{"id":4072,"date":"2024-12-03T11:16:49","date_gmt":"2024-12-03T16:16:49","guid":{"rendered":"https:\/\/cert.pa\/?p=4072"},"modified":"2024-12-03T11:16:50","modified_gmt":"2024-12-03T16:16:50","slug":"buenas-practicas-para-robustecer-el-login-de-wordpress","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=4072","title":{"rendered":"Buenas pr\u00e1cticas para robustecer el login de wordpress"},"content":{"rendered":"\n<p>WordPress es utilizado en una parte importante de los sitios web en Internet. Esta popularidad hace necesaria la implementaci\u00f3n de medidas de seguridad estrictas, especialmente para la p\u00e1gina de inicio de sesi\u00f3n. Estos puntos de entrada son objetivos principales para piratas inform\u00e1ticos y actores maliciosos. Al implementar las pr\u00e1cticas de seguridad adecuadas descritas en esta gu\u00eda, puede mantener un inicio de sesi\u00f3n seguro en WordPress y proteger su sitio contra accesos no autorizados y posibles violaciones de datos.<\/p>\n\n\n\n<p><strong>\u00bfQu\u00e9 tan segura es la p\u00e1gina de inicio de sesi\u00f3n de WordPress?<\/strong><\/p>\n\n\n\n<p>WordPress viene con funciones de seguridad b\u00e1sicas listas para usar. Sin embargo, estas protecciones est\u00e1ndar pueden no ser suficientes para protegerse de atacantes determinados. La p\u00e1gina de inicio de sesi\u00f3n predeterminada puede ser vulnerable a varias amenazas, entre ellas:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Ataques de fuerza bruta<\/li>\n\n\n\n<li>Credential stuffing<\/li>\n\n\n\n<li>Phishing<\/li>\n\n\n\n<li>Ataques de Hombre en medio (man in the middle)<\/li>\n<\/ul>\n\n\n\n<p>Para salvaguardar verdaderamente su sitio de WordPress, debe ir m\u00e1s all\u00e1 de la configuraci\u00f3n de seguridad predeterminada e implementar medidas de protecci\u00f3n adicionales.<\/p>\n\n\n\n<p>A continuaci\u00f3n, mencionaremos algunas de las formas m\u00e1s efectivas de aumentar la seguridad de inicio de sesi\u00f3n de WordPress:<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">1. Instalar un plugin de seguridad<\/h1>\n\n\n\n<p>Los plugin de seguridad ofrecen una protecci\u00f3n integral para su sitio de WordPress. A menudo incluyen caracter\u00edsticas como:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Protecci\u00f3n cortafuegos<\/li>\n\n\n\n<li>Escaneo de malware<\/li>\n\n\n\n<li>Monitoreo de intentos de inicio de sesi\u00f3n<\/li>\n\n\n\n<li>Bloqueo de IP<\/li>\n<\/ul>\n\n\n\n<p>Hay opciones tanto pagas como gratuitas, el precio var\u00eda dependiendo la cantidad de caracter\u00edsticas que tengan.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">2. Modifique el URL de inicio de sesi\u00f3n predeterminada<\/h1>\n\n\n\n<p>La URL de inicio de sesi\u00f3n est\u00e1ndar de WordPress es un objetivo bien conocido para los atacantes. Al cambiar esta direcci\u00f3n, puede reducir significativamente la cantidad de ataques que enfrenta su sitio.<\/p>\n\n\n\n<p>Pasos para cambiar su URL de inicio de sesi\u00f3n de WordPress:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Vaya a Complementos &gt; Agregar nuevo.<\/li>\n\n\n\n<li>Descargue, instale y active el complemento WPS Hide Login.<\/li>\n\n\n\n<li>Ser\u00e1s redirigido a la p\u00e1gina de configuraci\u00f3n del complemento.<\/li>\n\n\n\n<li>Actualice su ruta de inicio de sesi\u00f3n a una nueva URL y gu\u00e1rdela.<\/li>\n<\/ol>\n\n\n\n<p>Recuerde informar a sus usuarios leg\u00edtimos sobre la nueva direcci\u00f3n de inicio de sesi\u00f3n. Este simple cambio puede mejorar enormemente la seguridad de su sitio al dificultar que posibles intrusos encuentren el punto de entrada.