No hay nada peor que descubrir que tu sitio web ha sido comprometido. El área de administración de WordPress es el principal punto de entrada para los hackers, lo que la convierte en la parte más crítica de tu sitio para proteger.
Sabemos que puede ser estresante pensar en ataques de fuerza bruta o robo de datos. Muchos propietarios de sitios web se preocupan de no tener las habilidades técnicas para asegurar adecuadamente su panel de control.
La gran noticia es que no necesitas ser un profesional de la seguridad para tener un gran impacto. En nuestra experiencia administrando miles de sitios de WordPress, hemos descubierto que unos pocos cambios sencillos son todo lo que se necesita para construir una defensa sólida.
En esta guía, te mostraremos los consejos más efectivos para asegurar tu área de administración. Estos sencillos pasos te darán tranquilidad y mantendrán tu sitio web seguro.
Cubriremos muchos consejos, y puedes usar los enlaces rápidos a continuación para saltar entre ellos:
- 1. Usa un Firewall
- 2. Protege con contraseña el directorio de administración de WordPress
- 3. Usa siempre contraseñas seguras
- 4. Usa verificación en dos pasos en la pantalla de inicio de sesión de WordPress
- 5. Limita los intentos de inicio de sesión
- 6. Limita el acceso de inicio de sesión a direcciones IP
- 7. Deshabilita las pistas de inicio de sesión
- 8. Exige a los usuarios que usen contraseñas seguras
- 9. Restablece la contraseña de todos los usuarios
- 10. Mantén WordPress actualizado
- 11. Crea páginas de inicio de sesión y registro personalizadas
- 12. Aprende sobre los roles y permisos de usuario de WordPress
- 13. Limita el acceso al panel de administración de WordPress
- 14. Cierra sesión de usuarios inactivos
- Preguntas frecuentes sobre la seguridad del área de administración de WordPress
- Recursos adicionales para la seguridad de WordPress
1. Usa un Firewall
Un firewall de aplicaciones web (WAF) monitorea el tráfico de tu sitio y bloquea las solicitudes sospechosas antes de que lleguen a tu servidor. Esta es tu primera línea de defensa contra intentos de hackeo.
Si bien existen varios plugins de firewall para WordPress, recomendamos un firewall a nivel de DNS como Cloudflare. Los firewalls a nivel de DNS son más efectivos porque bloquean las amenazas en el borde de la red, por lo que el tráfico malicioso ni siquiera llega a tu sitio web.
En WPBeginner, usamos el plan empresarial de Cloudflare para proteger nuestro sitio web de intentos de hackeo, malware y otras actividades maliciosas. Para obtener instrucciones de configuración paso a paso, consulta nuestro artículo sobre cómo configurar la CDN gratuita de Cloudflare para tu sitio web.
Otra gran opción es Sucuri, que usamos anteriormente. Para más detalles, consulta nuestro artículo sobre por qué cambiamos de Sucuri a Cloudflare.
2. Protege con contraseña el directorio de administración de WordPress
Otro consejo que hemos encontrado extremadamente efectivo es agregar protección con contraseña al directorio de administración de WordPress. Esto agrega una segunda capa de defensa, requiriendo dos contraseñas separadas para acceder a tu panel.
Puedes hacer esto desde el panel de control de tu hosting web de WordPress. Aquí están los pasos para cPanel:
- Inicia sesión en tu panel de control de hosting de WordPress cPanel y haz clic en el ícono de 'Privacidad del directorio'.
- Selecciona tu carpeta
wp-admin, que generalmente se encuentra dentro del directorio/public_html/. - Marca la casilla junto a ‘Proteger este directorio con contraseña’ y asígnale un nombre.
- Haz clic en ‘Guardar’ y luego regresa para crear un usuario con un nuevo nombre de usuario y contraseña.
Ahora, cualquiera que intente acceder a tu página de inicio de sesión de administrador verá primero una solicitud de autenticación.
Esto bloquea la mayoría de los ataques automatizados de bots.
