Blog

hay mucha gente que le achaca falta seguridad a la hora de estar protegido frente a ataques malicioso, la verdad es que se pueden evitar, para ello hay que configurar ciertas cosas y también se pueden añadir plugins que logran mejorar su seguridad, vamos a realizar una breve guía de como conseguir dichos objetivos, desde configurar mejor el .htaccess hasta los plugins que podrían sernos de utilidad.
Plugins que mejoran la seguridad de nuestro wordpress

BackUpWordpress: lo más básico, instalar dicho plugin y realizar copias de seguridad de nuestra base datos, es útil tanto para ataques como para cualquier problema que pudiera surgir en nuestra base datos, enviar una copia diaria a nuestro mail y guardar un histórico para poder restaurar si fuese necesario, además de copias en el servidor programadas.

Limit logins attempts básico, limitar el número de intentos de iniciar sesión por IP, cualquier ataque masivo será bloquedo, siempre que proceda de la misma IP.Muestra informe de inicios de sesión masivos, asi podemos banear la IP atacante.

Wordfence Security plugin de seguridad frente a ataques masivos, lleva firewall, analisis de virus y análisis en tiempo real.Hay que configurar su firewall que viene desactivado por defecto marcando la casilla enable firewall rules.

Sumamente recomendado este plugin para frenar ataques masivos de wordpress, junto con Better WP security, ambos realizan una buena protección de la instalación, primero se usa Better WP Secutity para reconfigurar el usuario admin y otros parámetros y después se desactiva.

Se activa Wordfence Security y se configura el firewall para frenar cualquier ataque masivo hacia nuestro wordpress.

Screen shoot de configuración Wordfence Security

Better WP Security es un plugin muy intuitivo y tiene de las mejores opciones de seguridad para nuestro wordpress:

Cambiar el usuario admin, si todavía no lo habéis hecho lo podéis hacer desde aquí
Cambiar el ID de usuario del administrador.
Cambiar el prefijo de las tablas de base de datos
Realizar copias de seguridad de la base de datos periódicas
Cambiar las rutas de acceso a login, admin y registro. Esto lo podéis hacer desde la pestaña Hide marcando “Habilitar administración oculta” y cambiando las rutas
Proteger el archivo .htaccess: Mediante este archivo se pueden establecer reglas, redirecciones… si este archivo no es seguro nos pueden estar realizando acciones que nos afecten tanto a posicionamiento como a funcionamiento sin darnos cuenta.

Ultimate Security Checker realiza un analisis de tu sitio de wordpress puntuando su seguridad y dandote los errores que ha hallado y el modo de solucionarlos.
Eliminar o modificar el usuario “admin” manualmente

La mayoria de los ataques a wordpress vienen usando este usuario que es le que por defecto trae wordpress en todas las instalaciones, las ultimas versiones de wordpress dan la opción al instalarlo de poner otro nombre, pero por rutina lo seguimos poniendo sin darnos cuenta de la vulneraciones que puede causar a la seguridad de nuestro blog seguir usandolo, es uno de los errores que infinidad de sistemas informaticos producen, vulnera terriblemente la seguridad, porque con ese usuarios es solo saltar la traba de la contraseña usada.

Pasos a seguir:

Entrar en el panel de administración e ir a usuarios, crear un nuevo usuario y darle permisos de administrador con otro nombre y procedemos a borrar el antiguo usuarios de administración.

El problema viene si ese usuarios lleva tiempo funcionando, tiene mucho contenido generado y esto nos puede causar enormes poblemas al eliminarlo, por ello si es asi tenemos que entrar a PHPMyAdmin.

Buscar en la base datos la tabla “wp_users” sino hemos cambiado el prefijo wp- de las tablas.

Cambiamos los campos “user_login”, “user_nicename” y “display_name” por el nuevo nombre de usuario. Cambia únicamente éstos y deja los demás tal cual, sin modificar. Guarda los cambios y tendrás el usuario listo y configurado, con el nuevo nombre de usuario asignado.

wordpress-admin
Configurar el fichero .htaccess para evitar hackeos
Bloquear IPs de usuarios o bots indeseados

Apache se puede configurar para bloquear usuarios o bots no deseables mediante este fichero, se añade el siguiente código:
order allow,deny allow from all deny from 123.456.789 deny from 93.121.788 deny from 223.956.789 deny from 128.456.780
Permitir únicamente tu IP para acceder al panel de administración de WordPress

Es una gran medida de seguridad, solo desde tu IP se puede acceder al panel de administración o las IP de los editores, si es un blog donde no hay usuarios logeados.

