control de seguridad adicional mediante unas líneas de código en un archivo, y al que llamaremos .htaccess (no olvides el punto delante del nombre), y crearemos en la misma carpeta «uploads«.
Sería algo así:
| 1 2 3 4 5 6 7 8 9 | # seguridad de subida de archivos en carpeta <Files ~ ".*\..*"> Order Allow,Deny Deny from all </Files> <FilesMatch "\.(jpg|jpeg|jpe|gif|png|bmp|tif|tiff|doc|pdf|rtf|xls|numbers|odt|pages|key|zip|rar)$"> Order Deny,Allow Allow from all </FilesMatch> |
Lo que hacemos es evitar la carga de cualquier archivo salvo los especificados en ‘ FilesMatch’ que, como puedes adivinar, puedes adaptar a tus necesidades (el ejemplo contempla imágenes, pdf, documentos de varios procesadores de texto, hojas de cálculo, presentaciones y archivos comprimidos, bastante amplio). Lo que si que te recomiendo es que no permitas la carga de ficheros con extensiones ejecutables de manera local o remota, como archivos Javascript o similares, por supuesto.
Esto mismo lo puedes hacer en otras carpetas que también requieren la carga de archivos, como «upgrade«, por ejemplo, que la usa WordPress como carpeta temporal para las actualizaciones y demás.
¡Que usted lo asegure bien!
¿Te gustó este artículo? ¡No sabes lo que te estás perdiendo en YouTube!
