Seguridad en wordpress archivos

Principales vulnerabilidades de WordPress

https://seguridad.prestigia.es/wp-content/uploads/2021/09/vulnerabilidades-wordpress-prestigia-seguridad.png 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2021/09/vulnerabilidades-wordpress-prestigia-seguridad.png 5 octubre, 2021 8 diciembre, 2021

5 octubre, 2021

WordPress es el CMS más popular en Internet, pero, en consecuencia, también es el más atacado. Por ejemplo, en 2020, el 90% de los sitios web hackeados estaban alojados en WordPress, lo que equivale a alrededor de 90.000 ataques por minuto.

Es imposible cuantificar la cantidad de amenazas diarias que pueden afectar a tu compañía o pyme. Sin embargo, hay un numero de vulnerabilidades específicas de WordPress que vale la pena reconocer y comprender. Muchas de estas vulnerabilidades también están interrelacionadas, por lo que estar preparado para un problema puede protegerlo de otro, como por ejemplo instalar sistemas de detección de intrusiones, tal y como comentamos hace poco tiempo.

En este artículo, repasaremos varios problemas de seguridad y vulnerabilidad de WordPress, por qué afectan a los sitios de WordPress y los pasos que puedes seguir para asegurarte de que no te veas afectado y te sientas seguro al usar WordPress como su CMS principal.

Cuales son las principales vulnerabilidades de WordPress

Algunas de estas correcciones son fáciles de aplicar, mientras que otras requieren conocimientos básicos de programación, te detallamos algunas vulnerabilidades a continuación:

Inicios de sesión no autorizados: Los inicios de sesión no autorizados se realizan normalmente mediante ataques de fuerza bruta. En un inicio de sesión de fuerza bruta, el atacante utiliza un bot para ejecutar rápidamente miles de millones de posibles combinaciones de nombre de usuario y contraseña con el fin de obtener el acceso legitimo.
Software desactualizado: Los desarrolladores de WordPress implementan actualizaciones cada tres meses aproximadamente. Te recomendamos encarecidamente que todos los usuarios de WordPress descarguen estas actualizaciones cuando estén disponibles. Cuando este software principal no se actualiza, deja tu sitio WordPress expuesto a potenciales vulnerabilidades.
Cross-Site Scripting (XSS): Cross-Site Scripting (XSS) ocurre cuando un atacante inyecta un código JavaScript en el código del sitio web afectado. Los ataques de tipo XSS son similares a las inyecciones de bases de datos en el sentido de que los atacantes intentan plantar código que se ejecuta en sus archivos, pero XSS se ejecuta directamente en el explorador del usuario que visita la web.
Inyecciones SQL: Durante una inyección SQL, un atacante obtiene la capacidad de ver y modificar directamente la base de datos de tu sitio. Los atacantes pueden usar sentencias SQL para crear nuevas cuentas en tu sitio, agregar enlaces y contenido no autorizado, y filtrar, editar y eliminar datos.
Ataques de denegación de servicio: Un ataque de denegación de servicio (DoS) tiene como objetivo impedir que los administradores y visitantes del sitio accedan a un sitio web. Esto se hace enviando una cantidad ingente de tráfico a un servidor destino que se bloquea, impidiendo el acceso a cualquier usuario de Internet.

Mitigación para vulnerabilidades WordPress

A continuación, te damos algunas ideas para mitigar y minimizar los intentos de ataque a tu sistema WordPress:

Limitar los intentos de inicio de sesión.
Forzar contraseñas seguras.
Autenticación de dos factores.
Cambiar la ruta URL predeterminada para la página de administración.
Instalar un complemento de seguridad de WordPress.
Actualizar plugins, software y sistema operativo.
Realizar auditorias de seguridad de forma periódica.

En conclusión, tu sitio web nunca estará 100% libre de vulnerabilidades de WordPress. La ciberseguridad es un proceso continuo y en evolución, lo que significa que debes vigilar constantemente la seguridad en general de tu sitio web, se trata de convertirse en un objetivo lo más duro posible para los ciberdelincuentes.