Reemplaza la IP de la línea de código “with allow from xx.xx.xx.xx” con la tuya para que sólo tu IP pueda acceder al panel de administración wp-admin de wordpress.
AuthUserFile /dev/null AuthGroupFile /dev/null AuthName “WordPress Admin Access Control” AuthType Basic order deny,allow deny from all allow from xx.xx.xx.xx
Denegar acceso al fichero de configuración wp-config de WordPress

El archivo wp-config.php de WordPress incluye toda la información importante, como el nombre de base de datos. Es vital tenerlo bien protegido.
# protect wpconfig.php order allow,deny deny from all
Asegurar los plugins de WordPress

Los plugins de wordpress suelen tener “puertas traseras” y suelen ser sitios por los que los hackers pueden entrar en tu página web o blog. Para evitar que otras personas tengan acceso directo a los archivos de tus plugins usa el siguiente código:
order allow,deny allow from all
Proteger y bloquear el archivo .htaccess

Sí, también puedes bloquear el mismo archivo que se utiliza para añadir todas las anteriores reglas sobre directorios. Con la siguiente línea será sufiente para asegurarlo.
files ~”^.*\.([Hh][Tt][Aa])”> Order allow, deny Deny from all Satisfy all
Evitar la exploración de carpetas

Es de suma importancia prohibir que los visitantes puedan acceder y visualizar las distintas carpetas y directorios de WordPress (como wp-admin, por ejemplo). Solo tendremos que añadir estas línea a nuestro archivo .htaccess para bloquearlo por completo.
Options All -Indexes
Loguearse en dos pasos con Authy

Se trata como el sistema que usan muchas web, una forma de autenticarse en dos pasos, via movil, cada 20 segundo genera un token para loguearse en wordpress, que nos lo pide para entrar.

Plugin de Authy WP

Precios de Authy, desde gratuito hasta mensuales dependiendo el número usuarios a gestionar
Ultimos consejos

Estar al día de todas las actualizaciones de wordpress y plugins, es la medida seguridad esencial. Usar contraseña con letras, números y caracteres especiales de 10 digitos, los ataques masivos han sido a wordpress con contraseñas tipo: “pepe2012” y con usuario “admin”
Vulnerabilidades de WordPress
WordPress Version

No. of Installaciones

No.Vulnerabilidades
3.6 13,034 5
3.6.1 (latest) 7,814 0
3.5.1 6,859 8
3.5.2 4,031 0
3.4.2 2,204 12
3.5 1,655 10
3.3.1 820 24
3.2.1 820 10
3.3.2 732 14
3.4 295 15
Total (Excl 3.6.1) 30,823

WordPress Most Popular Security Plugins

Que es el mod deflate?

Es una forma de añadir compresión a los documentos html, css, javascript, xml, rss y textos plano, una compresión gzip que todos los actuales navegadores son capaces de descomprimir en pocos milisegundos, esto agiliza la velocidad de bajada de los archivos mencionado dando agilidad de carga y velocidad de ejecución.

Es algo que testea google page speed y Yslow de yahoo, una de las practicas recomendadas para aumentar la experiencia de usuario y mejorar el rendimiento de cualquier sitio web.

Un documento html de 30 Kb consigue ser comprimido a 10 KB, consiguiendose ratios de compresion que reducen considerablemente el peso de los documentos a descargar agilizando la carga de las páginas web en un alto porcentaje, una práctica altamente recomendable.
¿Cómo se consigue instalarlo?

Es un modulo de apache que hay que activar, algunos host los traen por defecto activado, otros es necesario descargar ese modulo de apache en el servidor e instalarlo.

Para cargarlo se ejecuta la linea comandos en consola
LoadModule deflate_module modules/mod_deflate.so

Y se procede a activarlo
SetOutputFilter DEFLATE
¿Cómo se activa en nuestra web?

