La seguridad en WordPress de la A a la Z

@josecontic
http://www.joseconti.com
Seguridad en WordPress de la A a la Z
Meetup WordPress Barcelona

@josecontic
Usad el hashtag para Twitter
#wpbarcelona
@josecontic

@josecontic
La inmensa mayoría de veces no sabremos que nos han hackeado 
 
Estaremos dentro de una botnet
@josecontic

@josecontic
Dónde actuar
Selección de hosting 
Durante la instalación
En la estructura
Con plugins
Mantenimiento
Estar al dia

@josecontic
Selección de Hosting
La selección de un hosting es
el primer arma que tenemos
para protegernos
@josecontic
http://www.joseconti.comMeetup WordPress Barcelona

@josecontic
Un hosting que no esté bien
preparado y conﬁgurado
signiﬁca que nos hackearan
@josecontic

@josecontic
suPHP o mod_ruid2
Jailed Shell
Si tenéis que dar permisos a
directorios y/o archivos
Cambiad de Hosting
@josecontic

@josecontic
Los permisos siempre deben ser
750 o 755 > directorios
644 o 640 > archivos 
 
wp-conﬁg puede tener 600
@josecontic

@josecontic
Si tenéis que dar permisos a
directorios y/o archivos
Cambiad de Hosting
@josecontic

@josecontic
Nombre de base de datos complejo
Usuario base de datos complejo
Contraseña base de datos compleja
Nunca dejar preﬁjo wp_
Usuario WordPress de dos o más palabras
Contraseña compleja (WordPress ahora nos ofrece una)
@josecontic

@josecontic
El usuario administrador que hemos creado
será temporal. Crearemos uno nuevo en el momento
en que accedamos a WordPress por primera vez.
Eliminaremos los permisos de administrador al
usuario creado durante la instalación.
@josecontic

@josecontic
Cómo proteger WordPress y como limpiar una instalación hackeada.
En la estructura
WordCamp Barcelona 2015
Mover wp-conﬁg.php al directorio superior
Permisos correctos de archivos y directorios 
Siempre tener rellenado los Security Keys
Posibilidad de mover wp-content
Posibilidad de mover directorio plugins 
Posibilidad de mover directorio themes 
Posibilidad de mover directorio uploads
@josecontic

@josecontic
Mover directorio wp-content
deﬁne( 'WP_CONTENT_DIR', dirname(__FILE__) . '/directorio/wp-content' );
deﬁne( 'WP_CONTENT_URL', ‘http://ejemplo.com/directorio/wp-content' );
@josecontic

@josecontic
Mover directorio plugins
define( 'WP_PLUGIN_DIR', dirname(__FILE__) . '/wp-content/plugins' );
define( 'WP_PLUGIN_URL', ‘http://ejemplo.com/wp-content/plugins' );
define( 'PLUGINDIR', dirname(__FILE__) . '/wp-content/plugins' ); 
@josecontic

@josecontic
Mover directorio themes
No se puede mover, ya que está en el core 
$theme_root = WP_CONTENT_DIR . '/themes';  
 
Pero se puede añadir nuevos directorios para themes: 
 
<?php register_theme_directory( $directory ) ?> 
@josecontic

@josecontic
Mover directorio uploads
deﬁne( 'UPLOADS', 'wp-content/uploads' );
@josecontic

@josecontic
.htaccess
Solo permitir algunos archivos en wp-content 
Poner un .htaccess dentro de wp-content 
 
# Bloquear acceso a todos los archivos excepto a los siguientes
Order deny,allow
Deny from all
<Files ~ ".(xml|css|js|jpe?g|png|gif|pdf|docx|rtf|odf|zip|rar)$">
Allow from all
</Files>
@josecontic

@josecontic
.htaccess
Bloquear acceso a wp-includes
 
# Bloquear archivos y directorios
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>
@josecontic

@josecontic
.htaccess
Aceptar solo a ciertas IPs acceder a wp-admin 
Se requiere IP estática
 
