Básicos para la Seguridad de Tu WordPress

Hace unas semanas el tema de la seguridad de WordPress estuvo sonando mucho por el llamado “Ataque brutal a WordPress“, trate de estar al tanto de lo sucedido, sin embargo la parte técnica no es mi fuerte y algunas de las recomendaciones que encontré parecían en otro idioma para mí. Así que tomé prestadas las recomendaciones de seguridad generales que ayudaran a disminuir la probabilidad de que tu Web sea victima cibernética (en cursivas y paréntesis mi aporte).

1. Debes mantener un PC o laptop limpio. Con actualizaciones automáticas activadas en caso de Windows.
2. Utiliza software antivirus y firewall conjunto – que analice también el tráfico wifi. Condición: actualizados diariamente de forma automática. (Aunque no lo creas si no tienes antivirus y firewall en tu computador, puedes contagiar a tu Web cuando la administras – también es un riesgo administrar nuestra web desde conexiones wifi publicas- los datos pueden ser públicos)
3. Registra tu dominio en un agente acreditado. Aloja tu dominio en un hosting seguro, fiable y que te asegure que ha adoptado las medidas de seguridad necesarias – actualizaciones del sistema frecuentes, instalación de módulos de seguridad, antivirus y firewall.
4. Suprimir el usuario ADMIN (si este el usuario con el que ingresas, lo que tienes que hacer es crear un nuevo usuario desde la admon de WP(Usuarios) que sea también administrador, luego salir e ingresar con los datos del nuevo usuario; ir a usuarios y eliminar al usuario admin. Como este usuario es autor de las entradas y paginas, debes asignar la autoría al nuevo usuario. Y listo – Lo explicaré en otro artículo).
5. Asignar una contraseña fuerte, entre 15-20 caracteres ya es suficiente, pero que contenga números, símbolos y alternar minúscula y mayúscula.
6. Actualiza siempre a la última versión de WordPress, así como todos los plugins que lo requieran. Haz una copia de la base de datos y del contenido antes, ya que pueden darse incompatibilidades en muchas ocasiones (ver recomendaciones para actualizar).
7. Instala plugins antispam (Sugerencias: akismet + API Key, spam free)
8. Complementa los formularios de contacto con captcha (Si usas Contact Form 7 compleméntalo con Really Simple Captcha).
9. Instala un plugin para respaldar WordPress. Sugerencia: WP-DB Manager, WP-DB Backup, Backup Creator. La mayoría de éstos permiten salvar y recuperar base de datos, localmente y en otros sitios como Amazon S3 o Dropbox. Además, son capaces de activarse mediante Cron para que puedas programar el horario de tus copias.
10. Haz una copia de seguridad de tu blog mínimo 1 vez a la semana, dejando las 3 últimas copias que se han realizado últimamente. Las copias nunca las dejes en el mismo repositorio o en otra carpeta del propio hosting, tienen que externalizarse (otro ftp, vía cloud storage o por e-mail y descarga a local).
11. Actualizar las últimas versiones de WP Super Cache y W3TC ya que las versiones anteriores poseen una grave vulnerabilidad.
12. Refuerza el blindaje de fuerza bruta con uno de estos 2 plugins: Limit Login Attemps o Login Lockdown, que limitan el numero de intentos para acceder a tu WP (si eres usuario único de Web es una buena opción, si es una zona de clientes no lo recomiendo, lo probé por unos días y llegaban solicitudes de soporte porque no podían ingresar, incluso me paso a mí).
13. Cuidado con el plugin Social Media Widget, está siendo utilizado para inyectar correo no deseado en los sitios web.
14. Otros plugin sugeridos en foros son “Antivirus” y “6Scan Security”.