Hay varias formas de activarlo, fundamentalmente dos:

Via .htaccess

Para activar y configurar este modulo, debemos ingresar al directorio donde esta alojado nuestro sitio. Allí encontraremos un archivo que se llama .htaccess (el punto incial se debe a que es un archivo oculto (unix)), en el agregaremos las siguientes líneas:
#LE INDICAMOS QUE TIPO DE ARCHIVO DEBE COMPRIMIR AddOutputFilterByType DEFLATE text/plain AddOutputFilterByType DEFLATE text/html AddOutputFilterByType DEFLATE text/xml AddOutputFilterByType DEFLATE text/css AddOutputFilterByType DEFLATE application/xml AddOutputFilterByType DEFLATE application/xhtml+xml AddOutputFilterByType DEFLATE application/rss+xml AddOutputFilterByType DEFLATE application/x-javascript # LE INDICAMOS PARA QUE NAVEGADORES NO DEBE COMPRIMIR YA QUE PRESENTAN BUGS BrowserMatch ^Mozilla/4 gzip-only-text/html BrowserMatch ^Mozilla/4.0[678] no-gzip BrowserMatch bMSIE !no-gzip !gzip-only-text/html

Via fichero httpd.conf del servidor

Esta via es la mejor a mi forma de entender, se optimiza ya todo el servidor para que use este modulo de apache y todas las web llevan la compresion habilitada de forma automatica via apache.

Seria agragar al fichero httpd.conf las siguientes lineas:
AddOutputFilterByType DEFLATE text/html AddOutputFilterByType DEFLATE application/x-javascript AddOutputFilterByType DEFLATE application/javascript AddOutputFilterByType DEFLATE text/javascript AddOutputFilterByType DEFLATE text/x-js AddOutputFilterByType DEFLATE text/css # Highest 9 – Lowest 1 DeflateCompressionLevel 9 # Skip browsers with known problems BrowserMatch ^Mozilla/4 gzip-only-text/html BrowserMatch ^Mozilla/4\.0[678] no-gzip BrowserMatch \bMSIE !no-gzip !gzip-only-text/html

Asi tenemos instalada la compresión de lso ficheros especificados, ganando en rendimiento en nuestras webs.

ay veces que generamos contenido en un blog y no queremos publicarlo inmediatamente, sino que vamos a programar la publicación de entradas en un blog a lo largo de un perido de tiempo para que vayan publicandose una a una según nos convenga.

Este video nos lo explica con suma sencillez.

Es muy necesario respaldar la base datos de worpdress, realizar backups periodicamente, además es recomendable realizarlos en varios sitios, dentro del servidor y fuera de nuestro servidor, donde esta alojada la instalación, para ello disponemos de herramientas que nos puede facilitar nuestro hosting o alojamiento y herramientas via plugin para realizarlo, para ello les dejamos este tutorial WordPress.

Se pueden automatizar de manera que se ejecutan solas, dentro del servidor las que nos faciliten como via plugin enviar la base datos a nuestro correo o bien a un servicio externo de almacenamiento para tener alli un repositorio con las copias de seguridad por si surgen problemas.
WordPress Database Backup

Es un sencillo plugin que se descarga, se instala y se puede programar. Nos deja elegir las tablas que deseamos copiar, si alguna tabla de la base datos nos parece accesoria porque no guarda información importante podemos prescindir de ella, nos puede enviar copias de seguridad cada hora, una vez al día, nos lo envia al correo y también se puede hacer manualmente cuando queremos.

Sirve para respaldar en backups la base datos, no respaldaría los archivos de wordpress, es decir, la carpeta upload habría que bajarla del servidor para tener la copia seguridad necesaria de las fotografías y elementos gráficos.

WP Database backup
WP-DBManager

Este plugin es bastante completo, además de hacer un back up de la base datos nos permite repararla, restaurarla, borrarla, vaciar tablas, vaciar querys que esten obsoletas y programar back ups periodicos de la base datos.

Hay que manejarlo con cuidado las funciones de reparar, restaurar y borrado, se recomienda back up previo ante posibles errrores que podamos cometer, luego no hay marcha atrás y sino hemos respaldado la base datos previamente podemos perder muchos datos.

Trae además de los backups para respaldar la base datos muchas funciones para operar con la base datos, realizaría mantenimiento de la base datos a la par de copias de seguridad de la base datos.