Para obtener instrucciones más detalladas, consulta nuestra guía sobre cómo proteger con contraseña el directorio de administración de WordPress (wp-admin). Ten en cuenta que estos pasos son para hosts que usan cPanel. Si usas un panel de control diferente, consulta la documentación de tu host.
3. Usa siempre contraseñas seguras
Debes usar contraseñas seguras y complejas para todas tus cuentas de WordPress. Las contraseñas débiles son una de las razones más comunes por las que los sitios web son hackeados.
Una contraseña segura utiliza una combinación de letras mayúsculas y minúsculas, números y caracteres especiales (!, #, @, %, etc.). Cuanto más larga sea, más segura será.
Es casi imposible recordar docenas de contraseñas complejas. Es por eso que todo nuestro equipo en WPBeginner utiliza una aplicación de administrador de contraseñas como 1Password para generar y almacenar de forma segura contraseñas únicas para cada servicio.
Para obtener más información sobre este tema, consulta nuestra guía sobre la mejor manera de administrar contraseñas para principiantes de WordPress.
4. Usa verificación en dos pasos en la pantalla de inicio de sesión de WordPress
La verificación en dos pasos, también conocida como autenticación de dos factores (2FA), agrega otra capa de seguridad crítica. Usamos 2FA no solo en nuestros sitios web de WordPress, sino en todas nuestras cuentas en línea donde la opción está disponible.
Después de ingresar tu contraseña, también debes proporcionar un código sensible al tiempo generado por una aplicación en tu teléfono, como 1Password o Authenticator. Incluso si un hacker roba tu contraseña, no podrá iniciar sesión sin tu teléfono.
Para obtener instrucciones detalladas paso a paso, consulta nuestra guía sobre cómo configurar la verificación en 2 pasos en WordPress usando Google Authenticator.
5. Limita los intentos de inicio de sesión
Por defecto, WordPress permite a los usuarios intentar iniciar sesión tantas veces como quieran. Esto permite a los hackers usar scripts automatizados para probar miles de combinaciones de contraseñas en lo que se conoce como un "ataque de fuerza bruta".
Puedes detener esto fácilmente instalando el plugin Limit Login Attempts Reloaded. Después de la activación, ve a Configuración » Intentos de inicio de sesión limitados para configurar cuántos intentos fallidos se permiten antes de que una dirección IP sea bloqueada temporalmente.
Para obtener instrucciones detalladas, consulta nuestra guía sobre por qué deberías limitar los intentos de inicio de sesión en WordPress.
Para obtener más información sobre el plugin, también puedes consultar nuestra detallada reseña de Limit Login Attempts.
6. Limita el acceso de inicio de sesión a direcciones IP
Advertencia: Esta es una técnica avanzada y solo debe usarse si tienes una dirección IP estática (fija). La mayoría de las conexiones a Internet domésticas usan IPs dinámicas que cambian regularmente. Si usas este método con una IP dinámica, te bloquearás a ti mismo de tu propio sitio web.
Si tienes una IP fija, puedes restringir el acceso a tu área de administrador solo a esa dirección. Simplemente agrega este código a tu archivo .htaccess:
No olvides reemplazar los valores 'xx' con tu propia dirección IP. Puedes encontrar fácilmente tu dirección IP actual buscando "cuál es mi IP" en Google. Si usas más de una dirección IP, asegúrate de agregarlas también.
Para obtener instrucciones detalladas, consulta nuestra guía sobre cómo limitar el acceso al administrador de WordPress usando .htaccess.
7. Deshabilita las pistas de inicio de sesión
Cuando un inicio de sesión falla, WordPress te dice si el nombre de usuario o la contraseña fueron incorrectos. Si bien es útil para los usuarios, estas pistas también confirman un nombre de usuario válido para un atacante, facilitando su trabajo.
Puedes ocultar estas sugerencias agregando el siguiente código al archivo functions.php de tu tema. Sin embargo, recomendamos usar un plugin de fragmentos de código como WPCode. Es una forma mucho más segura de administrar código personalizado sin arriesgarse a errores en el sitio.
function no_wordpress_errors(){
return 'Something is wrong!';
}
add_filter( 'login_errors', 'no_wordpress_errors' );
Para más detalles, consulta nuestra guía sobre cómo agregar código personalizado en WordPress sin romper tu sitio web.
