Seguridad en la carpeta "uploads" de WordPress • Ayuda WordPress

Publicado por Fernando Tellado el 12 Sep, 2012

Imagen creada por Noreboo

Una de las más posibles vías de entrada de intrusos en una instalación WordPress es la carpeta “uploads“, situada en la ruta “…/wp-content/uploads“, pues debe tener permisos de escritura para que el mismo WordPress pueda almacenar las imágenes y documentos que subes a través del cargador de medios.

Es por ello que es especialmente importante asegurar lo máximo esta carpeta, para evitar cargas de archivos indeseadas, especialmente si tu WordPress tiene habilitada la publicación de artículos por terceros, incluso invitados y, por supuesto, por hackers indeseables, que los hay.

Lo primero que debes tener en cuenta son los permisos correctos de carpetas en WordPress y, una vez comprobado, podemos añadir un control de seguridad adicional mediante unas líneas de código en un archivo, y al que llamaremos .htaccess (no olvides el punto delante del nombre), y crearemos en la misma carpeta “uploads“.

Sería algo así:

# seguridad de subida de archivos en carpeta
<Files ~ ".*\..*">
	Order Allow,Deny
	Deny from all
</Files>
<FilesMatch "\.(jpg|jpeg|jpe|gif|png|bmp|tif|tiff|doc|pdf|rtf|xls|numbers|odt|pages|key|zip|rar)$">
	Order Deny,Allow
	Allow from all
</FilesMatch>

# seguridad de subida de archivos en carpeta

Order Allow,Deny

Deny from all

</Files>

Order Deny,Allow

Allow from all

</FilesMatch>

Lo que hacemos es evitar la carga de cualquier archivo salvo los especificados en ‘FilesMatch‘ que, como puedes adivinar, puedes adaptar a tus necesidades (el ejemplo contempla imágenes, pdf, documentos de varios procesadores de texto, hojas de cálculo, presentaciones y archivos comprimidos, bastante amplio). Lo que si que te recomiendo es que no permitas la carga de ficheros con extensiones ejecutables de manera local o remota, como archivos Javascript o similares, por supuesto.

Esto mismo lo puedes hacer en otras carpetas que también requieren la carga de archivos, como “upgrade“, por ejemplo, que la usa WordPress como carpeta temporal para las actualizaciones y demás.

¡Que usted lo asegure bien!

AVISO: esta publicación es de hace dos años o más. Si es un código o un plugin podría no funcionar en las últimas versiones de WordPress, y si es una noticia podría estar ya obsoleta. Luego no digas que no te hemos avisado.