En vuestra empresa, ¿utilizáis como gestor de contenido WordPress? ¿realizáis auditorias de seguridad o vuestros equipos están al tanto de este tipo de vulnerabilidades? Desde Prestigia Seguridad, nuestros expertos están especializados en test de intrusión, análisis de malware y respuesta a incidentes, no dudes en contactar con nosotros para informarte.

Que es el Threat Hunting

https://seguridad.prestigia.es/wp-content/uploads/2020/10/threat-hunting-prestigia-seguridad.png 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2020/10/threat-hunting-prestigia-seguridad.png 15 diciembre, 2020 16 diciembre, 2020

15 diciembre, 2020

El Threat Hunting (caza de amenazas) es la práctica de buscar de forma proactiva ciber amenazas que acechan, sin ser detectadas en una red. El Threat Hunting profundiza, para encontrar actores maliciosos en el entorno, que hayan conseguido superar las defensas de seguridad iniciales de su compañía.

Después de acceder ilegítimamente a tu empresa, un atacante puede permanecer sigilosamente en la red durante meses mientras recopila datos, busca material confidencial u obtiene credenciales de inicio de sesión que le permitirán moverse lateralmente por el entorno.

Una vez que un atacante logra evadir la detección y este ha penetrado las defensas de una organización, muchas organizaciones carecen de las capacidades de detección avanzadas necesarias para evitar que las amenazas persistentes avanzadas (APT) permanezcan en la red. Es por eso que, el Threat Hunting es un componente esencial de cualquier estrategia de ciber defensa avanzada.

Como se realiza el Threat Hunting

En lugar de intentar infiltrarse en el entorno desde el exterior, como sucede durante los test de intrusión (pentest), los Threat Hunters trabajan con la suposición de que los adversarios ya están en el sistema. Analizan cuidadosamente todo el entorno, utilizan análisis de comportamiento y un enfoque basado en hipótesis, para encontrar un comportamiento inusual que pueda indicar la presencia de actividad maliciosa.

Los Threat Hunters trabajan con una gran cantidad de capacidades tecnicas y herramientas para rastrear a los atacantes e identificar actividades sospechosas. Algunas de las herramientas y soluciones más comunes que aprovechan los Threat Hunters incluyen:

Monitorización basada en la red: monitoreando los puertos de escucha de los sistemas conectados a Internet, los Threat Hunters pueden monitorear el tráfico, así como revisar las grabaciones de sesiones de paquetes, buscando tráfico saliente inusual, geografías de comunicación anormales, cantidades irregulares de datos entrantes o salientes, etc.
Monitorización de sistemas: los cambios en los sistemas de archivos y el registro de Windows son dos lugares donde los analistas pueden encontrar configuraciones y contenido anómalos. El análisis de los valores del registro y el seguimiento de los cambios realizados en los sistemas de archivos son actividades habituales de búsqueda de amenazas, para analizar que por ejemplo que nuestro equipo no pertenezca ya a una botnet.
Monitorización de los sistemas de autenticación: monitorear o revisar el inicio de sesión (o intento de inicio de sesión) de cuentas privilegiadas en endpoints, servidores y servicios puede ser útil para que un Threat Hunter siga el rastro utilizado por un atacante para identificar qué cuentas han sido comprometidas ser remediado.

Conclusiones sobre la implementación

El arte del Threat Hunting puede aportar un valor significativo a una estrategia de ciberseguridad. Basado en la simple premisa de que ningún sistema es 100% seguro, un Threat Hunter experimentado puede detectar y prevenir de manera proactiva incluso al atacante más sofisticado y experto.

Como era de esperar, crear un programa eficaz de búsqueda de amenazas requerirá cierto esfuerzo: es esencial contar con los profesionales adecuados y las herramientas necesarias antes de comprometerse con una estrategia específica. Un buen enfoque es primero definir qué nivel de madurez proporcionará a la empresa valor real, confirmar si los recursos existentes son suficientes y crear la combinación adecuada de profesionales experimentados, herramientas de recopilación / procesamiento de datos e inteligencia procesable. Y tu ¿conocías este tipo de servicios? ¿alguna vez te has planteado que los analistas hagan este tipo de hipótesis para mejorar tu seguridad?