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">3. Aplique pol\u00edticas de contrase\u00f1as seguras<\/h1>\n\n\n\n<p>Las contrase\u00f1as d\u00e9biles son un riesgo importante para la seguridad. Aliente a todos los usuarios a crear contrase\u00f1as seguras y \u00fanicas para sus cuentas. A continuaci\u00f3n, se ofrecen algunos consejos para la creaci\u00f3n de contrase\u00f1as:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Utilice una combinaci\u00f3n de letras may\u00fasculas y min\u00fasculas<\/li>\n\n\n\n<li>Incluir n\u00fameros y caracteres especiales.<\/li>\n\n\n\n<li>Haga contrase\u00f1as de al menos 12 caracteres<\/li>\n\n\n\n<li>Evite palabras o frases comunes<\/li>\n\n\n\n<li>No reutilice contrase\u00f1as en varios sitios<\/li>\n<\/ol>\n\n\n\n<p>Considere implementar una pol\u00edtica de contrase\u00f1as que haga cumplir estas reglas para todas las cuentas de usuario.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">4. Asegure el directorio wp-admin<\/h1>\n\n\n\n<p>Otra capa de protecci\u00f3n que puede agregar a su carpeta wp-admin es proteger con contrase\u00f1a su directorio wp-admin, lo que requiere que los usuarios proporcionen un conjunto adicional de credenciales antes de poder acceder a la p\u00e1gina de inicio de sesi\u00f3n de WordPress.<\/p>\n\n\n\n<p>Para los siguientes pasos, veremos c\u00f3mo funciona este proceso en cPanel:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li>Inicie sesi\u00f3n en su cPanel.<\/li>\n\n\n\n<li>Vaya a la secci\u00f3n Privacidad del directorio.<\/li>\n\n\n\n<li>Localice la carpeta public_html\/wp-admin y seleccione Editar.<\/li>\n\n\n\n<li>Habilite la protecci\u00f3n con contrase\u00f1a para este directorio.<\/li>\n\n\n\n<li>Ingrese un nombre para el directorio protegido y seleccione Guardar.<\/li>\n\n\n\n<li>Utilice el campo Crear usuario para agregar un nuevo nombre de usuario y contrase\u00f1a.<\/li>\n\n\n\n<li>Seleccione Guardar.<\/li>\n<\/ol>\n\n\n\n<p>Despu\u00e9s de configurar esto, los usuarios deber\u00e1n ingresar el nombre de usuario y la contrase\u00f1a asignados al directorio para poder ver la p\u00e1gina de inicio de sesi\u00f3n de WordPress. Esto a\u00fan se aplica incluso si ha movido su p\u00e1gina de inicio de sesi\u00f3n a una ubicaci\u00f3n diferente.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">5. Agregue autenticaci\u00f3n multifactor<\/h1>\n\n\n\n<p>La autenticaci\u00f3n de dos factores (2FA) agrega una capa de seguridad adicional al proceso de inicio de sesi\u00f3n. Luego de ingresar su nombre de usuario y contrase\u00f1a, los usuarios deber\u00e1n proporcionar una segunda forma de verificaci\u00f3n, como, por ejemplo:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Un c\u00f3digo enviado por SMS<\/li>\n\n\n\n<li>Un c\u00f3digo de aplicaci\u00f3n de autenticaci\u00f3n<\/li>\n\n\n\n<li>Una llave de seguridad f\u00edsica<\/li>\n<\/ul>\n\n\n\n<p>Google Authenticator de miniOrange es un complemento popular para implementar la autenticaci\u00f3n de dos factores en sitios de WordPress. Ofrece m\u00faltiples m\u00e9todos 2FA y es f\u00e1cil de configurar tanto para administradores como para usuarios.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">6. Realizar auditor\u00edas peri\u00f3dicas de las cuentas de los usuarios.<\/h1>\n\n\n\n<p>Mantener listas de usuarios limpias es crucial para la seguridad de WordPress. Siga estas mejores pr\u00e1cticas para la gesti\u00f3n de usuarios:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Eliminar cuentas de usuario inactivas.