Tarde o temprano, la mayoría de los sitios web se encuentran con algún tipo de problema de seguridad. Es posible que un usuario haya dejado la información de su cuenta en un lugar que no debería haber dejado, un atacante podría estar apuntando a su sitio o un complemento podría haber abierto una brecha de seguridad. No importa cuál sea el problema específico, una auditoría de seguridad del sitio web es la mejor manera de detectar este tipo de problemas antes de que puedan causar un daño significativo.
Una auditoría de seguridad completa puede tardar un tiempo en completarse, ya que normalmente implica varios pasos. Por ejemplo, querrá asegurarse de que WordPress y todos sus componentes estén actualizados, y que su sistema de respaldo funcione como debería. Sin embargo, esta inversión de tiempo puede dar sus frutos significativamente a largo plazo, protegiéndolo a usted y a los visitantes de su sitio.
Por qué es importante realizar auditorías de seguridad periódicas en su sitio web
Muchas personas no prestan demasiada atención a la seguridad del sitio web hasta que les afecta directamente. Para decirlo de otra manera, si hay una brecha de seguridad en su sitio, entonces sabe que ya dejó caer la pelota en algún momento antes de que eso sucediera.
El punto de una auditoría completa de seguridad del sitio web es que le permite revisar sus políticas y fortalecerlas, para que pueda disminuir la posibilidad de que surjan problemas en el futuro. Al realizar estas auditorías periódicamente, es menos probable que pase por alto cualquier problema de seguridad evidente, lo que debería ayudar a garantizar que los datos de sus usuarios estén bien protegidos.
Es una buena idea hacer esto al menos una vez al año, aunque es posible que desee aumentar la frecuencia si su sitio es grande o contiene información particularmente confidencial (como detalles de pago).
Cómo realizar una auditoría de seguridad de un sitio web (en siete pasos)
Una auditoría de seguridad exhaustiva debe incluir varios pasos, ya que evaluará su sitio de arriba a abajo. Repasemos las tareas más importantes en orden.
1. Verifique si hay actualizaciones de WordPress, complementos, temas o PHP
El software obsoleto es una de las principales causas de los problemas de seguridad del sitio web. Cuanto más obsoleto se vuelve un software, más probable es que los atacantes puedan encontrar vulnerabilidades y exploits que puedan usar para ingresar a su sitio web y causar daños graves.
Es por eso que WordPress insiste tanto en pedirle que use su última versión y que actualice los complementos y temas instalados en su sitio web. Cuanto más espere para actualizar los componentes de su sitio , mayor será su riesgo.
Eso también se aplica a la versión de PHP de su servidor, que es el lenguaje en el que se basa WordPress. Las versiones recientes de PHP son más seguras y rápidas, por lo que vale la pena actualizar a las últimas compilaciones siempre que sea posible.
2. Administre sus copias de seguridad y herramientas de copia de seguridad
Además de actualizar los componentes de su sitio web, lo más importante que puede hacer para garantizar su seguridad es realizar copias de seguridad de sus datos con frecuencia. Eso significa crear copias de seguridad completas de todos sus archivos y la base de datos de su sitio y mantener copias en múltiples ubicaciones.
Para una configuración óptima, recomendamos utilizar un proveedor de alojamiento que haga copias de seguridad de su sitio web con frecuencia. Además de eso, también debe configurar una solución de copia de seguridad independiente propia. Si está buscando un excelente complemento de copia de seguridad, le recomendamos UpdraftPlus:
Con UpdraftPlus, puede crear copias de seguridad manuales a voluntad y automatizar el proceso. De esa manera, eres libre de concentrarte en otras cosas.
3. Evalúe sus nombres de usuario, contraseñas y nombre de la base de datos
La mayoría de las personas son terribles para elegir credenciales seguras . En el peor de los casos, reutilizará el mismo nombre de usuario y contraseña en varias cuentas. Eso significa que si hay una sola violación de datos, los comprometerá a todos.
Primero, si está utilizando un nombre de usuario predeterminado como administrador para su cuenta de WordPress, querrá cambiarlo de inmediato . Asimismo, asegúrese de configurar una contraseña larga y segura :
Idealmente, utilizará un administrador de contraseñas como Keeper o Dashlane para ayudarlo a generar contraseñas únicas y seguras y realizar un seguimiento de ellas. También debe insistir en que sus colaboradores hagan lo mismo y, si es posible, aplicar contraseñas seguras también para sus usuarios habituales.