Por último, desde Prestigia Seguridad, ofrecemos servicios de ciberseguridad, desde servicios de anti-phishing para concienciar o análisis de Threat Hunting para mejorar tu seguridad, no dudes en consultarnos para los servicios que puedan proteger a tu compañía de un ciberataque.

Los ataques más comunes en WordPress y cómo defenderse

https://seguridad.prestigia.es/wp-content/uploads/2020/03/ataques-comunes-wordpress.jpg 1020 680 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2020/03/ataques-comunes-wordpress.jpg 14 abril, 2020 11 marzo, 2020

14 abril, 2020

Es un hecho ampliamente conocido que WordPress domina la escena mundial del Sistema de Gestión de Contenido (CMS). La cantidad de sitios web que se ejecutan en WordPress supera con creces a los de su competencia, totalizando aproximadamente un tercio de todos los sitios conocidos.

WordPress es, desafortunadamente, el ganador indiscutible también en términos de ataques, donde incluso nosotros hemos reportado vulnerabilidades. Recientes investigaciones revelan que, en WordPress, un 90% de los usuarios solicitan limpiezas de malware (mientras que solo el 4% de los usuarios de Joomla o Magento lo hacen).

WordPress toma la mayor parte del peligro, pero, ¿qué tipos de ataques son los más comunes? conocer más sobre los tipos de ciberataques más utilizados, puede ayudar a los usuarios de sitios web de WordPress a prepararse para ellos.

Ataques comunes a WordPress

Con ese fin, echemos un vistazo a los ataques de WordPress más comunes en 2020, así como a protegerse contra ellos:

Cross-Site Scripting: El ataque Cross-Site Scripting (XSS para abreviar) es un ataque de inyección en el que los atacantes insertan código malicioso en un sitio web. Una vez que esa pieza de código maliciosa se encuentra en el sitio web, se puede usar de varias maneras. El hacker puede tomar las cookies de sesión y hacerse pasar por un usuario, acceder a API que se conecta a otras aplicaciones, propagar malware y más. Dicho esto, se aprovecha más comúnmente para redirigir a los usuarios a sitios web donde el atacante puede robar sus datos.
Inyección SQL: Al igual que un ataque XSS, la inyección de SQL implica la inserción de una cadena de código malicioso en un sitio web. El atacante lo hace al agrupar consultas hacia la base de datos, aprovechando parámetros vulnerables. La diferencia entre los dos, radica en la utilidad, XSS encuentra su propósito en enviar usuarios involuntarios a sitios web maliciosos, mientras tanto, un ataque de inyección SQL tenderá a apuntar a la base de datos del sitio web objetivo, permitiendo modificaciones y acceso no autorizado a los datos.
Ataques de Fuerza bruta: Para los atacantes que se esfuerzan por encontrar tu nombre de usuario y contraseña, los ataques de fuerza bruta son una herramienta bastante útil. Es una idea bastante sencilla, simplemente intentar averiguar el usuario y contraseña correcto a través de prueba y error hasta que lo haga correctamente. Como puedes esperar, este método requiere miles de intentos para obtener resultados, como tratar de adivinar una palabra en la que alguien está pensando revisando cada palabra que existe y, naturalmente, los atacantes utilizan programas para hacer este proceso mucho más rápido, pero aun así lleva mucho tiempo.

Denegación de Servicio: Una táctica de los cibercriminales muy común, es un ataque DDoS (denegación de servicio distribuida) y sirve para poner tu sitio web fuera de servicio temporalmente. El plan es enviar tanto tráfico que tu sitio no pueda atender todas las solicitudes que recibe, interrumpiendo el servicio. El atacante emplea un grupo (a veces masivo) de equipos infectados de malware (denominado botnet) para lograr esto. Pueden llevar a cabo el ataque por una variedad de razones, que van desde financieras hasta simples derechos de fanfarronear en Internet.