8. Exige a los usuarios que usen contraseñas seguras
Si administras un sitio de WordPress con varios autores, un solo usuario con una contraseña débil puede crear una vulnerabilidad para todos. Puedes aplicar una política de contraseñas seguras para evitar esto.
Para hacer esto, puedes instalar y activar el plugin Solid Security (anteriormente conocido como iThemes Security), creado por el equipo de SolidWP.
Luego, puedes seguir los pasos de nuestra guía completa sobre cómo forzar contraseñas seguras en los usuarios de WordPress.
9. Restablece la contraseña de todos los usuarios
Para sitios de WordPress con varios usuarios, puedes mejorar la seguridad obligando a todos los usuarios a restablecer sus contraseñas. Esto es especialmente útil si sospechas una brecha de seguridad o simplemente quieres aplicar una nueva política de contraseñas.
Primero, instala y activa el plugin Emergency Password Reset. Después de la activación, ve a la página Usuarios » Emergency Password Reset y haz clic en el botón ‘Restablecer todas las contraseñas’.
Para obtener instrucciones detalladas, consulta nuestra guía sobre cómo restablecer contraseñas para todos los usuarios en WordPress.
10. Mantén WordPress actualizado
WordPress lanza frecuentemente nuevas versiones para agregar funciones y corregir vulnerabilidades de seguridad. Ejecutar una versión desactualizada de WordPress, tus plugins o tu tema es uno de los mayores riesgos de seguridad que puedes correr.
Asegúrate siempre de estar utilizando la última versión del software principal de WordPress, así como de todos tus plugins y temas. Para más información sobre esto, consulta nuestra guía sobre por qué siempre debes usar la última versión de WordPress.
11. Crea páginas de inicio de sesión y registro personalizadas
Para sitios que requieren registro de usuarios, como sitios de membresía o tiendas en línea, deberías crear páginas de inicio de sesión y registro personalizadas.
Esto evita que los usuarios que no son administradores tengan que ver o acceder a la pantalla de inicio de sesión predeterminada de WordPress. Proporciona una experiencia de usuario más profesional y te permite bloquear completamente el acceso estándar a wp-admin sin afectar a tus miembros o clientes.
La forma más fácil de hacer esto es con un plugin como WPForms, que tiene un potente complemento de registro de usuarios. Para obtener instrucciones detalladas, consulta nuestra guía sobre cómo crear páginas de inicio de sesión y registro personalizadas en WordPress.
12. Aprende sobre los roles y permisos de usuario de WordPress
WordPress tiene un sistema de gestión de usuarios incorporado con diferentes roles y capacidades. Asignar el rol incorrecto puede otorgar a un usuario muchos más permisos de los que necesita, creando un riesgo de seguridad potencial.
Es importante entender lo que cada rol puede hacer antes de agregar usuarios a tu sitio. Aquí están los 5 roles predeterminados:
- Administrador: Tiene acceso completo a todas las configuraciones y contenido del sitio.
- Editor: Puede publicar y administrar todas las publicaciones, incluidas las de otros usuarios.
- Autor: Puede publicar y administrar solo sus propias publicaciones.
- Colaborador: Puede escribir y administrar sus propias publicaciones, pero no puede publicarlas.
- Suscriptor: Solo puede iniciar sesión y administrar su propio perfil.
Para un desglose completo, consulta nuestra guía para principiantes sobre roles y permisos de usuario de WordPress.
13. Limita el acceso al panel de administración de WordPress
En algunos sitios, ciertos usuarios pueden no necesitar acceso al panel de WordPress en absoluto. Por defecto, cualquier usuario puede iniciar sesión y ver el área de administración, incluso si sus capacidades son limitadas.
Para solucionar esto, instala y activa el plugin Eliminar acceso al panel. Después de la activación, ve a Configuración » Acceso al panel y selecciona qué roles de usuario pueden acceder al área de administración. Otros pueden ser redirigidos a la página de inicio u otra URL.