<\/li>\n\n\n\n<li>Audite peri\u00f3dicamente los roles y permisos de los usuarios.<\/li>\n\n\n\n<li>Utilice cuentas temporales para contribuyentes a corto plazo.<\/li>\n\n\n\n<li>Implementar un proceso formal para crear y eliminar cuentas de usuario.<\/li>\n<\/ul>\n\n\n\n<p>Al mantener ordenada su lista de usuarios reduce los posibles puntos de entrada para los atacantes.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">7. Deshabilite XML-RPC<\/h1>\n\n\n\n<p>XML-RPC es un protocolo que permite el acceso remoto a sitios de WordPress. Si bien es \u00fatil para algunas aplicaciones, los atacantes tambi\u00e9n pueden aprovecharlo para realizar ataques de fuerza bruta.<\/p>\n\n\n\n<p>Si no utiliza XML-RPC, es mejor desactivarlo. Puede hacerlo a trav\u00e9s de un complemento de seguridad o agregando el siguiente c\u00f3digo en la parte superior del archivo .htaccess de su sitio:<\/p>\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><a href=\"https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/xml.png\"><img loading=\"lazy\" decoding=\"async\" width=\"624\" height=\"189\" src=\"https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/xml.png\" alt=\"\" class=\"wp-image-4083\" srcset=\"https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/xml.png 624w, https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/xml-300x91.png 300w\" sizes=\"auto, (max-width: 624px) 100vw, 624px\" \/><\/a><\/figure><\/div>\n\n\n<p>Reemplace <strong>ALLOWED.IP.GOES.HERE<\/strong> con la direcci\u00f3n IP que desea permitir. Si desea deshabilitar por completo las solicitudes XML-RPC, puede eliminar esta l\u00ednea.<\/p>\n\n\n\n<p>Sin embargo, mantenga XML-RPC habilitado si usa:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>La aplicaci\u00f3n m\u00f3vil de WordPress<\/li>\n\n\n\n<li><em>Jetpack<\/em><\/li>\n\n\n\n<li>Algunos complementos de terceros que lo requieren<\/li>\n<\/ul>\n\n\n\n<p>Cuando mantenga XML-RPC activo, vig\u00edlelo de cerca para detectar cualquier actividad sospechosa.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">8. Limite los intentos de inicio de sesi\u00f3n<\/h1>\n\n\n\n<p>Limitar el n\u00famero de intentos de inicio de sesi\u00f3n puede evitar ataques de fuerza bruta. Despu\u00e9s de una cantidad determinada de intentos fallidos, el sistema deber\u00eda bloquear temporalmente la cuenta o direcci\u00f3n IP. Este enfoque frustra eficazmente los intentos de inicio de sesi\u00f3n automatizados y la adivinaci\u00f3n de contrase\u00f1as.<\/p>\n\n\n\n<p>Muchos complementos de seguridad ofrecen esta funci\u00f3n, o puede utilizar un complemento dedicado como Login LockDown.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">9. Habilite los cierres de sesi\u00f3n autom\u00e1ticos<\/h1>\n\n\n\n<p>De forma predeterminada, las sesiones de WordPress caducan despu\u00e9s de 48 horas, o 14 d\u00edas si selecciona la opci\u00f3n &#8220;Recordarme&#8221;. Sin embargo, esto todav\u00eda te deja vulnerable a cosas como el secuestro de cookies. Los cierres de sesi\u00f3n autom\u00e1ticos ayudan a evitar el acceso no autorizado a trav\u00e9s de sesiones abiertas y son especialmente importantes para sitios a los que se accede desde computadoras p\u00fablicas o compartidas.<\/p>\n\n\n\n<p>Configure un complemento de cierre de sesi\u00f3n autom\u00e1tico para finalizar las sesiones de los usuarios despu\u00e9s de un per\u00edodo de inactividad. Esto ayudar\u00e1 a reducir el riesgo de secuestro de sesi\u00f3n y acceso no autorizado a cuentas de administrador.