- Seguridad Sitio Web -

asegurar wordpress -Part 3-

Te ayudamos a gestionar tu negocio

En este articulo final de como asegurar nuestro sitio de WordPress damos los últimos retoques a nuestros principales ficheros de la instalación.

Proteger el fichero wp-config

El archivo wp-config .php es uno de los archivos más importantes de tu WordPress en él tienes los datos de conexión a tu base de datos, obviamente no quieres que nadie pueda ver ese archivo, para ello solo debes agregar el siguiente código:

<files wp-config .php>
order allow,deny
deny from all
</files>

Esto bloquea el acceso a cualquier persona desde el navegador.

Proteger el acceso al escritorio

Escritorio con conexión segura (SSL)

Aunque siempre es mejor proteger todo el sitio con el candado verde, si no fuera posible, al menos configura el escritorio (/wp-admin) para que las conexiones estén cifradas.

Hay que tener en cuenta que para poder usar el certificado de seguridad —SSL— antes debe estar instalado en el alojamiento. El método de instalarlo depende del proveedor de alojamiento. 

Proteger los ficheros

Comprueba los permisos de los ficheros

Unos permisos de ficheros inadecuados son un riesgo de seguridad importante.

Los permisos de los ficheros se pueden revisar y cambiar usando Filezilla, Cyberduck o cualquier cliente FTP.

Todos los ficheros deben pertenecer a tu usuario —normalmente el usuario con el que te conectas por FTP— y tendrán los permisos 755 para los directorios y 644 para los ficheros. Significa que otorgas permiso completo a tu usuario y permiso de solo lectura al resto.

Elimina ficheros innecesarios

La instalación de WordPress deja algunos ficheros innecesarios de los que un atacante puede extraer información valiosa para realizar posteriormente un ataque.

Borra los ficheros readme.html y license.txt que muestran la versión de WordPress instalada en el sitio y el fichero wp-admin/install.php que es un resto de la instalación y sirve para reinstalar el sitio.

Restringir el listado de directorios

Es habitual que el proveedor del alojamiento haya desactivado el listado de directorios. Aún así, conviene reforzar la protección añadiendo esta línea al fichero .htaccess en la raíz (carpeta public_html/) del sitio:

# public_html/.htaccess
Options All -Indexes

Asegurar la base de datos

Cambia el prefijo de la base de datos

Como WordPress es un sistema abierto y conocido, es posible conocer de antemano el nombre de las tablas de la base de datos. Así, sabemos que las tablas más importantes son: wp_users o wp_options. Del mismo modo, un atacante también conoce la estructura de la base de datos y utiliza esta información para hacer modificaciones usando plugins vulnerables a ataques de inyección SQL.

Una técnica para dificultar los ataques de inyección SQL consiste en cambiar el prefijo de las tablas de la base datos. En lugar de usar el prefijo wp_ genera uno aleatorio y único para el sitio, por ejemplo ej3mpl0_.

Puedes cambiar el prefijo durante la instalación de WordPress o usar el plugin Change Table Prefix para un sitio que ya esta instalado.

También se puede bloquear el acceso a la base de datos de tu hosting bloqueando el acceso interno a localhost. Esto se realiza desde el panel de control de tu empresa de hosting.

Un buen fichero robots.txt 

Google o Bing guardan mucha información de tu sitio web que utilizan para sus buscadores. El problema viene cuando un atacante utiliza el buscador para encontrar agujeros de seguridad en tu sitio. Estas técnicas se llaman Google Dorks.

Para proteger los sitios web surge el fichero robots.txt que sirve para dar instrucciones a Google sobre que debe y que no debe indexar. WordPress no tiene un fichero robots.txt por defecto por eso es importante crear uno a medida de las necesidades de tu sitio. Este es un ejemplo de un fichero Robots.txt localizado por internet.

