Medidas de seguridad en la conexión
Conexión segura:
- Evita acceder tu cuenta de WordPress en WI-FI pública, en situaciones así, lo mejor es utilizar la conexión 3G/4G del móvil.
- Dar preferencia a las conexiones por cable.
- Si la conexión es vía WI-FI, utiliza unos de los siguientes protocolos de seguridad: WPA-2, WPA o WEP.
- Cambiar con cierta regularidad la contraseña del router por una que sea compleja y segura.
- Si la conexión WI-FI está como WPS debes desactivarla.
Evita navegar con proxy gratuito o de pago:
Todo el tráfico pasa por un servidor desconocido, y algunos proxies son utilizados para espiar el tráfico que pasa por ellos para robar datos privados.
Mantén tu ordenador y los sistemas seguros
- Utiliza antivirus en tu PC y haz uso de un firewall actualizado, así como una limpieza semana completa en tu ordenador.
- Mantén su sistema operativo actualizado.
- No instales aplicaciones de origen desconocido, tales como softwares gratuitos, piratas, etc. Haz una búsqueda de las recomendaciones observando siempre las valoraciones de las herramientas.
- No abras archivos adjuntos de emails desconocidos/sospechosos.
Utiliza SSL para criptografiar datos
Instala un certificado SSL en tu dominio, para que los datos sean criptografiados al acceder a tu página web.
Medidas de protección del login de WordPress
No utilices el usuario administrador para acceder a tu WordPress
La instalación de WP por defecto tiene el usuario «admin», y si no lo cambias con cierta regularidad, dejarás tu sitio web vulnerable a ataques, ya que será mucho mas fácil descifrar la contraseña.
Altera el link de la página de login de tu WordPress y use una contraseña segura
- Para contribuir con la seguridad de tu sitio WP, personaliza la URL por defecto de la página de login «/wp-admin».
- Usa una contraseña segura que contenga letras mayúsculas, minúsculas, números y caracteres especiales (-, *, @, #, etc), y que contenga por lo menos 12 caracteres.
- Modifica tu contraseña a cada 30 días, para ello puedes utilizar el plugin «Expire Passwords».
- Jamás utilices variaciones de tu nombre, de tu empresa, site, fechas, etc.
Oculta los mensajes de error en el login
- Los mensajes de error pueden inducir al hacker a saber cuando el nombre de usuario esta correcto/incorrecto, facilitando así la invasión.
- Para ocultar mensajes de error de login, insira el siguiente código en funcions.php
add_filter( 'login_errors', '__return_false' );
Límite de intentos de acceso
- Instala el plugin Loginizer para evitar intentos masivos de acceso.
- Usa un Captcha para evitar el acceso de máquinas automáticas, podrás solicitar reCaptcha de Google o utilizar un plugin como puede ser All In One WP Security & Firewall.
Medidas de seguridad en carpetas y archivos
Mantén el directorio wp-admin protegido
Mantener la carpeta «wp-admin» protegida a través de un usuario y contraseña, añadiendo una capa extra de protección.
- Instala el plugin HTTP Auth do WordPress .
Proteje los archivos y carpetas de tu WordPress
- Exponer los directorios y archivos, dejándolo accesible al público, hace que tu website sea vulnerable a las invasiones.
- Verifica si los directorios están bien protegidos, para ello puedes escribir la siguiente URL en la barra de búsqueda de tu navegador.
http://www.tudominio.com/wp-includes/
- Si el link te direcciona a una página en blanco o para la página inicial de tu web, ¡estarás seguro!
- Sin embargo, si te direcciona a una página semejante a la imagen abajo, significa que tu web no está segura:
Instala plugins de seguridad
- Para la verificación de archivos básicos.
- Corrección de fallos comunes y fortalecimiento de las credenciales de usuario.
- Verificación de malwares.
Actualiza los plugins y temas instalados
- WP avisa sobre las actualizaciones, si tu plugin no está en el directorio oficial, WP no podrá identificar automáticamente las actualizaciones disponibles.
- Desinstala plugins y temas que no uses.
- Procura usar plugins y temas recientes, con buenas valoraciones y actualizados con regularidad.
Medidas extras de seguridad
Evita el registro de usuarios
- Desactiva la opción «Cualquiera puede registrarse» (ubicado en ajustes → general).
- En el caso de resultar necesario permitir el registro de usuarios en tu WP, puedes utilizar plugins para detectar y eliminar amenazas de spam y malwares.
No utilices el prefijo wp_ para la base de datos
Dicho prefijo hace que sea más fácil que usuarios mal intencionados puedan hacer un ataque masivo. En el caso de tenerlo así, se puede utilizar un plugin para cambiarlo (haz un backup de la base de datos antes de hacer cualquier alteración).
Realiza backups periódicos y automatizados
Mantén las 3 últimas copias de seguridad de tu WP, esa acción de prevención evita la perdida de archivos, en el caso de que haya una invasión, ya que tendrás archivos de backup limpios para restablecer.