Para obtener instrucciones más detalladas, consulta nuestra guía sobre cómo limitar el acceso al panel en WordPress.
14. Cierra sesión de usuarios inactivos
Los usuarios que han iniciado sesión y se alejan de sus computadoras pueden representar un riesgo de seguridad. Si su computadora es pública o compartida, alguien más podría acceder a su cuenta.
Puedes resolver esto instalando el plugin Cierre de sesión inactivo. Ve a Configuración » Cierre de sesión inactivo y establece un límite de tiempo. Después de ese período de inactividad, los usuarios cerrarán sesión automáticamente.
Para más detalles, consulta nuestro artículo sobre cómo cerrar sesión automáticamente a usuarios inactivos en WordPress.
Preguntas frecuentes sobre la seguridad del área de administración de WordPress
¿Cuál es el paso más importante para asegurar mi área de administración de WordPress?
Usar un Firewall de Aplicaciones Web (WAF) es el primer paso más crítico. Un buen firewall, como Cloudflare o Sucuri, bloquea el tráfico malicioso antes de que llegue a tu sitio, previniendo una amplia gama de ataques.
¿Es realmente necesario proteger con contraseña el directorio wp-admin?
Aunque no es obligatorio, es muy efectivo. Añade una segunda capa de autenticación que detiene a casi todos los bots automatizados que intentan forzar tu página de inicio de sesión. Es un cambio simple que aumenta significativamente la seguridad.
¿Puedo quedarme fuera de mi propio sitio al seguir estos consejos?
Sí, si no tienes cuidado. El consejo de limitar el acceso de inicio de sesión a direcciones IP específicas es solo para usuarios avanzados con una IP estática. Si usas una dirección IP normal y dinámica, te bloquearás a ti mismo. Siempre haz una copia de seguridad de tu sitio antes de editar archivos como .htaccess.
Recursos adicionales para la seguridad de WordPress
Esperamos que este artículo te haya ayudado a aprender algunos consejos y trucos nuevos para proteger el área de administración de tu WordPress.
También puedes consultar nuestras otras guías expertas para mantener tu sitio seguro:
- La guía definitiva de seguridad para WordPress – Paso a paso
- Los mejores plugins de seguridad para WordPress para proteger tu sitio (Comparado)
- Cómo escanear tu sitio de WordPress en busca de código potencialmente malicioso
Si te gustó este artículo, suscríbete a nuestro canal de YouTube para obtener tutoriales en video de WordPress. También puedes encontrarnos en Twitter y Facebook.
Danang Sukma
Gracias por tu publicación.
Estoy usando protección con contraseña para mi carpeta wp-admin en cpanel, ¿es suficiente?
mby
uh qué información tan útil, chicos, ¡seguro que puede ayudar!!
¡gracias por publicar! ^_^
anthony
¡Esta es una gran información que implementaré lo antes posible! Ya he experimentado que hackearan mi blog, así que he estado preocupado por estos problemas. ¡¡Muchas gracias!!
shoaib hussain
hombre, me muevo de una publicación a otra en tu blog y me encanta. muchas gracias. supongo que tendré que suscribirme ahora.
tzutzu
¡¡Publicación INCREÍBLE!! Gracias por esta información
Marlin
Gracias, buena lista, esto seguramente ayudará a asegurar el panel de administración de WordPress.
Abhilash Thekkel
Consejos muy útiles. Gracias
Jessica
Actualmente estoy aprendiendo desarrollo de WP. Quiero hacer un sitio de comercio electrónico con WordPress usando el plugin WP e-Commerce. ¿Alguien sabe si estos consejos mantendrán seguro mi sitio de comercio electrónico?
Personal editorial
Asegúrate de tener Protección SSL en tu sitio de comercio electrónico para todas las transacciones. Estos son solo para proteger tu área de administración.
Administrador
Ursula Comeau
¡Vaya, esta es una publicación INCREÍBLE! Muchas gracias por compartir toda esta información, ¡y también algunos excelentes plugins!