Sitemap: http://tusitio/sitemap.xml 
User-Agent: *
Allow: /wp-content/uploads/
Allow: /feed/$
Disallow: /wp-
Disallow: /wp-content/
Disallow: /trackback/
Disallow: /wp-admin/
Disallow: /feed/
Disallow: /?s=
Disallow: /search
Disallow: /archives/
Disallow: /index.php
Disallow: /*?
Disallow: /*.php$
Disallow: /*.js$
Disallow: /*.inc$
Disallow: /*.css$
Disallow: */feed/
Disallow: */trackback/
Disallow: /page/
Disallow: /tag/
Disallow: /category/

# No indexar copias de seguridad
Disallow: /*.sql$
Disallow: /*.tgz$
Disallow: /*.gz$
Disallow: /*.tar$
Disallow: /*.svn$

# Reglas para bots conocidos

User-agent: Googlebot

User-agent: Googlebot-Image
Disallow: /wp-includes/
Allow: /wp-content/uploads/

User-agent: Mediapartners-Google*
Disallow:

User-agent: ia_archiver
Disallow: /

User-agent: duggmirror
Disallow: /

User-agent: noxtrumbot
Crawl-delay: 50

User-agent: msnbot
Crawl-delay: 30

User-agent: Slurp
Crawl-delay: 10

User-agent: MSIECrawler
Disallow: /

User-agent: WebCopier
Disallow: /

User-agent: HTTrack
Disallow: /

User-agent: Microsoft.URL.Control
Disallow: /

User-agent: libwww
Disallow: /

La primera linea Sitemap: http://tusitio.org/sitemap.xml es el fichero que sirve para ubicar el rastreo que hace google en el sitio.

Pero recuerda realizar copias de seguridad diarias de tu sitio web, ya que hay veces que es el ultimo recurso ante una perdida de datos o un hackeo

Compartenos en sus Redes Sociales

16 comentarios en «Asegurar WordPress año 2020 – Part 3 –»

  1. Salut la compagnie, je tenais à diviser un petit ressenti parce que ces derniers
    temps, j’ai l’impression le fait que pas mal de mécaniques instantanés tels que ce fameux jeu
    de la bille deviennent super tendances. C’est vraiment fascinant de voir
    de quelle manière une simple bille sait basculer l’entièreté de la soirée.
    Personnellement, je pense qu’il doit impérativement tester une version plinko arnaque
    pour bien comprendre le plinko game afin de bien maitriser
    la logique. Un autre détail qui a été noté,
    c’est que pas mal de monde pensent que une sorte d’ arnaque dès qu’ils perdent,
    pourtant il s’agit de uniquement de l’aléatoire hasard pur.
    D’ailleurs, est-ce que quelques-uns ici emploient un bonus spécifique pour augmenter leur
    dépôt initial? Ou alors, est-ce que vous aimez mieux miser sans
    aucun bonus pour esquiver les conditions de mise?
    Je reste curieux de connaître tes retours sur ce point, parce que partager les vécu permet à
    la commu de plus intelligemment jouer et plus sagement piloter la banque.
    Bons tirages les parieurs!

  2. Actually, I’ve remarked lately how the whole digital gambling scene seems to
    be shifting with such a fast pace. This is honestly interesting to finally observe new casinos testing the standards of what we gamers feel
    software those years. I think the fact that customer protection really has become a
    top concern inside any top-tier brand, which is a
    critical point while checking this casino needforslots given that
    neither of us wants for to fret regarding data care during
    one run. Additionally, that math of today’s slots look getting much extra complex,
    and this honestly adds one cool depth concerning logic
    into what used to mostly be simple fortune. Actually, I’ve personally been asking myself if you guys like phone play rather than running your desktop these days?

    Does the depth remain as high with everyone independent about
    which hardware gets being picked? Honestly, I definitely would
    love to read any views on this trend!

  4. Heyy there! Someone inn mmy Facebook group shaeed thiss
    sitee wwith uus soo I caame to give iit a look. I’m definbitely loing thhe information.
    I’m bokmarking aand wull bee tweeting this too myy followers!
    Exceptionall bloog and great design.

  6. Howdey would youu miund sharing whiich blkg platform you’re
    worling with? I’m going to staqrt myy own blog inn thee near future
    buut I’m havging a hawrd time deciding btween BlogEngine/Wordpress/B2evolution aand Drupal.
    Thee reason I assk is because your dewign seemms diferent then moset blogss aand I’m loojing foor sometuing completely
    unique. P.S Sorry for beinhg off-topic but I had
    tto ask!

