Seguridad

En algunos casos, las páginas de WordPress se llenan de registros de usuarios “falsos”, los llamados sploggers. Sobre todo aquellas que permitan a los usuarios registrarse sin ningún otro requisito. Evidentemente estas cuentas, además de llenar de “spam” nuestra lista de usuario, y agrandar la base de datos, puede ser un fallo de seguridad.  La mayoría de estos son intentos de acceder a nuestra página con permisos más elevados, o para poder postear links a otras webs. Normalmente yo sugiero establecer un requisito o control previo para registrarse, pero en ciertos proyectos esto no es posible. Así que si tu página requiere el registro público, y se te está llenando de sploggers, usuarios spam o no deseados, sugerimos este plugin, Wangguard. Wangguard no es del todo gratuito, pero lo es para páginas de menos de 5,000 usuarios al día mientras sea para uso personal (un blog por ejemplo): “WangGuard Always will be free for personal use, this means that whenever you have less than 5,000 daily registrations or you make less than $200/month, you never have to pay anything for WangGuard.” Puedes usarlo sin problemas, y si tienes una página con más de 5000 registros, o es profesional, paga la opción siguiente. Para poder activar el plugin, necesitas una clave API desde la página de WangGuard (registrándote), y con ella pegarla en la configuración del plugin. Tiene muchas opciones, y no sólo se puede instalar en WordPress, también en otros CMS. Es importante saber que el plugin APRENDE con el tiempo, y los creadores sugieren una semana para que el plugin coja algo de experiencia y empiece a reconocer bien a los sploggers.    

Creo que casi todos habéis oído que Google premia, y lo hará más, a las webs que tienen certificado, es decir que funcionan con SSL. Las que puedes entrar con https://.. Y como antes eran caros, se abrió un proyecto (una apuesta de varias empresas) para obtener certificados gratuitos: Let’s Encrypt. Muchos proveedores de hosting, como nosotros, estamos presentando esta opción a los clientes. Así que ahora los clientes pueden tener certificado de manera asequible. Pero recordad que la primera parte, la activación, debe hacerse a nivel del servidor, o sea el proveedor (a menos que tengáis un servidor dedicado). Vamos a hablar del tema en el que ya tenemos un certificado…¿cómo hacemos que mi web en WordPress funcione con SSL? Hoy os contamos dos maneras: Por plugin (más sencillo): Hay un plugin excelente, que nos facilita la activación de https en WordPress. No activa lo necesario y pone los códigos que necesitamos. Really Simple SSL es perfecto para eso. Las estadísticas lo avalan: 4,9/5 de puntuación, y más de 40.000 instalaciones activas. Esto es lo que hace: El plugin soluciona la mayoría de los problemas de WordPress con ssl, como el tan discutido problema de balanceo de carga, o cuando no se ha definido ninguna variable del servidor. Todas las peticiones entrantes se redirigen a https. Si es posible con .htaccess, en caso contrario mediante javascript. La url del sitio y la url de portada se cambian a https. Tu contenido inseguro se repara reemplazando todas las urls http:// por https://, excepto enlaces a otros dominios. Se hace de manera dinámica, así que no se hacen cambios en la base de datos (excepto en el siteurl y homeurl). Por lo tanto te lo recomendamos. Olvídate de problemas. Manualmente. Tienes que añadir en httaccess para hacer las redirecciones que llegan:   RewriteEngine On RewriteCond %{SERVER_PORT} 80 RewriteRule ^(.*)$ https://tudominio.com/$1 [R,L] Y luego fuerza SSL en WordPress:   define(‘FORCE_SSL_LOGIN’, true); define(‘FORCE_SSL_ADMIN’, true);

Como hemos comentado mucho, WordPress es uno de los gestores de contenidos más famosos, más usados y más atacados. Intentamos siempre dar opciones sobre cómo mejorar la seguridad de tu página web. Una de las maneras más sencillas es esta: cambiar la dirección de login, es decir la dirección desde la que se accede a tu WordPress, ya sea como usuario o como administrador. ¿Por qué? Bueno, un método típico de entrada es ir a una web con wordpress, entrar por dominio/wp-login o dominio/wp-admin y ponerse a probar contraseñas y usuarios. Nota: obviamente no uses admin, administrator etc como nombres de usuario. Son los más probados. Con estos plugins, podemos cambiar de manera muy sencilla, la ruta de acceso y que ya no sean wp-login o wp-admin. Puedes elegir que sea lo que quieras, normalmente algo con muchas letras, números y sin sentido. Así lo pones más difícil a los cibercriminales. De hecho muchos de los gestores de contenidos (Prestashop por ejemplo) ya hacen esto por defecto en la instalación (poner una ruta larga y diferente). Os dejo dos plugins: WPS Hide Login. Renombra wp-login.php. Parece el mismo y de hecho la descripción es un calco…pero los desarrolladores son diferentes.