Riesgos del sitio de WordPress

Los sitios web de WordPress representan más de un tercio de todos los sitios web en Internet. WordPress es flexible y potente, y alberga algunos de los sitios web más utilizados, como Disney, Facebook y Sony. También es muy utilizado por las pequeñas y medianas empresas (pymes). Desafortunadamente, estas pymes pueden descuidar la seguridad de sus sitios WordPress. Timothy Chiu, vicepresidente de marketing de K2 CyberSecurity, encontró más de 1.5 millones de sitios WordPress con vulnerabilidades críticas, a menudo vinculadas a alguno de los más de 50 000 plugins que mejoran la funcionalidad de WordPress. CyberHoot ha escrito extensamente sobre plugins inseguros, publicando un artículo en su blog sobre extensiones peligrosas para el navegador Chrome. Los plugins de WordPress no son una excepción. Se siguen encontrando brechas de seguridad en los plugins de los sitios WordPress con una frecuencia alarmante. Por ello, es fundamental contar con las medidas adecuadas para protegerse contra estos peligros claros e inminentes.

Cómo proteger su sitio

CyberHoot funciona con WordPress y, como empresa centrada en la ciberseguridad, nos esforzamos al máximo para proteger nuestro sitio contra ataques. Estas son nuestras mejores prácticas para proteger WordPress.

Minimizar complementos; actualizar y aplicar parches a todo lo demás

Según una encuesta de Wordfence , el 55.9 % de los sitios de WordPress son hackeados debido a una vulnerabilidad en un plugin. Los administradores de WordPress deben comenzar eliminando los plugins no utilizados o innecesarios para reducir el riesgo. Luego, deben aplicar parches y actualizar todo lo que quede, incluyendo WordPress, sus plugins, el sistema operativo subyacente e incluso el servidor web. Una de las fortalezas de WordPress son sus notificaciones, que avisan cuando hay una nueva versión de plugin o un parche disponible. Siga estos avisos y aplique parches al menos mensualmente, pero con mayor frecuencia cuando se publique algo crítico. Desarrolle una Política de Gestión de Alertas de Vulnerabilidad (VAMP) que determine la rapidez con la que debe aplicar parches según el nivel de amenaza. CyberHoot ofrece una plantilla VAMP para sus clientes.

Instalar un complemento de seguridad

Si buscas plugins de seguridad para sitios de WordPress en Google, encontrarás muchos artículos que detallan plugins de seguridad adicionales que pueden reforzar tu sitio de WordPress, inspeccionar tus plugins para detectar parches faltantes, versiones antiguas e incluso plugins inseguros. CyberHoot utiliza un plugin de seguridad que no mencionaremos para proteger nuestro sitio. Aquí tienes algunos artículos sobre plugins de seguridad donde puedes encontrar opciones para proteger tu sitio:

• HubSpot: Plugins de WordPress para detectar código malicioso
• 17 complementos de seguridad para bloquear a los malos
• 9 escáneres de WordPress para detectar vulnerabilidades de seguridad

Escanee y revise su sitio

Las empresas deberían escanear sus sitios de WordPress . Los escaneos son eficientes, económicos y proporcionan información útil para las etapas de evaluación posteriores. La mayoría de los hackers realizan escaneos, por lo que es recomendable hacer lo mismo para ver lo que ellos ven. Es importante saber que el escaneo no proporciona una lista completa de vulnerabilidades de seguridad. Es solo una parte de la estrategia general. Las pruebas de escaneo para vulnerabilidades comunes incluyen:

• Los scripts entre sitios (XSS) permiten a los atacantes inyectar scripts maliciosos en páginas web vistas por otros usuarios;
• Falsificación de solicitud entre sitios (CSRF): una página web de terceros puede engañar al navegador de un usuario para que envíe comandos no autorizados a una aplicación web;
• Autenticación rota, falla en la verificación de la identidad del usuario; y
• Control de acceso roto, falla en la aplicación de permisos de usuario.

Si la empresa no cuenta con la experiencia para ejecutar estos procesos internamente, un especialista externo en ciberseguridad generalmente puede hacerlo.

Administrar contraseñas y acceso al sitio

Es necesario usar contraseñas únicas de al menos 14 caracteres para todas las cuentas de administrador. Dado que la persona promedio usa más de 90 cuentas en línea (Fuente: Dashlane ), CyberHoot recomienda usar un gestor de contraseñas. Actualmente existen muchas opciones gratuitas de gestores de contraseñas para uso personal, como LastPass , 1Password y Dashlane.

Habilitar la autenticación de dos factores (2FA)

No basta con usar contraseñas largas y únicas de más de 14 caracteres. También debes habilitar la autenticación de dos factores para los desarrolladores de contenido y los administradores de tu sitio de WordPress. La autenticación de dos factores combina dos de los tres siguientes factores de identificación:

1. Algo tu know – Lo más frecuente es que sea una contraseña para su cuenta;
2. Algo tu deben acudir – Como por ejemplo un teléfono celular con un código de autenticación temporal; y
3. Algo tu son – Como tu huella dactilar o el reconocimiento facial.

Reflexiones finales sobre los sitios web de WordPress

Para aprender a escanear su sitio de WordPress, mire este breve video:

Fuentes: 

Construyendo un cortafuegos humano – CyberHoot

Pasos para proteger un sitio de WordPress – DarkReading

Lecturas adicionales: 

Guía de implementación de seguridad de WordPress de OWASP

Cómo hacer que la seguridad de las aplicaciones sea correcta