    Alsso visdit my homepaye bokep jepan

  8. Poslední dobou mám pocit, že spousta sázkařů nechává propadnout zajímavé bonusy jen proto, že
    nečtou podmínky protočení. Přijde mi to úsměvné, protože právě tyhle věci
    rozhodují o tom, zda hráč odejde se ziskem. Sám za sebe
    často využívám roulettino casino no deposit bonus pro přehled jak lépe pracovat s rozpočtem, což mi hodně pomohlo orientaci v herním
    světě. Jak vlastně při výběru kasina sledujete hlavně výši odměny, nebo spíše na uživatelské recenze?
    Je jasné, že že hrajeme hlavně pro radost, takže je fajn si to zbytečně nekomplikovat.
    Co si o tom myslíte?

  15. To be fair, I’ve really checking out quite of hours lately looking into the
    ways these digital betting actually handle these bonus programs.
    A thing that keeps striking me remains simply how significantly highly
    varied some offerings have become compared with a several seasons ago.
    It looks as if each site perpetually in the fierce competition intended to grab our interest regarding regular gamers, plus that usually leads to quite really interesting spingranny bonus methods which don’t really need a large first
    deposit. Another key point remains which not all reward truly equally
    simple as it initially appears. I’ve observed that some best benefit usually
    arrives when a player give the moment to truly check through policies until jumping headfirst inside that play.

    Particularly, if I use some bonus redemption key via a source, you ensure sure which you know the turnover load or what specific titles really add towards those target.
    Sometimes, finding code bonus spingranny
    may truly be some wise shortcut for getting the best accurate
    details barring hunting around too long. I’ve also feel which players that remain engaged often see better reward incentives that actually contribute
    in total across the full run. Has anyone really had any surprises with using
    these codes? Would anyone reckon that some current move of fewer rather significantly regular bonuses is truly
    superior for most regular users there?

Deja un comentario

Le Puede Interesar...
Bases de datos
Formación
admin

ABD

– Formación – Administración de sistemas gestores de bases de datos ( abr ) Lunasoft Consultoria Informática dejanos a nosotros estas en buenas manos Un

Leer Más >>
1 octubre, 2023 No hay comentarios
Sai Trifasico en CPD
Equipos
admin

Sai Online, Interactivo y Offline

– Hardware – SAIS Online-Offline-Interactivo  ¿Qué es un SAI? Un SAI es un Sistema de Alimentación Ininterrumpida, estos aparatos de protección contra problemas eléctricos y

Leer Más >>
3 noviembre, 2020 9 comentarios

Da el primer paso nosotros hacemos el resto

Además somos especialistas en las nueva tecnologías,Tiendas Online, certificados web, Dominios, Software de Grabación, video vigilancia, Formación…

  • 944-531-908
  • 09569 Villasante, Norte de Burgos
  • 09:00 - 14:00 - 16:00 - 19:00
Facebook Twitter Youtube
Lunasoft Consultoria Informatica

Estamos aquí para ayudarle, nuestra experiencia a lo largo de los años nos hace un equipo competitivo y Profesional de todas las necesidades para los particulares y las Pymes.

  • 944-531-908
  • 09569 Villasante
  • 09:00 - 14:00 / 16:00 - 19:00

Ultimas Noticias

Bases de datos

ABD

1 octubre, 2023

– Formación – Administración de sistemas gestores de bases de datos ( abr ) Lunasoft Consultoria Informática dejanos a nosotros estas en buenas manos Un

Leer Más >>
Sai Trifasico en CPD

Sai Online, Interactivo y Offline

3 noviembre, 2020

– Hardware – SAIS Online-Offline-Interactivo  ¿Qué es un SAI? Un SAI es un Sistema de Alimentación Ininterrumpida, estos aparatos de protección contra problemas eléctricos y

Leer Más >>
Boton de Compra Segura en Lunasoft

Estamos aquí para ayudarte

contactanos hoy

© 2020 All Rights Reserved

Soporte Tecnico Lunasoft