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">10. Aplicar el principio de privilegio m\u00ednimo<\/h1>\n\n\n\n<p>Siga el principio de privilegio m\u00ednimo al asignar roles de usuario. Otorgue a los usuarios solo los derechos de acceso m\u00ednimos necesarios para realizar sus tareas. Este enfoque limita el da\u00f1o potencial si una cuenta se ve comprometida.<\/p>\n\n\n\n<p><strong>WordPress ofrece varios roles de usuario predeterminados:<\/strong><\/p>\n\n\n\n<p><strong>Administrador: <\/strong>acceso completo a todas las funciones de WordPress. Puede administrar la configuraci\u00f3n del sitio, instalar complementos y temas, editar c\u00f3digo y controlar el acceso de los usuarios.<\/p>\n\n\n\n<p><strong>Editor: <\/strong>puede publicar y administrar publicaciones, incluidas las de otros usuarios. Tiene acceso a p\u00e1ginas, comentarios, categor\u00edas y etiquetas, pero no puede modificar la configuraci\u00f3n del sitio.<\/p>\n\n\n\n<p><strong>Autor: <\/strong>Puede publicar y gestionar sus propias publicaciones. Puede cargar archivos e im\u00e1genes, pero no puede editar p\u00e1ginas ni publicaciones de otros usuarios.<\/p>\n\n\n\n<p><strong>Colaborador:<\/strong> puede escribir y administrar sus propias publicaciones, pero no puede publicarlas. No se pueden cargar archivos multimedia. Las publicaciones requieren la aprobaci\u00f3n de un editor o administrador.<\/p>\n\n\n\n<p><strong>Suscriptor:<\/strong> Puede leer contenido y administrar su propio perfil. Normalmente se utiliza para sitios con contenido restringido o funciones de membres\u00eda.<\/p>\n\n\n\n<p>Asigne roles con cuidado y considere crear roles personalizados con permisos espec\u00edficos si es necesario.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">11. Instale un certificado SSL<\/h1>\n\n\n\n<p>Los certificados Secure Sockets Layer (SSL) cifran los datos transmitidos entre los navegadores de los usuarios y su sitio web. Este cifrado es vital para proteger informaci\u00f3n confidencial, como las credenciales de inicio de sesi\u00f3n.<\/p>\n\n\n\n<p>Los beneficios de usar SSL incluyen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Transmisi\u00f3n de datos cifrada<\/li>\n\n\n\n<li><em>Clasificaci\u00f3n mejorada en los motores de b\u00fasqueda<\/em><\/li>\n\n\n\n<li>Mayor confianza del usuario<\/li>\n<\/ul>\n\n\n\n<p>Tambi\u00e9n puede obtener f\u00e1cilmente un certificado SSL gratuito a trav\u00e9s de Let&#8217;s Encrypt. Alternativamente, puede comprar un certificado SSL de un proveedor confiable.<\/p>\n\n\n\n<h1 class=\"wp-block-heading\">12. Ocultar la versi\u00f3n de WordPress<\/h1>\n\n\n\n<p>Ocultar su versi\u00f3n de WordPress puede hacer que a los atacantes les resulte m\u00e1s dif\u00edcil explotar vulnerabilidades espec\u00edficas de la versi\u00f3n. Agregue esta l\u00ednea a su archivo funciones.php:<\/p>\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><a href=\"https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/ocultar.png\"><img loading=\"lazy\" decoding=\"async\" width=\"624\" height=\"136\" src=\"https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/ocultar.png\" alt=\"\" class=\"wp-image-4082\" srcset=\"https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/ocultar.png 624w, https:\/\/cert.pa\/wp-content\/uploads\/2024\/12\/ocultar-300x65.png 300w\" sizes=\"auto, (max-width: 624px) 100vw, 624px\" \/><\/a><\/figure><\/div>\n\n\n<p>Esto eliminar\u00e1 el n\u00famero de versi\u00f3n de WordPress del c\u00f3digo de su sitio y deber\u00eda ayudar a disuadir los ataques automatizados.