Se pueden vaciar y borrar tablas que instalen los plugin para el mantenimiento correcto de nuestra base datos, además de optimizar las tablas de la base de datos de nuestos wordpress.

WP-DBManager

db manager plugin para mantenimiento base datos
BackWPup

Este plugin tambien es muy completo, realiza backups a la base de datos y tambien los envia a muchos servicios para respaldarlos fuera de nuestro servidor:

Optimiza y repara las tablas
Realiza backups de la base datos
Guarda backups en un directorio de nuestra instalación
Guarda backups en Dropbox
Guarda backups en S3 services
Guarda backups en Microsoft Azure (Blob)
Guarda backups en RackSpaceCloud
Envia backups por mail

Es mas complejo de configurar, pero tiene el que mas funcionalidades como plugin de backups.

BackWPup (free)
Google drive for WordPress

Un completo plugin para respaldar la base datos y ficheros de nuestro wordpress en google drive, de forma automatica podemos programar que diariamente se almacene en google drive la base datos y los ficheros que queremos proteger de nuestro wordpress, como por ejemplo las fotos que almacenamos dentro, también puede hacer un volcado en google drive de toda la base datos y todos los ficheros almacenados, siendo un back completo y fuera de nuestro servidor.

Es una solución muy buena, google drive actualmente nos deja 15 GB de forma gratuita, asi que podemos realizar back ups diarios durante largos periodos de tiempo sin tener que preocuparnos nada, todo se queda guardado y almacenado automaticamente en nuestra cuenta de google drive.

Google drive for WP

Para configurar el API de google drive nos deja video explicativo el plugin, es sencillo de seguir las instrucciones que tenemos que realizar para hacer el back up

Video de usar plugin Google drive para WordPress: como usar Google drive para WordPress para respaldar la base datos y archivos de WordPress

Que es un CDN?

El CDN (Content Delivery Network) son una serie de servidores distribuidos por el mundo a modo de red redistrubuyen contenidos web que almacenan en cache siguiendo un conjunto de reglas propias, los hay de diferentes tipos:

Tipo pull: son CDN que cogen los archivos de imagenes, CSS y javascript cuando reciben peticiones en su zona de actuación renovadonlos periodicamente, primero se tira del servidor principal y luego se almacena en cache los archivo demandados en las descargas siguiente, teniendo unos periodos donde el servidor y el CDN dialogan para refrescar la cache periodicamente.
Tipo push: al contrario de los tipo pull, los tipo push almacenan todo el contenido y es servido directamente por ellos según sea la demanda geográfica de esos contenidos.

La conveniencia de un tipo servicio u otro depende de los objetivos de la web y el tráfico. Los CDN tipo pull son mas faciles de configurar que los tipo push, estos ultimos requieren cambios en las DNS del dominio para poder cachear el contenido, cosa que el tipo pull no requiere, solo cachea el tipo fichero que le indiquemos, normalmente imagenes, CSS y javascript, lo mas pesado de la web, para tener mejor tiempo de respuesta.
¿Porque mejora el SEO de la web?

Por varias razones:

Aumento de la velocidad de carga de las web. Esto hace que las latencias del servidor disminuyan exponencialmente, sobre todo en web que tienen usuarios en diferentes paises, las respuestas llegan a ser 10 veces mas veloces que un servidor normal. Los buscadores premian la velocidad de carga, es un factor altamente importante en el algoritmo de google y otros buscadores.
Utilización de IP anycast. En vez de la IP del pais donde se aloja el servidor, la IP de un CDN es de otro tipo, no localizada, por lo tanto compatible con una IP internacional, esto hace que el posicionamiento del contenido sea mas fácil.
Balanceo de cargas. Es la forma de poder quitar carga trabajo al servidor, es decir, no todo se sirve desde el servidor que esta alojada la web, para los picos de tráfico se distribuyen mejor las cargas asi no se colapsa el servidor por exceso trafico o da respuestas erroneas por exceso trabajo.

no de los grandes problemas de WordPress es que vamos llenando la base datos con excesivas cosas, esto hace que wordpress se vuelva mas lento, además de problemas que puede causar el que se corrompa la base datos, volviendose inútil y poco operativa, llegando a romperse por la cantidad de datos obsoletos que vamos almacenando sin darnos cuenta.

