Proteja su sitio de WordPress de futuros ataques

Actualizar software obsoleto

El software obsoleto es una de las principales causas de infecciones. Esto incluye la versión de WordPress, complementos, temas y cualquier otra pieza de software instalada en el sitio. Los autores de complementos y temas lanzan a menudo parches de vulnerabilidades críticas, y es fundamental mantenerse al día con las últimas actualizaciones.

Actualice todo el software en su servidor (es decir, Apache, cPanel, PHP) para asegurarse de que no falten parches de seguridad. Esto incluye:

Complementos desactualizados
temas obsoletos
versión apache
versión PHP
Versión WHM/cPanel
Versión de WordPress

Es aconsejable reinstalar todos los complementos y extensiones después de un ataque para asegurarse de que funcionen y no contengan malware residual.

Cómo actualizar el software desactualizado a través del Panel de WordPress:

Inicie sesión en su panel de WordPress y coloque el cursor sobre Panel en la parte superior izquierda, luego seleccione Actualizaciones .
Actualice todos los complementos y temas.
Actualice su versión de WordPress, si corresponde.
Puede reinstalar la versión de WordPress desde esta página para reemplazar todos los archivos principales si es necesario.

Cómo actualizar complementos y temas manualmente:

Inicie sesión en su servidor a través de SFTP o SSH.
Elimine y reemplace manualmente complementos y temas con copias de fuentes oficiales.
Inicie sesión en WordPress como administrador y haga clic en Panel de control > Actualizaciones .
Aplicar las actualizaciones que faltan.
Abre tu sitio web para verificar que esté operativo.

Eliminar software no utilizado

Ordene su entorno eliminando cualquier pieza de software que no esté en uso. Esto crea menos puntos de entrada para los atacantes y mantiene las cosas limpias y ordenadas.

Antes de eliminar cualquier elemento, asegúrese de eliminar el software que no es necesario para la funcionalidad de su sitio web. Asegúrese de tener una copia de seguridad en funcionamiento desde la que pueda restaurar antes de eliminar cualquier software no utilizado.

Revise y elimine lo siguiente:

Complementos no utilizados
Temas no utilizados
Herramientas de gestión de bases de datos.

Cambiar contraseñas de usuario

Es fundamental que cambie las contraseñas de todos los puntos de acceso a su sitio de WordPress. Esto incluye cuentas de usuario de WordPress, FTP/SFTP, SSH, cPanel y su base de datos.

Debe reducir la cantidad de cuentas de administrador para todos sus sistemas al mínimo absoluto. Practique el concepto de privilegio mínimo. Solo dé a las personas el acceso que necesitan para hacer el trabajo que necesitan durante el tiempo que lo necesitan.

Generar nuevas claves secretas

Una vez que se restablecen las contraseñas, puede obligar a todos los usuarios a cerrar la sesión con nuestro complemento. WordPress utiliza cookies del navegador para mantener activas las sesiones de los usuarios durante dos semanas. Si un atacante tiene una cookie de sesión, conservará el acceso al sitio web incluso después de restablecer la contraseña. Para solucionar esto, recomendamos obligar a los usuarios activos a desactivar las claves secretas de WordPress.

Cómo generar nuevas claves secretas en el archivo wp-config.php usando Sucuri:

Abra el archivo wp-config.php de WordPress.
Agregue un valor de más de 60 caracteres únicos para cada clave y sal.
Puede utilizar un generador de claves secretas.
Guarde el archivo wp-config.php .

Fortalezca su sitio de WordPress

Reforzar un servidor o una aplicación significa tomar medidas para reducir la superficie de ataque o los puntos de entrada para los atacantes.

Hay innumerables formas de fortalecer su sitio web. Aquí hay algunas recomendaciones para proteger y defender mejor su sitio.

Reducir el número de puntos de entrada:

Solo permita que el público acceda a partes de su sitio web que estén destinadas al uso público. Deniegue la entrada a todas las demás secciones de su sitio con reglas de configuración del servidor o un firewall de aplicaciones web.

Mantenga su sitio web y servidor actualizados:

El software obsoleto es una de las principales causas de infección y reinfección. Asegúrese de estar al tanto de las actualizaciones de software y servidor para proteger mejor su sitio.

Use contraseñas seguras y autenticación multifactor:

Use contraseñas largas, seguras y aleatorias para FTP y acceso administrativo. Restrinja el acceso a los paneles administrativos al requerir autenticación multifactor.

Aísle su sitio web

La contaminación cruzada es una de las principales causas de infecciones y reinfecciones. Recomendamos aislar cada sitio web en su propio plan de alojamiento para evitar la propagación de malware. Solo se necesita una contraseña de administrador comprometida para infectar cada sitio si está alojado en el mismo plan de alojamiento.

Para minimizar las posibilidades de contaminación cruzada, siga los pasos a continuación:

Copia de seguridad y eliminar sitios web no utilizados.
Migre cada sitio web a su propio plan de alojamiento aislado.
Utilice un usuario dedicado para cada sitio web. Esto permite que solo el usuario dedicado acceda, modifique y elimine archivos del sitio al que está asignado.

