Compruebe en este material a algunas prácticas que contribuirán a la seguridad de su cuenta WordPress:

1 Medidas de seguridad en la Conexión

✓ Haga una conexión segura

• Evite acceder a su cuenta WordPress en wifi abierto o público, en estas situaciones opte por conectarse a 3G/4G/ 5G de su celular;

• Preferentemente conéctese a través de cable;

• Si su conexión es a través dewifi, utilice uno de los siguientes protocolos de seguridad: WPA-2, WPA o WEP;

• Siempre cambie la contraseña estándar del enrutador por una contraseña compleja y segura;

• Si su conexión wifi está como WPS, desactívela.

✓ Evite navegar en un proxy gratuito o de pago

Todo el tráfico pasa a través de un servidor desconocido y algunos proxies se utilizan para espiar el tráfico que pasa a través de estos para robar datos privados.

✓ Mantenga su computadora y sistemas seguros

• Utilice un antivirus en su máquina y haga uso de un firewall actualizado, como también ejecute una exploración semanal completa en su máquina; 

• Mantenga su sistema operativo actualizado;

• No instale aplicaciones de origen sospechoso, como software gratuito, piratería, etc. Analice las recomendaciones observando las evaluaciones de las herramientas;

• No abra archivos adjuntos de correos electrónicos con remitentes desconocidos.

✓ Utilice SSL para cifrar datos

Instale un certificado SSL en su dominio, para que los datos se cifren al acceder a su sitio web.

2 Medidas de protección al Inicio de Sesión de WordPress

✓ No utilice el usuario administrador para acceder a WordPress

La instalación predeterminada de WordPress viene con el usuario llamado "admr.". Si ese es el nombre de usuario de su sitio web WordPress, significará que su sitio será vulnerable a ataques de hackers - el usuario "admr." debe evitarse siempre.

✓ Cambie el enlace de la página de inicio de sesión de WordPress y utilice una contraseña segura

• Para contribuir a la seguridad de su sitio web en WordPress personalice la URL predeterminada de la página de inicio de sesión "/wp-admin" 

• Use una contraseña segura que contenga letras mayúsculas, minúsculas, números y caracteres especiales (-,*,:@, # y etc.) y que tenga una longitud de 12 o más caracteres.

• Cambie su contraseña cada 30 días, utilice el plugin Expire Passwords

• Evite usar variaciones de su nombre, su empresa, su sitio web, etc.

✓ Oculte mensajes de error de acceso al iniciar sesión

• Los mensajes de error de inicio de sesión pueden inducir al hacker a saber cuando un nombre de usuario es correcto/incorrecto - facilitando la invasión;

• Para ocultar mensajes de error de inicio de sesión, introduzca el siguiente código en funcions.php

add_filter( 'login_errors', '__return_false' );

✓ Limite los intentos de acceso

• Instale el plugin Loginizer para evitar intentos masivos de acceso;

• Use unCaptcha para evitar el acceso de máquinas automáticas, puede solicitar reCaptcha de Google o,también, utilizar el plugin All In One WP Security & Firewall

3 Medidas de seguridad en carpetas y archivos

✓ Mantenga el directorio wp-admin protegido

Mantenga la carpeta "wp-admin" protegida a través de un usuario y contraseña, añadiendo una capa adicional de protección. Hay algunas formas de hacerlo:

• Instalando el plugin HTTP Auth de WordPress

• O, si tiene acceso a cPanel, es posible realizar el procedimiento del material ¿Cómo proteger directorios con contraseñas?

✓ Proteja los archivos y carpetas des u WordPress

Exponer los directorios y archivos, haciéndolos accesibles al público, hace que el sitio web sea vulnerable a las invasiones.  

Asegúrese de que los directorios estén bien protegidos, escriba la siguiente URL en la barra de búsqueda de su navegador (reemplace "sudominio.com" por su propio dominio):

http://www.tudominio.com/wp-includes/

• Si el enlace escrito apunta a una página en blanco o a la página de inicio del sitio web, ¡estará a salvo!

• Sin embargo,si el enlace se dirige a una página similar a la siguiente, significará que o su sitio webno estará seguro:

✓ Desactive XMLRPC

XMLRPC enWordPress s un punto de entrada de ataque común, por lo que, es necesario deshabilitarlo cuando su sitio web no requiere XMLRPC.

Puede restringir el terminal XMLRPC a ciertas IPs. Si es necesario, utilice:

Apache

<Files xmlrpc.php>
orderdeny,allow
allowfrom 192.0.64.0/18
denyfromall
</Files>

Nginx

location = /xmlrpc.php {
allow 192.0.64.0/18;
denyall;
access_log off;
}

4 Medidas de seguridad al utilizar Plugins

✓ Use plugins y temas oficiales (wordpress.org)

No utilice plugins y temas de redes P2P o eMule, administrador de descargas, etc., ya que es muy probable que estén infectados por virus y malware.  

✓ Instale plugins de seguridad

• Verificación de archivos básicos: WordFence (inglés);

• Corrección de fallas comunes y fortalecimiento de credenciales del usuario: iThemes Security (inglés);

• Verificación de malware: BulletProof Security (inglés)

✓ Actualice los plugins instalados y temas

• WordPress advierte sobre las actualizaciones, sin embargo, si su plugin no está en el directorio oficial, WordPress no podrá identificar automáticamente las actualizaciones disponibles;

• Desinstale pluginsy temas que no usa;

• Busque usar pluginsy temas recientes.

5 Medidas extras de seguridad

✓ Evite el registro de usuarios

• Desactive la casilla de verificación "Cualquiera puede registrarse"  (Situada en Configuración, en la pestaña General de su cuenta de WordPress);

• Si necesita permitir los registros de usuarios enWordPress, busque usarplugins como WangGuard para detectar y eliminar amenazas de spam y malwares. 

✓ No use el prefijo wp_ para la base de datos

El prefijo estándar ofrecido es wp_, lo que hace que sea más fácil para los usuarios malintencionados planear un ataque masivo. Si ya tiene instalado de esta forma, hay como cambiar el prefijo con el plugin Change DB Prefix (Realice una copia de seguridad de su base de datos antes de hacer cualquier cambio).  

✓ Añada los encabezados x-content-type, x-frame-opcionesy x-xss-protection

La adición de encabezados de seguridad HTTP añadirá una capa de seguridad adicional al sitio web, colaborando para reducir los ataques. Los encabezados indicarán al navegador que se comporte en una determinada dirección definida en los encabezados.

✓ Realice copias de seguridad periódicas y automatizados

Mantenga respaldo de las copias de seguridad de los archivos del sitio web creado en WordPress, esta acción de prevención evita la pérdida de archivos en caso de una invasión - ya que todavía tendrá los archivos de respaldo limpios para revertir.  

✓ Verifique una integración de WordPress en Google Console

Acceda a Search Console de Google y busque su dominio con la instalación de WordPress;