seguridad en los CMS

Al poner en marcha una web, blog o negocio online es fundamental plantear bien el desarrollo, la programación web. En muchos casos, y por las características del proyecto, convendrá una programación web a medida. En otros, sin embargo, puede ser suficiente trabajar con alguno de los CMS (Content Management System) open source que nos ofrece el Mercado: WordPress, Drupal, ….. En este sentido, uno de los factores olvidados a la hora de escoger un sistema de gestión de contenidos es la seguridad. Nos centramos en aspectos como el diseño, la usabilidad, la capacidad… olvidándonos de la seguridad web en los CMS.

Según un informe de Sucuri, los tres CMS más infectados en 2017 fueron WordPress (83%), Joomla! (13.1%) y Magento (6.5%). Son tres de las plataformas más utilizadas (WordPress es el CMS más usado del mundo) por pequeñas empresas, tiendas, bloggers, etc. Por eso, no es de extrañar que también estén en el punto de mira de hackers y delincuentes.

Estos datos no implican que WordPress, Joomla! o Magento sean más o menos seguras que otras plataformas. De hecho, desde Sucuri explican que los riesgos o compromisos registrados en estos gestores de contenidos estaban relacionados con “un despliegue, configuración y mantenimiento general inadecuado por los webmasters y no con el núcleo de la aplicación CMS en sí”. Sea como sea, es importante que tengas en cuenta aspectos de la seguridad en los CMS a la hora de escoger uno y que también sepas protegerlo.

Problemas de seguridad en los CMS

Pueden ser muchas las causas que provocan que un CMS sea infectado o atacado. Sin embargo, como decíamos, en la mayoría de ocasiones estos ataques están relacionados con una mala gestión de la plataforma desde una óptica de seguridad y protección.

Por ejemplo, el informe de Sucuri revela que muchas de las plataformas estaban desactualizadas en el momento de la infección. De hecho, en 2016, el 61% de las webs desarrolladas con WordPress que fueron hackeadas registraron instalaciones desactualizadas. También en años anteriores, el 80,3% de los sitio Magento estaban en su mayoría desactualizados (80.3%) en el momento en que se infectaron.

Otra de las formas más habituales entre los hackers para infectar un CMS es a través de los ataques de fuerza bruta. Este tipo de ataque consiste en consiste en probar sistemáticamente diferentes credenciales hasta que….¡voilà! encuentran la combinación correcta. En otras palabras, sería como intentar abrir un candado con 1001 opciones posibles. Te llevaría muchísimo tiempo pero en algún momento darás con la combinación acertada. Y, cuando quién lo hace es un robot de forma automatizada, el tiempo deja de ser un problema.

Otra variante de este método muy conocida es el ataque diccionario. En este caso, se deja de lado el intento sistemático de encontrar la combinación de acceso para probar únicamente aquellas combinaciones con más probabilidad de éxito. En este punto no está de más recordarte la importancia de tener una contraseña fuerte y segura para ponérselo difícil a los hackers.

Los ataques de fuerza bruta pueden afectar a cualquier web. Sin embargo, WordPress repite como uno de los objetivos favoritos de los hackers.

¿Y qué sucede cuando descubren el usuario y contraseña? El hacker puede entrar en el panel de administración y hacerse con el control de la web. De esta manera, puede desde robar datos y credenciales hasta alojar archivos maliciosos o hacer que la página web se convierta en parte de una infraestructura de malware específica.

10 consejos para fortalecer la seguridad en los CMS

En algún momento de este artículo se ha comentado que bloggers, pequeños empresarios, propietarios de tiendas, etc suelen utilizar CMS de código abierto. Lo hacen porque son fáciles de usar, rápidos, gratuitas y no requieren grandes conocimientos. Sin embargo, estamos ante un arma de doble filo porque, como decíamos, también los hace más vulnerables ante un posible ataque.

En este contexto, es importante tener a mano unos consejos de seguridad en los CMS para garantizar que tu plataforma esté protegida:

1. Mantén actualizado el CMS. Si, es la norma más básica y es una cuestión de sentido común. Si no actualizas tu gestor de contenidos no estarás protegido ante riesgos que se hayan detectado recientemente.

2. Usa una contraseña fuerte y segura: que sea aleatoria y poco común. En este sentido, ten en cuenta que sea de al menos 12 caracteres y no la utilices en diferentes sitios a la vez.

3. Descarga contenidos solo de webs oficiales

4. Introduce Captchas en tus formularios para que sean más seguros. Esto te ayudará también a evitar que te envían spam o se infiltren en tu aplicación.

5. Haz revisiones periódicas para detectar vulnerabilidades y anomalías. Ya sabes, mejor prevenir que curar.

6. Intenta escoger un CMS con una comunidad online fuerte, es decir, que tenga un equipo de desarrolladores a los que consultar dudas y problemas.

7. Configura tu hosting de forma segura, con unos parámetros básicos de segurida en los CMS y en relación a los permisos y accesos al servidor.

8. Controla los permisos de usuario y contraseñas de acceso

9. Suscríbete a foros y newsletter relacionadas con la seguridad en los CMS. Mientras más informado estén, con más rapidez podrás actuar ante un riesgo.

10. Contacta con Prestigia Seguridad si quieres más garantías de seguridad en los CMS que utilizas 😉