WordPress mueve una parte enorme de la web, y eso lo convierte en el objetivo más rentable para los ataques automáticos. La buena noticia es que la mayoría de esos ataques son genéricos: con unas pocas medidas dejas de estar entre los fáciles.
Lo que más protege, y es lo más aburrido: actualizar
La inmensa mayoría de las webs comprometidas lo son por un plugin desactualizado, no por un ataque sofisticado. Actualiza el núcleo, la plantilla y los plugins. En WP Toolkit puedes dejar las actualizaciones de seguridad automáticas y seguir revisando las grandes a mano.
Quita lo que no usas
Un plugin desactivado sigue estando en el disco y puede seguir siendo explotable. Si no lo usas, bórralo. Lo mismo con las plantillas: deja la que usas y una por defecto.
El usuario «admin» y el acceso
- No uses
admincomo nombre de usuario: es el primero que prueban. - Que cada persona tenga su cuenta con el rol mínimo que necesite. Quien solo escribe no necesita ser administrador.
- Contraseña larga y única, y doble factor si tu plugin de seguridad lo permite.
Que no se pueda escribir donde no toca
Permisos 755 en carpetas y 644 en archivos. Si alguien te dice que pongas 777 para arreglar algo, desconfía: eso deja el archivo abierto a cualquiera y es la puerta favorita de los ataques.
Aprovecha lo que ya tienes en el hosting
- Certificado SSL activo y la web forzada a https.
- Imunify, que detecta y bloquea patrones de ataque conocidos.
- Firewall de aplicaciones web, en el panel del dominio.
- Copias, con 30 días de retención, que es tu red de seguridad real.
- La versión de PHP al día: además de más rápida, sigue recibiendo parches. Cómo cambiarla.
Y si ya te ha pasado
Cambia todas las contraseñas —WordPress, FTP, base de datos y panel—, restaura una copia anterior al problema y solo entonces actualiza todo. Restaurar sin cambiar contraseñas suele acabar en una segunda infección a los pocos días.
Basado en la información divulgativa del INCIBE, reescrito por el equipo de Netebu.