In a world where security has become top priority, these are very important things to be aware of with a WordPress installation. Really appreciate your transparency and willingness to share this information! I’ll be tweeting this one.
Lilia
El problema con los plugins es que no siempre son compatibles con todas las versiones, y no siempre se actualizan.
Personal editorial
La mayoría de los plugins son compatibles con las versiones más nuevas, y si el desarrollador decide abandonar el desarrollo del plugin, otros a menudo lo retoman y crean un plugin con correcciones para las futuras versiones. Solo tienes que mantenerte activo en la comunidad.
Administrador
Smashing Themes
En serio, cambien el nombre de su sitio a WP ROCKER, ustedes son geniales. Instalé tres plugins para proteger mi panel de administración después de leer esta excelente publicación.
Dagmar
También hay algunos plugins de pago, es decir, "WP Secure", que también afirma que hará que tu WP sea seguro contra hackers. También funciona con el resumen de un par de los principios anteriores, es decir, página de inicio de sesión personalizada, confirmación de una IP, etc.
¿Vale la pena comprarlo? = ¿alguien sabe si es más fácil de usar para alguien no técnico que algunos de los mencionados anteriormente?
Personal editorial
Si puedes hacer el trabajo gratis, ¿cuál es el punto de pagar?
Administrador
iHacks
¿Enlace al plugin de firewall de WordPress?
Personal editorial
Ya está funcionando.
Administrador
Kjetil
Hola
Muchas gracias por tus consejos.
Con respecto al consejo 8, me pregunto cómo insertar el código
`add_filter(’login_errors’,create_function(’$a’, “return null;”));`
¿Cuál es la función completa a usar?
Me gustaría intentarlo ya que ya uso AskApache Password Protect y ese plugin es incompatible con Secure Wordpress.
Gracias,
Kjetil
– http://www.dolcevita.no
Personal editorial
Vas a functions.php e insertas ese código. Eso es todo si entendimos tu pregunta claramente. Si esto no la ha respondido, por favor responde al comentario y seguramente le echaremos un vistazo.
Administrador
Robinoz
Gracias por esta información invaluable. Acabo de sufrir un ataque de malware que dejó mi blog fuera de línea por uno o dos días mientras mi programador de Wordpress lo solucionaba. Muy inconveniente.
Implementaré algunas de las sugerencias que has hecho en el próximo día o así.
Robinoz
http://www.e1jobs-blog.com (Blog Todo Sobre Empleos”
servidor seguro
buenos consejos para asegurar wordpress. con el tiempo veremos que los hosts se vuelven más estrictos y seguros o que los paquetes CMS necesitan implementar en la instalación algunas iniciativas de seguridad más.
abbie
Hola. Has escrito una muy buena publicación.
I’ve rewrote this great post in Indonesian language.
I really hope you dont mind.
Personal editorial
Le hemos enviado un correo electrónico sobre esto. No permitimos la traducción completa de artículos. Por favor, resúmalo y enlace a nuestro artículo si sus usuarios desean leer los consejos completos.
Administrador
abbie
Thanks for your response.
I’ll revise my post.
Arie
Hola..
Quiero preguntarte algo.
Además de usar Askimet, captcha, contraseña fuerte, ¿hay alguna otra forma para que los hackers saboteen nuestra web?
Esa es mi pregunta, por favor responde a mi correo.
Saludos,
Arie
Personal editorial
Sí, si tu host tiene vulnerabilidades, entonces el hacker también puede afectarte.
John Macpherson
Me tomó unos minutos resolver esto, pero tienes el tipo de comillas incorrecto alrededor de esta función
add_filter(’login_errors’,create_function(’$a’, “return null;”));
Debería ser:
add_filter(‘login_errors’,create_function(‘$a’, “return null;”));
Aparte de eso, excelente publicación.
jakesjohn
Lo que puedes obtener del plugin de Wordpress Wp-PreventCopyBlogs
1. Rastrea a los visitantes que intentan copiar tu contenido.
2. Registra la IP del usuario que intenta hacer copias fraudulentas con la URL de destino de tu sitio y la URL de referencia. Esto puede ayudarte a tomar las medidas necesarias si notas algo malo.