<\/p>\n\n\n\n<p>La implementaci\u00f3n de estas medidas de seguridad ayudar\u00e1 significativamente a reducir el riesgo de acceso no autorizado y posibles violaciones de datos, protegiendo tanto sus datos como a sus usuarios.<\/p>\n\n\n\n<div class=\"wp-block-columns is-layout-flex wp-container-core-columns-is-layout-9d6595d7 wp-block-columns-is-layout-flex\">\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<figure class=\"wp-block-embed is-type-wp-embed is-provider-csirt-panama wp-block-embed-csirt-panama\"><div class=\"wp-block-embed__wrapper\">\n<blockquote class=\"wp-embedded-content\" data-secret=\"6uKZTL3VVZ\"><a href=\"https:\/\/cert.pa\/?p=3323\">Los cuidados que debemos de tener en Discord<\/a><\/blockquote><iframe loading=\"lazy\" class=\"wp-embedded-content\" sandbox=\"allow-scripts\" security=\"restricted\" style=\"position: absolute; clip: rect(1px, 1px, 1px, 1px);\" title=\"&#8220;Los cuidados que debemos de tener en Discord&#8221; &#8212; CSIRT Panama\" src=\"https:\/\/cert.pa\/?p=3323&#038;embed=true#?secret=vxeYqptGnc#?secret=6uKZTL3VVZ\" data-secret=\"6uKZTL3VVZ\" width=\"500\" height=\"282\" frameborder=\"0\" marginwidth=\"0\" marginheight=\"0\" scrolling=\"no\"><\/iframe>\n<\/div><\/figure>\n<\/div>\n\n\n\n<div class=\"wp-block-column is-layout-flow wp-block-column-is-layout-flow\">\n<figure class=\"wp-block-embed is-type-wp-embed is-provider-csirt-panama wp-block-embed-csirt-panama\"><div class=\"wp-block-embed__wrapper\">\n<blockquote class=\"wp-embedded-content\" data-secret=\"Sa4kehm5yn\"><a href=\"https:\/\/cert.pa\/?p=3292\">Privacidad y Seguridad en WhatsApp<\/a><\/blockquote><iframe loading=\"lazy\" class=\"wp-embedded-content\" sandbox=\"allow-scripts\" security=\"restricted\" style=\"position: absolute; clip: rect(1px, 1px, 1px, 1px);\" title=\"&#8220;Privacidad y Seguridad en WhatsApp&#8221; &#8212; CSIRT Panama\" src=\"https:\/\/cert.pa\/?p=3292&#038;embed=true#?secret=bDkCwqxDYO#?secret=Sa4kehm5yn\" data-secret=\"Sa4kehm5yn\" width=\"500\" height=\"282\" frameborder=\"0\" marginwidth=\"0\" marginheight=\"0\" scrolling=\"no\"><\/iframe>\n<\/div><\/figure>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>WordPress es utilizado en una parte importante de los sitios web en Internet. Esta popularidad hace necesaria la implementaci\u00f3n de medidas de seguridad estrictas, especialmente para la p\u00e1gina de inicio de sesi\u00f3n. Estos puntos de&#8230;<\/p>\n","protected":false},"author":7,"featured_media":4086,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[3],"tags":[72,178,14],"class_list":["post-4072","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia-y-seguridad","tag-avisos-de-seguridad","tag-login","tag-wordpress"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/4072","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=4072"}],"version-history":[{"count":12,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/4072\/revisions"}],"predecessor-version":[{"id":4088,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/4072\/revisions\/4088"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/4086"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=4072"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=4072"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=4072"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}