También puede revisar nuestro artículo de pasos básicos de endurecimiento con más detalle. Algunos aspectos destacados de este artículo incluyen la implementación de lo siguiente:

Autenticación multifactor del tablero de WordPress (2FA)
Restricción de acceso a la IP del panel de control de WordPress
Límite de inicios de sesión en el panel de WordPress

Hay innumerables formas de fortalecer WordPress según sus necesidades. Recomendamos revisar el Codex de WordPress si desea investigar métodos adicionales de endurecimiento. Consulte la sección Firewall de sitios web a continuación para obtener más información sobre cómo ofrecemos parches y refuerzos virtuales.

Establezca copias de seguridad para su sitio de WordPress

Las copias de seguridad funcionan como una red de seguridad. Ahora que su sitio de WordPress está limpio y ha tomado algunos pasos importantes posteriores al hackeo, ¡haga una copia de seguridad! Tener una buena estrategia de respaldo es el núcleo de una buena postura de seguridad.

Aquí hay algunos consejos para ayudarlo con las copias de seguridad de WordPress:

Ubicación

Guarde sus copias de seguridad en una ubicación fuera del sitio. Nunca almacene copias de seguridad o versiones antiguas en su servidor, ya que pueden utilizarse como puntos de entrada para los atacantes si no se mantienen adecuadamente. Es importante seguir trabajando en las copias de seguridad en muchas ubicaciones diferentes, ya que nunca se sabe qué puede salir mal.
Automático

Su solución de copia de seguridad debe ejecutarse automáticamente con una frecuencia que se adapte a las necesidades de su sitio web. Por ejemplo, si su sitio web es un sitio basado en noticias que se actualiza con frecuencia, sus copias de seguridad también deben ejecutarse con frecuencia.
Redundancia

Esta es una estrategia utilizada para garantizar que haya copias de seguridad de emergencia de datos críticos si ocurriera algo catastrófico. Asegúrese de tener copias de seguridad que funcionen y luego haga copias de esas copias de seguridad que funcionan.
Pruebas

Asegúrese de que sus copias de seguridad estén libres de malware y funcionen si necesita restaurarlas. No confíe en las copias de seguridad a menos que hayan sido probadas primero.
Tipos de archivo

Algunas soluciones de respaldo excluyen ciertos tipos de archivos, como videos y archivos, ya que pueden ser grandes. Asegúrese de que todo esté incluido en su copia de seguridad una vez realizada.

Escanee su computadora

Haga que todos los usuarios de WordPress ejecuten un análisis con un programa antivirus de buena reputación en sus sistemas operativos.

WordPress puede verse comprometido si un usuario con una computadora infectada tiene acceso al tablero. Algunas infecciones están diseñadas para pasar de una computadora a editores de texto o clientes FTP.

Programas antivirus de pago:

Utilice un cortafuegos de sitio web

El número de vulnerabilidades explotadas por los atacantes crece cada día. Tratar de mantenerse al día es un desafío para los administradores. Los firewalls de sitios web se inventaron para proporcionar un sistema de defensa perimetral que rodea su sitio de WordPress.

Beneficios de usar un firewall de sitio web:

Prevenir un futuro hackeo

Al detectar y detener los métodos y comportamientos de piratería conocidos, el firewall de un sitio web puede mantener su sitio protegido contra futuros ataques.
Actualización de seguridad virtual

Los piratas informáticos explotan rápidamente las vulnerabilidades en complementos y temas, y siempre surgen vulnerabilidades desconocidas (llamadas vulnerabilidades de día cero ). Un buen firewall de sitio web reparará los agujeros en el software de su sitio web, incluso si no ha aplicado actualizaciones de seguridad.
Bloquear ataques de fuerza bruta

El cortafuegos de un sitio web debe evitar que cualquier persona acceda a su página de wp-admin o wp-login si no se supone que deben estar allí, asegurándose de que no puedan usar la automatización de fuerza bruta para adivinar su contraseña. Se utilizan múltiples funciones para ayudar a prevenir ataques de fuerza bruta , como: retrasos de tiempo, limitación de intentos de inicio de sesión, bloqueo de direcciones IP y más.
Mitigar los ataques DDoS

Los ataques de denegación de servicio distribuido intentan sobrecargar los recursos de su servidor o aplicación. Al detectar y bloquear todo tipo de ataques DDoS , un firewall de sitio web se asegura de que su sitio esté disponible si está siendo atacado con un alto volumen de visitas falsas.
Optimización del rendimiento

La mayoría de los WAF ofrecerán almacenamiento en caché para una velocidad de página global más rápida . Esto mantiene felices a sus visitantes y se ha demostrado que reduce las tasas de rebote al tiempo que mejora la participación en el sitio web, las conversiones y las clasificaciones en los motores de búsqueda.