3. Habilita el mensaje que se muestra a tu usuario según su elección.
4. Deshabilita la selección de tu texto y el clic derecho para los usuarios, según la opción.
Srecko Bradic
¡¡¡Debo felicitarte por este excelente artículo!!! Para ser honesto, conozco algunos consejos, ¡pero alguna información muy importante era desconocida para mí hasta ahora!
Keep on good work
Soxialize
Excellent post! Will be testing several of the security tips you provided. Thanks for putting all this together!
Heather
Publicación brillante, ¡creo que dormiré mejor esta noche!
Henry
Con respecto al #6, si usas el siguiente archivo .htaccess podrás iniciar sesión desde otras ubicaciones en un proceso de dos pasos. Esto requiere que agregues un archivo htpasswd (lee la documentación de tu servidor).
AuthUserFile ‘algún archivo htpasswd’
AuthGroupFile /dev/null
AuthName “Control de Acceso de Administrador de WordPress”
AuthType Basic
order deny,allow
deny from all
Require valid-user
# lista blanca de la IP de Syed
allow from xx.xx.xx.xxx
# lista blanca de la IP de David
allow from xx.xx.xx.xxx
# lista blanca de la IP de Amanda
allow from xx.xx.xx.xxx
# lista blanca de la IP de Muhammad
allow from xx.xx.xx.xxx
# lista blanca de la IP del trabajo
allow from xx.xx.xx.xxx
Satisfy Any
Las líneas “require valid user” y “satisfy any” forzarán al servidor Apache a solicitar un nombre de usuario y una contraseña antes de que pueda acceder a la pantalla de inicio de sesión de WordPress. Por favor, NO utilice el mismo nombre de usuario y contraseña en el archivo htpasswd que utiliza para su acceso a WordPress, o anulará el propósito del nivel adicional de seguridad.
Personal editorial
Thanks for the suggestion. Post updated with a link to this way as well
Administrador
Laura
Gracias por el excelente artículo. Estoy deseando hacer mi propio blog más seguro.
A.rnaud
I just made a French translation of your article on my blog (http://bit.ly/19V6YU)
thanks for the tips !
Personal editorial
Thanks for the translation
Administrador
Constantine
Hola, he estado blogueando por 3 años. Mi blog fue hackeado en junio de 2009 y Google me baneó por 30 días, mis visitas se deslizaron inmediatamente de 800 al día a menos de 100 al día.
Recomiendo encarecidamente instalar un plugin de firewall para WordPress. El plugin te enviará un correo electrónico cada vez que alguien intente hackear tu blog, junto con la dirección IP del hacker. El plugin detecta y bloquea solicitudes extrañas, redirigiendo el ataque a la página de inicio.
El lunes recibí un correo electrónico de seis intentos de hackeo durante el fin de semana. El hacker intentó acceder a la página de administrador tres veces, cuando eso falló, intentó buscar el plugin wordspew que no uso.
A todos los novatos, ¡buena suerte!
Personal editorial
Thanks for suggesting this one. Its now added in the post
Administrador
Renee Fischer
Una vez que un hackeo es exitoso, el bot o hacker humano conservará tus datos y seguirá intentando acceder a los archivos de tu sitio web buscando una forma de volver. Continuarán siendo implacables. Si han logrado hackear tu correo electrónico, tu computadora o tu servidor, seguirán hasta haber hackeado todo lo que tocas. Son como cucarachas que encontraron migas que las llevaron a tu casa.
Dirk
In reality 2., 7. and 11. (if not hardened) are the most important things. The other things are nearly unnecessary
Typhoon
Artículo muy útil. Lo tuiteé.
Por cierto, quiero preguntar una cosa; ¿Cómo funciona el inicio de sesión sigiloso para autores invitados?