# Limitar acceso a wp-admin a estas IPs
<Limit GET POST PUT>
order deny,allow
deny from all
allow from 000.000.000.000
allow from DIRECCION_IP_2
</Limit>
@josecontic

@josecontic
.htaccess
Proteger wp-config.php y todos los .htaccess
# Denegar acceso a wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>
# Denegar acceso a todos los archivos .htaccess
<files ~ "^.*.([Hh][Tt][Aa])">
order allow,deny
deny from all
satisfy all
</files>
@josecontic

@josecontic
.htaccess 
Escondiendo nuestra versión de WordPress
Proteger readme.html y license.txt ( ¿y xmlrpc.php?
#Proteger readme.html y license.txt
<FilesMatch "^(readme.html|license.txt)">
Order allow,deny
Deny from all
Satisfy All
</FilesMatch>
@josecontic

@josecontic
functions.php (o plugin propio)
Escondiendo nuestra versión de WordPress
function tusitio_eliminar_version() {
return '';
}
add_ﬁlter('the_generator', 'tusitio_eliminar_version');
@josecontic

@josecontic
.htaccess
Protegerse del hotlinking
# Previene el hotlinking mostrando otra imagen.
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?tusitio.com [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?otrositiotuyo.com [NC]
RewriteRule .(jpg|jpeg|png|gif)$ http://i.imgur.com/MlQAH71.jpg [NC,R,L]
@josecontic

@josecontic
wp-conﬁg.php
No mostrar errores en pantalla
error_reporting( 0 ); 
@ini_set( 'display_errors', 0 );
@josecontic

@josecontic
wp-conﬁg.php
No permitir editar archivos
deﬁne( 'DISALLOW_FILE_EDIT', true );
@josecontic

@josecontic
Forzar SSL para el admin
Si tenemos certificado 
 
define('FORCE_SSL_LOGIN', true);
define('FORCE_SSL_ADMIN', true);
@josecontic

@josecontic
SSL gratuito y ﬁable
Let’s Encrypt
https://letsencrypt.org
Pero necesitas de un hosting que te lo ofrezca
@josecontic

@josecontic
Forzar el SSL, es importantes si nos conectamos
con conexiones públicas y no usamos un VPN
@josecontic

@josecontic
Backup
Es el primer plugin que se debe instalar.
BackWPup
BackupBuddy
o incluso Duplicator
@josecontic

@josecontic
Protección
Los plugins de protección, añadirán una capa
en nuestro WordPress
Wordfence Security
iThemes Security
Login Security Solution
BulletProof Security
Anti-Malware Security and Brute-Force Firewall
@josecontic

@josecontic
Control
Los plugins de control nos ayudaran a
controlar nuestro WordPress
Wordfence Security
Antivirus
@josecontic

@josecontic
Themes
Nunca descargar themes (o plugins) que no estén en sitios de conﬁanza
Nunca descargar themes (o plugins) de pago desde 
sitios que los ofrece de forma gratuita
@josecontic

@josecontic
Themes
Si instalas contenido dummy en tu theme,
elimínalo después 
 
Puedes acabar en la blacklist de Google
@josecontic

@josecontic
Mantenimiento
Imprescindible mantener todo actualizado.
Themes
Plugins
WordPress
(Todas las menores)
SO, PHP, MySQL, Apache, Nginx, etc.
@josecontic

@josecontic
Mantenimiento
No os olvidéis de los plugins y themes premium 
que no ofrecen actualizaciones gratuitas.
@josecontic

@josecontic
Estar al día
Hay que estar al día de todo.
Seguiremos cuentas de Twitter
Blogs de seguridad
Blogs sobre WordPress
Blogs oﬁciales
@josecontic

@josecontic
Muchas gracias a todos
José Conti
www.joseconti.com
@josecontic
@josecontic

La seguridad en WordPress de la A a la Z

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie La seguridad en WordPress de la A a la Z

Ähnlich wie La seguridad en WordPress de la A a la Z (20)

La seguridad en WordPress de la A a la Z