Medidas a tomar para evitar que tu WordPress sea atacado

Mantener tu sitio web de WordPress seguro no es una tarea compleja, todo comienza con una comprensión de cómo funcionan ciertos ataques y qué puedes hacer para evitarlos. La publicación anterior debería ser más que suficiente para preparar tu sitio web WordPress, aunque también recomendamos nuestro post sobre la importancia de tener nuestros plugins actualizados.

Por último, desde Prestigia Seguridad, somos especialistas en Seguridad en sistemas WordPress, ofrecemos servicios de hacking ético a tus sistemas para protegerlos y consultoria a pymes en seguridad, no dudes en preguntarnos para saber los servicios que puedan proteger a tu compañía de un ciberataque.

CVE Prestigia Seguridad plugin wordpress

Publicamos una vulnerabilidad en un plugin de WordPress con identificador CVE-2019-14467

https://seguridad.prestigia.es/wp-content/uploads/2019/12/CVE-Prestigia-Seguridad.png 885 520 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2019/12/CVE-Prestigia-Seguridad.png 9 diciembre, 2019 9 diciembre, 2019

9 diciembre, 2019

Estimados lectores,

El equipo de investigación de Prestigia Seguridad publica un nuevo 0day en un plugin de WordPress con identificador CVE -2019-14467.

Tras detectar la vulnerabilidad en el plugin afectado, WordPress Social Photo Gallery en su version 1.0, el equipo lo notifico a MITRE el cual asigno un identificador CVE. Un CVE identifica una vulnerabilidad de forma univoca, como en este caso hemos visto, afectando al citado plugin de WordPress con una vulnerabilidad de ejecucion remota de codigo.

Esta vulnerabilidad permite a un atacante potencial ejecutar comandos del sistema operativo.

El riesgo que representan estos ataques, podría resultar en una modificación pública de la página web, fuga de datos confidenciales y un compromiso del servidor o de la base de datos. Los sistemas podrían ser comprometerlos por completo.

La agencia Estadounidense NIST e INCIBE en España han publicado los detalles y toda la información en los siguientes enlaces:

Dear readers,

The team of the Prestigia Seguridad has reported a new vulnerability in a WordPress Plugin.

Identified as CVE-2019-14467, the vulnerable plugin is WordPress Social Photo Gallery 1.0.

This vulnerability is a Remote Code Execution, allowing a potential attacker to execute operating system commands.

The risk posed by these attacks could result in a public defacement, a confidential data leakage, and a database server compromise. Client systems can also be targeted, making it possible to compromise them completely.

The U.S. agency NIST and Incibe in Spain have published the details and all the information in the following links.

La importancia de actualizar los plugins para mantener tu Web

https://seguridad.prestigia.es/wp-content/uploads/2019/11/actualizar-plugins-seguridad-web-1024x692.png 1024 692 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2019/11/actualizar-plugins-seguridad-web-1024x692.png 19 noviembre, 2019 19 noviembre, 2019

19 noviembre, 2019

Actualizar los plugins y el CMS de tu página web es una de las tareas indispensables para mantenerla segura. Los ciberdelincuentes buscan frecuentemente vulnerabilidades de seguridad en plugins desactualizados, pues suelen ser la principal vía de ataques a páginas desarrolladas con WordPress.

Tras ser detectado un fallo en un plugin, los desarolladores, en la mayoria de las ocasiones, proceden a solventar la vulnerabilidad con el fin de mantener las webs que utilicen el plugin libre de fallos de seguridad.

Con las nuevas versiones, los desarrolladores de plugins buscan, entre otras, eliminar dichas vulnerabilidades de seguridad para mantener tu página web más segura.

Cómo actualizar los plugins

Tu CMS te avisa cuando debes actualizar los plugins, normalmente junto al número de plugins que hay que actualizar.

Una vez dentro, debes buscar cada uno de estos plugins, para proceder a la actualización. En este caso ponemos un ejemplo con iThemes Security, uno de los plugins mencionados en nuestro post Plugins de seguridad: qué son y cuáles son los mejores para WordPress.

Dentro de cada uno de los plugins a actualizar, encontramos un link para revisar los detalles de cada nueva versión y ver qué han mejorado los desarrolladores dentro de cada una de ellas.