Personal editorial
Les das la URL especial que creaste si confías lo suficiente en ellos. En la mayoría de los casos, a los autores invitados ni siquiera se les debería permitir el acceso al panel de administración a menos que sean autores de tu sitio. Si alguien ha escrito varias publicaciones para tu sitio, entonces se le puede confiar, por lo que puedes darle la URL especial /login o /googlogin o lo que hayas creado.
La mayoría de los blogs principales aceptan publicaciones de invitados por correo electrónico y solo si esos autores invitados se convierten en autores habituales, se les permite el acceso al panel de administración.
Administrador
Misao
¡Gracias! Artículo muy útil. Probaré tus consejos y trucos en algunos de mis blogs.
sriganesh
very useful.
:geek: thanks for sharing. i will spred this surely
Yves
Hola
¡Buena lista! Quizás quieras agregar el buen plugin "One time Password" para Wordpress:
http://wordpress.org/extend/plugins/one-time-password/
quicoto
Thanks for the tips
Tim
Grandes consejos.
Para los lectores involucrados, hay una inexactitud en el #6.
“La desventaja de este truco es que si alguna vez quieres acceder al panel de administración desde otro lugar, no podrás hacerlo a menos que agregues esa IP extra en tu archivo .htaccess”.
Si la dirección IP que permites es una máquina a la que puedes acceder por SSH, puedes tunelizar a través de ella (yo uso foxyproxy, porque facilita mucho el cambio). Además, si estás usando nginx en lugar de apache, puedes evaluar la URI con expresiones regulares para bloquear todo, desde wp-app.php hasta wp-trackback.php (o elegir selectivamente cuáles no quieres bloquear). Lo cubro en http://www.phrison.com/securing-arbitrary-uris/, pero no es para los inexpertos.
Tengo una gran colección de sombreros de papel de aluminio.
Personal editorial
Tienes razón.
Advertencia: Usuarios nuevos, no intenten esto. Esto es solo para usuarios experimentados.
Administrador
SaigonNezumi(Kevin)
Gracias por esta pieza. He estado esperando un artículo como este. Agregar un par de tus consejos ayudará a asegurar mis sitios de WP.
Gracias de nuevo.
Personal editorial
You are welcome
Let us know which one you use and your thoughts on the process of implementing it.
Administrador
Dana DeFazio
Me pregunto si hay algo comparable para mi blog porque es un sitio de WordPress.com y también tengo un blog nuevo en danaddiamond.BlogSpot.com
Personal editorial
WordPress.com no te permite tener muchos privilegios, pero con su servidor, estás seguro en su mayor parte.
Administrador
Tinh
Excelentes consejos y trucos, solo apliqué 6 de los 11 consejos que sugeriste, déjame probar el resto
Jo
Este sitio es un feliz descubrimiento para mí (FYI, gracias a @Problogger en Twitter), y espero seguir explorando. Este artículo es el tipo de escritura concisa y clara que es demasiado rara hoy en día. Gracias por información genuinamente útil.
Personal editorial
Nos alegra que te guste nuestro sitio, y también nos alegra mucho que Darren encontrara el artículo lo suficientemente útil como para tuitearlo. Esperamos que nos sigas en Twitter para que puedas estar al día con todos los buenos tutoriales.
Administrador
Marc
Vaya, soy bastante nuevo en WP y no tenía idea de que hubiera tantas puertas de entrada para hackers. Estoy seguro de que no encontrarán la manera de entrar después de agregar algunos de estos.
Gracias.
Roger Duck
La seguridad de WordPress es un problema creciente y estos pasos son críticos para asegurar un sitio de WordPress. Reforzar la seguridad ayuda a toda la comunidad, así como a tu propio sitio, a tomarse el tiempo para implementar estas ideas. Bien hecho.
Rob
Y para proteger todo tu arduo trabajo / funciones de seguridad de tus clientes….
http://wordpress.org/extend/plugins/hide-admin-panels/
James Morrison
Una buena lista de consejos vitales para asegurar tu sitio. Me gusta particularmente el #8. ¡Nunca lo había hecho antes, pero lo haré a partir de ahora!
Con respecto a #7 – Eliminar el nombre de usuario ‘admin’:
No elimino el nombre de usuario admin, creo una nueva cuenta de administrador y luego cambio el tipo de cuenta del usuario ‘admin’ a suscriptor.