Mantener una limpieza de la base datos es primordial para el correcto funcionamiento de este CMS, muchas bases de datos alcanzan niveles altisimos de datos y peso, con la consiguiente falta de operatividad, muchos de estos datos están obsoletos, no sirven para absolutamente nada y solo están ahi para crearnos problemas.
¿Tienes tu base datos de WordPress limpia?

Si la respuesta es no, te interesa leer con detenimiento este artículo, podrás encontrar sencillas instrucciones para mejorar la limpieza de tu base datos, donde se almacena la basura y como se puede eliminar con facilidad, mas si llevas años llevando un blog con multiples entradas, la basura que puedes almacenar es muy grande.
Plugin Optimize DB de Yoast

Es un sencillo plugin, fácil de instalar que nos ayuda a limpiar desde wordpress la base datos, sin necesidad de entrar en phpMyAdmin dentro de nuestro servidor, se instala como todos los plugins, se va a la web del plugin:

Optimize DB de Yoast

Y se instala, nos muestra las tablas que guardan datos viejos u obsoletos, se le da a optimizar la base datos y hace su trabajo.

La tabla wp-options es donde se suele guardar mas basura o datos inservibles, alli los plugins instalados y desinstalados dejan datos, que al no usar estos plugins son totalmente inservibles, además de de la tabla wp-comments que también deja mucha basura inservible, no sirve solo con borrar el spam y los comentarios que no queremos publicar, hay que vaciar periodicamente estas tablas, este plugin es un gran aliado para estas tareas.
Plugin WP-Optimize

Este plugin optimiza tambien la base datos, borra automaticamente las revisiones, comentarios y repara las tablas.

WP-Optimize
Limitar las revisiones de los post y páginas

WordPress sino se le dice nada guarda revisiones de los post y las páginas de años y años, esto puede ser un verdadero problema, tenemos revisiones de hace años que no nos hacen falta, la base datos se engorda y engorda con revisiones obsoletas, esto llega a duplicar con facilidad el tamaño de la base datos, muchas de estas revisiones son versiones viejísimas de nuestro wordpress, que probablemente halla sufrido varios cambios de temas y son maquetaciones antiquísimas que no las vamos a usar jamas ya, he encontrado revisiones de hace 4 años guardadas en webs, estos datos son basura que arrastramos.

Para ello podemos limitar el número de revisiones que nuestro wordpress guarde en la base datos, es tan sencillo como configurar el archivo wp-config para no almacenar tanta basura.
define(‘WP_POST_REVISIONS’, 5);

Con esta sencilla instrucción hemos limitado el número de revisiones que pueden ser guardadas, cada uno puede poner el número que desee guardar de revisiones.

Sino queremos guardar ninguna revisión en nuestra base de datos, podemos usar la siguiente instrucción en el wp-config.php
define(‘WP_POST_REVISIONS’, false);
Borrar las revisiones de las entradas y post antiguos

Si no hemos realizado esto desde el inicio y tenemos guardadas infinidad de revisiones en la base datos antiguas, tendremos que entrar en phpMyAdmin para borrar todas las antiguas, primero respaldaremos la base datos con una copia seguridad, muy importante, hacer la copia seguridad.

Luego nos loguearemos en nuestro panel de phpMyAdmin para poder proceder al borrado de estos datos, con esta sencilla instrucción borramos todas las revisiones y comenzamos de cero
DELETE FROM wp_posts WHERE post_type = “revision”;

Con estas instrucciones consiguiras mejorar sustancialmente el rendimiento de tu base datos, logrando mejorar la rápidez en la ejecución de tu sitio, además de mantener actualizada y libre de datos obsoletos tu base datos.

Es una parte importante el mantenimiento de la base datos, además de otras medidas para mejorar el rendimiento de la web, como cachear la base datos con memcached, sirviendo con mas rápidez y agilidad tus datos a las demandas de tus visitantes.
Deshacerte de los shortcodes fuera de uso

Se usan shortcodes en muchos temas y plugins, el problema viene cuando cambiamos de diseño o de plugin, tenemos diseminados shortcodes por todos los post y las páginas, editarlos a mano es un engorro, para borrarlos de un plumazo, si queremos borrar un shortcode llamado [shortcode-antiguo]
UPDATE wp_post SET post_content = replace(post_content, ‘[shortcode-antiguo]’, ” ) ;