En este ejemplo del plugin iThemes Security, podemos observar cómo se han fijado distintos bugs (errores de software) mediante la actualización.

Actualizar los plugins a veces puede suponer un pequeño dolor de cabeza. Puede causar la pérdida o desactualización de información, pequeñas modificaciones en el diseño, etc.

Para ello, siempre recomendamos:

Realizar copias de seguridad antes de hacer cualquier actualización. Uno de nuestros consejos para mejorar la ciberseguridad de tu pyme.
Utilizar un Child Theme.
Trabajar primero en un entorno de pruebas o desarrollo, así puedes observar cómo se integra la nueva versión de cualquier plugin en tu página web.
Descargar los plugins de la página web oficial, así evitarás que incorporen código malicioso inyectado.

Puede que al descargar plugins de las páginas oficiales de los desarrolladores y no de la página oficial de WordPress, no te aparezcan los mensajes de actualización directamente en el Backoffice de tu página web. Para ello debes estar constantemente pendiente de las notificaciones por parte de los desarrolladores, para actualizar los plugins de forma manual.

Para actualizar los plugins de forma manual, debemos hacerlo utilizando un cliente ftp, descargando la última actualización del plugin en la página oficial del desarrollador en formato ZIP y, lo descomprimimos para colgarlo en el directorio /plugins/.

Ataques a plugins desactualizados

Este pasado septiembre un grupo de hackers aprovechó la vulnerabilidad de unos diez plugins, para a través de código malicioso generar, en beneficio propio, administradores falsos en páginas web creadas con WordPress. Como nos cuenta Fernando Tellado en Ayudawp.com, los hackers esperaban a que los administradores accedieran a la página web, para poder crear un nuevo administrador automáticamente mediante el código malicioso insertado en los plugins.

En octubre, conocíamos el caso de Buggy, un malware que explotaba vulnerabilidades descubiertas recientemente de temas y plugins de WordPress. Este malware hacía la página web insegura, ya que al ser tan recientes, no se habían creado los parches para solucionar las vulnerabilidades.

Cuando antes hablábamos de descargar los plugins de páginas webs oficiales, lo hacíamos con la intención de evitar que incorporen código malicioso. Existen algunas páginas web creadas por ciberdelincuentes, que se dedican a subir plugins falsos muy parecidos a los originales, para que los descargues. Posteriormente, con estos plugins falsos, abres la puerta grande a los hackers, para que puedan hacer lo que quieran dentro de tu página web y sistemas.

Y tú, ¿Sueles actualizar los plugins?, ¿Has sufrido algún ciberataque por mantener desactualizado tu sitio web?, ¿Conocías los ataques a los que te expones a causa de no actualizar los plugins?

En nuestro post: Cómo pueden infectar nuestro WordPress, encontrarás consejos para saber qué hacer si hemos sido infectados.

Recuerda, en Prestigia Seguridad ofrecemos servicios de ciberseguridad para cada cliente, proyecto o negocio, ¡contáctanos para obtener información sin compromiso!

Cómo pueden infectar nuestro WordPress

https://seguridad.prestigia.es/wp-content/uploads/2019/07/Como-pueden-infectar-nuestro-Wordpress.jpg 750 450 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2019/07/Como-pueden-infectar-nuestro-Wordpress.jpg 10 julio, 2019 10 julio, 2019

10 julio, 2019

Recientes estudios indican que WordPress ha alcanzado una cuota de mercado de un 65% de uso en España y un 30% a nivel mundial.

El uso generalizado de este CMS (Content Management System) hace que cuando se detecta una vulnerabilidad en el “CORE” de la aplicación, tiemble Internet y sea utilizado para realizar ataques de DDoS (Distributed Denial of Service), Phishing, etc. Sin embargo, no debemos dejar otro punto de lado y estos son los plugins utilizados por el “CORE”, los cuales son el principal foco de ataque para intentar atacar este más que conocido CMS.