De esa manera, incluso si alguien descifra la contraseña, es una cuenta inútil. Si la eliminas, alguien puede registrar ese nombre de usuario…
Kathlene
Pregunta para James Morrison. ¿Puedes explicar un poco más lo que estás diciendo y cómo hacerlo?
Para el personal, he intentado varias veces obtener un número para el plugin akismet y no parece que pueda conseguirlo. ¿Cómo se obtiene uno?
Muy buena publicación. Implementaré esto directamente. Una vez tuve uno de mis blogs hackeado dos veces en 30 días.
Gracias por la excelente información.
James Morrison
Sigue estos pasos:
1.) Crea una nueva cuenta de usuario con acceso de administrador (ej. 'James')
2.) Inicia sesión con la nueva cuenta en WP Admin
3.) Edita la cuenta de los usuarios 'admin' y cambia el acceso a suscriptor
De esa manera, si alguien intenta comprometer la cuenta de administrador y tiene éxito, aún así no podrá hacer nada malo en tu sitio.
Para obtener una clave de akismet, necesitas registrarte en http://www.wordpress.com
¡Espero que esto ayude!
Mathdelane
Siempre puedes cambiar el nombre de usuario predeterminado "admin" por el que desees a través de la base de datos phpMyadmin. Aquí está mi publicación al respecto, así como mi experiencia sobre hackeo y seguridad de blogs:
http://softwarecritics.info/open-source/blogosphere-alert-prevent-your-wordpress-blogs-from-being-hacked/
Cheap Sites
Gracias por todas las sugerencias, estoy trabajando en algunos proyectos grandes y esto ciertamente ayudará una vez que los blogs estén en funcionamiento.
Primera vez aquí y me encanta el blog, ¡buen trabajo!
Dan
Personal editorial
Me alegra que te guste estar aquí. Siéntete libre de hacer cualquier sugerencia si alguna vez tienes una pregunta, o si te gustaría que se cubriera algún tema específico en WPBeginner.
Administrador
Flow Interactive
Buenos consejos. También puedes mover tu archivo wp_config.php fuera de la raíz web para proporcionar una capa adicional de seguridad.
Personal editorial
Sí, puedes hacer eso, pero en este artículo solo estábamos hablando del Panel de Administración de WordPress, no del sitio completo en general. Hay muchas otras formas de proteger todo tu blog de WordPress.
Administrador
Shabayek
¿Pero qué pasa si permites que los visitantes de tu blog se registren y los obligas a iniciar sesión antes de publicar comentarios?
Personal editorial
Entonces no puedes usar la protección por IP y otras, pero aún así deberías usar el bloqueo limitado, no usar el nombre de usuario de administrador y el inicio de sesión semi-seguro.
Administrador
Gerald Weber
Uso las solicitudes de inicio de sesión limitadas a mi dirección IP. Esto significa que cualquiera que intente acceder a http://www.domainname.com/wp-admin que no esté haciendo la solicitud desde mi dirección IP, simplemente obtendrá una página 404.
Blogspot a WordPress
Oye, publicación muy útil.
Ideas muy interesantes blog
Publicación útil para mi blog.
Dreyer
Una lista útil. Pondré estas en práctica. Mejor paranoico que arrepentido.
Rafi
Oye, esta es una maravillosa colección de consejos y trucos, muy útil. Recomiendo a todos los bloggers de WP que revisen la lista y sigan los pasos, así como otros recursos útiles disponibles en otros lugares. Después de todo, NO hemos creado nuestros blogs para que alguien tome el control de nuestras vidas. Maldición.
Gracias por compartir, WPBeginner.
Sergej Müller
¿Enlace a Protección Antivirus de WordPress?
Personal editorial
No importa cuánto revises, algunas cosas siempre se pasan por alto. Me alegra que tengamos usuarios como tú. Enlace añadido. Gracias de nuevo.
Administrador
Lolic
¿Qué hay de los sistemas Akismet y Captcha?