Proteger WordPress, sin pánico.

Cómo se atacan realmente los sitios WordPress

Casi nadie se sienta delante de su sitio a buscar un fallo concreto. Los ataques son automáticos: hay programas que recorren millones de sitios web y prueban vulnerabilidades conocidas y contraseñas habituales. Dicho al revés: quien cierra las vulnerabilidades conocidas y no usa contraseñas débiles queda fuera del radar.

Las puertas de entrada más frecuentes son plugins y temas desactualizados, contraseñas fáciles de adivinar o filtradas en otro sitio y extensiones de fuentes poco fiables.

Actualizaciones: la medida más importante

Cuando se descubre una vulnerabilidad en un plugin, suele publicarse una actualización en pocos días, y justo a partir de ese momento los ataques automáticos buscan sitios que aún no la tienen.

• WordPress instala por sí mismo las pequeñas actualizaciones de seguridad del núcleo. Para los plugins puede activar las actualizaciones automáticas plugin por plugin.
• Las actualizaciones grandes (nueva versión principal, constructor de páginas, tienda) conviene probarlas antes. Con nosotros, para ello crea una copia de prueba de su sitio web en el Área de cliente.
• Sustituya un plugin que lleva años sin actualizarse. Ahí ya nadie cierra vulnerabilidades.

Proteger los accesos

• Contraseñas largas y únicas para cada cuenta; lo más sencillo es un gestor de contraseñas.
• Inicio de sesión en dos pasos para todos los administradores: basta un plugin gratuito, y a partir de ahí una contraseña robada ya no es suficiente.
• Asignar roles con moderación. Quien solo escribe entradas no necesita una cuenta de administrador.
• Eliminar cuentas antiguas, por ejemplo la de la agencia que creó el sitio hace años.

Elegir las extensiones con cuidado

Instale plugins y temas desde el directorio oficial de wordpress.org o directamente del fabricante. Manténgase lejos de las copias «gratuitas» de extensiones de pago (a menudo llamadas «nulled»): son la vía más cómoda para que el código malicioso entre en un sitio web.

Merece la pena echar un vistazo antes de instalar: ¿cuándo fue la última actualización, cuántas instalaciones tiene, responde el desarrollador a las preguntas? Y lo que ya no use, elimínelo: aunque esté desactivado, sigue en el servidor.

Copias de seguridad: el plan B

Ninguna medida protege por completo. Lo que cuenta en caso de emergencia es un estado limpio de anteayer. Una buena copia de seguridad está al menos una vez fuera del servidor, se remonta varios días atrás y está probada: una copia que no se puede restaurar no es una copia.

Con nosotros, cada espacio web se copia a diario, en el servidor y además fuera de nuestras instalaciones. Conservamos 7 estados diarios y 4 semanales, y restauramos gratis para usted uno de ellos. Antes de una actualización importante, cree además usted mismo una copia de seguridad en el panel de hosting.

Lo que debe aportar el servidor

Algunas cosas no dependen de usted, sino del proveedor: una conexión cifrada (HTTPS), una versión actual de PHP, actualizaciones de seguridad del sistema operativo instaladas a tiempo y una protección que bloquea las direcciones con demasiados intentos fallidos de inicio de sesión. Pregunte a su proveedor; con nosotros, todo esto es estándar.

Han hackeado su sitio: ¿y ahora qué?

1. Mantenga la calma y no borre nada: necesita ese estado para encontrar la causa.
2. Cambie todas las contraseñas: cuentas de WordPress, base de datos, FTP, Área de cliente.
3. Restaure un estado anterior a la infección. Por eso las copias de seguridad se remontan varios días atrás.
4. Cierre la vulnerabilidad antes de volver a poner el sitio en línea; si no, en pocas horas volverá a estar infectado. Normalmente eso significa: actualizarlo todo y eliminar los plugins sospechosos.

No tiene que hacerlo solo. Póngase en contacto con nosotros y le ayudaremos a limpiarlo.