Es posible que en el momento menos esperado, nuestro dominio legítimo que utiliza WordPress aparezca indexado en buscadores como Google o Bing haciendo referencias a productos que quizá nada tuvieran que ver con nuestro contenido, podrían ser productos farmacéuticos o de otro tipo, el primero que comentamos el más usual. Además, es posible que Google catalogue nuestro sitio como fraudulento, creando un daño a nivel de reputación a la imagen de nuestra marca. En este post comentaremos qué ha podido ocurrir.

Tipos de infecciones

A continuación, vamos a focalizarnos en los tipos de infecciones que podrían afectar a nuestro sistema WordPress.

Usualmente, los atacantes al tener acceso ilegítimo a nuestro sistema WordPress, modifican el tema principal para realizar una redirección automática a un dominio externo, con lo cual, aunque accedamos a nuestra URL original, automáticamente seremos transferidos al dominio malicioso.

A continuación exponemos un ejemplo de un caso real de infección con una redirección a un sitio de venta de productos farmacéuticos proveniente de una URL de un sistema WordPress considerado confiable:

Además, otro tipo de ataque distinto, consistiría en el famoso minado de criptomonedas utilizando el explorador del usuario, el más utilizado es CoinHive. A raíz de esto, podríamos estar navegando tranquilamente por un sistema WordPress infectado que a priori parece legítimo, sin embargo, este habría sido infectado con librerías JavaScript maliciosas que utilizarían mediante nuestro explorador un consumo de CPU excesivo, utilizado para alimentar el minado de los atacantes. Con esto el atacante tendría una pequeña red de usuarios que realizarían el minado por él, cuyos beneficios irían a su cartera virtual en forma de Bitcoins por ejemplo o la famosa criptomoneda llamada Monero, las más utilizada en este tipo de ataques.

Por último, queremos reseñar un ataque muy usual que podrían aprovechar los atacantes con nuestro sistema WordPress infectado. Éste consistiría en crear directorios ocultos para crear páginas de Phishing. Normalmente este tipo de ataques son clonados de páginas de entidades bancarias o Paypal idénticas a las originales pero hospedadas en nuestro sistema infectado, con el fin de recopilar usuarios, passwords o incluso tarjetas de crédito de clientes.

El peligro de esta última infección podría incluso repercutir en acciones legales contra nosotros, al hospedar este tipo de páginas ilegales.

Mantener un WordPress seguro

Asegúrate siempre de que tu WordPress trabaja con la última versión disponible al igual que sus plugins, ya que eso te librará de un ataque de tipo 0-day.

También puedes seguir los consejos que ofrecíamos en este post sobre los plugins: cuales son los mejores plugins de seguridad para WordPress.

Qué hacer si hemos sido infectados

El CMS WordPress es lo suficientemente maduro hoy en día, teniendo un ratio mínimo de deficiencias de seguridad en su “CORE” en los últimos tiempos, si utilizas versiones actualizadas al igual que una correcta política de contraseñas, incluso con doble factor de autenticación. No deberían existir problemas a priori.

Si hemos detectado que nuestro sistema ha podido ser infectado, es posible utilizar el servicio web de diagnóstico de Google para verificar si hemos podido ser infectados y que no seamos penalizados en el SEO de Google o utilizar servicios públicos como Virustotal el cual utiliza varias fuentes para conocer si estado de nuestro sistema WordPress ha podido ser comprometido.

También, se recomienda analizar el equipo con aplicaciones Anti-Virus locales que permitan identificar ficheros potencialmente infectados, esto nos podrá ayudar a conocer los ficheros que deberemos restaurar al igual que conocer si su integridad ha sido modificada.

Aun así, en el momento que hayas sido infectado, no desesperes, puedes poner tu sistema WordPress en “modo mantenimiento” y solicitar el asesoramiento de profesionales de seguridad de la información para mediante técnicas de forense y hacking ético, conocer las deficiencias de seguridad que pudieran tener el sistema WordPress, de cara a restaurarlo a su estado original completamente seguro y fortificarlo.