Del mismo modo, usar el prefijo predeterminado para su base de datos de WordPress puede facilitar que los usuarios la identifiquen e intenten acceder a ella. Así que adelante, cámbielo de wp_ a algo que no sea tan fácil de adivinar.
4. Elimine complementos, temas y archivos no utilizados de su servidor
La mayoría de nosotros instalamos más complementos y temas de los que terminamos usando. Del mismo modo, cuando terminamos con un complemento, a menudo nos olvidamos de desinstalarlo. El problema es que, a veces, esos complementos y archivos de temas antiguos pueden abrir vulnerabilidades de seguridad en su sitio, incluso si están desactivados.
Este paso es bastante simple: eche un vistazo a las pestañas Temas y Complementos , y considere cuáles necesita realmente. Si hay alguno que ha tenido desactivado por un tiempo, continúe y deshágase de él:
Una vez que desinstale esos temas y complementos, es posible que desee asegurarse de que no dejen ningún archivo atrás .
5. Evalúe sus métodos de prevención de ataques de fuerza bruta
Su página de inicio de sesión de WordPress es la primera línea de defensa contra ataques, por lo que es esencial que se asegure de que sea segura contra intentos de fuerza bruta. Hay varias maneras de hacerlo, incluyendo:
- Implementación de la autenticación de dos factores (2FA)
- Limitar la cantidad de intentos de inicio de sesión desde una sola IP dentro de un período de tiempo establecido
- Incluir en la lista blanca qué direcciones IP tienen acceso al tablero
- Cambiar la URL de inicio de sesión predeterminada de WordPress
Esto puede implicar bastante trabajo. Sin embargo, solo necesita implementar cada una de esas medidas de seguridad una vez y luego puede olvidarse de ellas hasta su próxima auditoría de seguridad.
6. Cerrar sesión o eliminar usuarios inactivos
Si es como nosotros, puede evitar cerrar sesión en muchos sitios web, por lo que no tiene que pasar por la molestia de ingresar sus credenciales la próxima vez que visite. Sin embargo, ese inconveniente es un pequeño precio a pagar para garantizar que, si pierde su dispositivo, nadie más pueda usar sus cuentas.
La forma más fácil de evitar que suceda esa situación es configurar WordPress para cerrar la sesión de los usuarios inactivos automáticamente después de un período de tiempo determinado. De esa manera, nadie puede usar sus cuentas para intentar acceder a su sitio. Puede configurar esto con el complemento gratuito de cierre de sesión inactivo:
7. Encuentra y elimina vulnerabilidades
Por último, pero no menos importante, hay muchas herramientas útiles que puede usar para escanear su sitio web y buscar (e incluso parchear) vulnerabilidades. Hablamos, por supuesto, de los complementos de seguridad de WordPress .
El uso de un complemento de seguridad de WordPress puede ayudarlo a proteger su sitio web, permitiéndole ejecutar escaneos regulares en busca de vulnerabilidades y archivos infectados.
Hay muchas opciones para elegir, pero si desea una recomendación rápida, no puede equivocarse con Sucuri. Ofrece un montón de opciones sin dejar de ser muy fácil de usar:
Wordfence es otra buena opción: puedes ver las diferencias entre Wordfence y Sucuri aquí .
Además de las herramientas de seguridad, también le recomendamos que configure un complemento de registro de actividad de WordPress. El registro de auditoría de seguridad de WP, por ejemplo, lo ayuda a realizar un seguimiento de cada pequeña cosa que sucede en su sitio web. Eso incluye inicios de sesión de usuario, cambios en sus páginas, modificaciones de archivos y más:
Combine los complementos de registro de seguridad y auditoría con todas las medidas que cubrimos anteriormente, y su sitio web debería ser tan seguro como una base militar.
Conclusión
Las prácticas de seguridad de sitios web inteligentes tienden a centrarse en la prevención. Al asegurarse de estar al tanto de las tareas clave, puede evitar que la mayoría de los problemas de seguridad afecten su sitio web en el futuro.
Por ejemplo, solo asegurarse de que su sistema de respaldo funcione puede ahorrarle muchos dolores de cabeza si alguna vez enfrenta una brecha de seguridad o si su sitio no funciona correctamente.
Hay muchos pasos involucrados en una auditoría de seguridad exhaustiva. Sin embargo, algunos de los procesos más importantes involucran la actualización de todos los componentes de su sitio, asegurándose de que su página de inicio de sesión esté bien protegida y aplicando prácticas seguras de contraseñas.