Plugins de seguridad: qué son y cuáles son los mejores para WordPress

https://seguridad.prestigia.es/wp-content/uploads/2018/09/Wordpress-pluggins-seguridad-1024x546.jpg 1024 546 Prestigia Prestigia https://seguridad.prestigia.es/wp-content/uploads/2018/09/Wordpress-pluggins-seguridad-1024x546.jpg 13 septiembre, 2018 14 septiembre, 2018

13 septiembre, 2018

La semana pasada os hablamos en el blog sobre la importancia de tener en cuenta factores vinculados a la seguridad a la hora de escoger un hosting web. Una vez tu alojamiento es seguro, hay que poner el ojo en la seguridad del propio CMS. Para ello serán necesarias una serie de medidas de seguridad, como instalar los mejores plugins de seguridad.

Teniendo en cuenta que WordPress es el gestor de contenidos más usado a nivel mundial, hoy ponemos el foco en los plugins de seguridad para este CMS.

Los plugins son un elemento necesario y de un valor añadido para que la seguridad de tu web sea inquebrantable. Sin embargo, es muy importante recordar que un plugin sin actualizar es una fuente de riesgo. De hecho, suelen ser la principal vía de ataques a páginas desarrolladas con WordPress. Por lo tanto, el primer consejo en relación a cualquier plugin que tengas instalado en tu CMS es que lo tengas siempre actualizado.

Cabe matizar, sin embargo, que si el plugin que tienes instalado es de pago y no está activado, debes estar atento a las notificaciones del WordPress o en web del desarrollador porque habitualmente las actualizaciones no se realizan de forma automática.

5 plugins de seguridad gratis para tu WordPress

1. All in One WP Security & Firewall. Es uno de los más completos porque incluye firewall, antivirus y un auditor de seguridad. De esta forma, por ejemplo, protege los permisos de los ficheros, busca código malicioso o bloquear ataques de fuerza bruta, entre otros aspectos. Es 100% gratuito, pero dispone de una versión más completa de pago que mejora la detección y protección.

2. iThemes Security. Ofrece hasta 30 formas distintas de proteger tu página web de ataques y hackers que intentan acceder a tu web a través de cualquier error o agujero de seguridad. La versión de pago aumenta considerablemente las funcionalidades de autenticación, escaneo de ficheros y defensa de nuestro CMS.

3. Sucuri Security. Se encarga de realizar una auditoría y análisis de malware a fin de reforzar la seguridad del CMS, monitorización en blacklist de las conexiones, notificaciones de seguridad. La funcionalidad de Firewall solo se incluye en la versión premium.

4. BulletProof Security. Tiene versión gratis y de pago y aunque no es el plugin más fácil de usar, incluye muchas funcionalidades con alto nivel de protección. Cuenta con medidas anti spam, firewall y escáner de malware, entre otras.

5. WordFence. Con más de 2 millones de instalaciones, es el plugin más utilizado por la comunidad de usuarios de WordPress. Detecta posibles virus y malware, analiza el tráfico de tu web en tiempo real para detectar rápidamente cualquier peligro y actúa como firewall. Por cierto, también tiene una función de cacheo que hará que la velocidad de carga de tu web sea mayor. La versión de pago, mejora los tiempos de respuesta ante incidencias, tiene una reglas de protección más eficientes y dispone de bloqueo de trafico a nivel geográfico.

Cualquiera de estos 5 plugins de seguridad para WordPress será un plus para la seguridad de tu página web. La correcta configuración del plugin es fundamental, la mayoría de términos y opciones de configuración son técnicas y para eso necesitarás seguramente ayuda profesional. Configurar erróneamente un Firewall puede bloquear las visitas de posibles clientes. Una incorrecta configuración en los ficheros genera fallos de seguridad que pueden ser usados por hackers para infectar la web.

Uno de los últimos clientes que nos vino a Prestigia Seguridad tenía el problema de tener dos plugins de seguridad, incorrectamente configurados y que eran incompatibles (se pisaban mutuamente). Es decir, a veces lo que abunda sí daña.

Por tanto, si no sabes qué plugin de seguridad de WordPress es el mejor para tu página web, contacta con nosotros y te ayudaremos a proteger tu web, no sólo con el mejor plugin de seguridad, sino también con otras medidas especiales para proteger tu CMS y tu servidor WEB.

¡Que la seguridad no sea tu talón de Aquiles!

Seguridad en wordpress