Millorar la seguretat de WordPress

T’oferim una llista de consells que pots aplicar perquè el teu blog de WordPress sigui més segur 

Mantenir WordPress actualitzat

Habitualment, l’última actualització de WordPress corregeix diversos problemes de seguretat. Si no actualitzes WordPress a l’última versió periòdicament, els usuaris malintencionats poden aprofitar les vulnerabilitats de seguretat de la versió antiga de WordPress que puguis tenir instal·lada i accedir fàcilment al teu blog.

Fer còpies de seguretat de la base de dades i dels fitxers web periòdicament

Fer una còpia de seguretat de la base de dades i dels fitxers és molt important per evitar perdre’ls en cas d’un atac. Un bon connector per gestionar i automatitzar les còpies de seguretat de la base de dades és WP-DBManager. Aquest connector crearà automàticament la còpia de seguretat de la base de dades i l’enviarà a l’adreça electrònica que indiquis a la configuració del connector.

Utilitzar una contrasenya complexa

Un error habitual és utilitzar un nom o una altra dada personal a la contrasenya, o contrasenyes massa senzilles (per exemple: 1234, casa, etc.). Una contrasenya segura és essencial per a un usuari amb privilegis d’administrador. Per això, a l’hora de triar una contrasenya segura per al teu blog o per a qualsevol altre accés que requereixi una bona seguretat, cal que:

• La contrasenya sigui alfanumèrica, és a dir, que contingui tant números com lletres.
• Tingui tant majúscules com minúscules.
• Contingui caràcters especials (¬ ! #$%…).

Assignar els permisos correctes (CHMOD) a les carpetes del servidor / allotjament

Una opció és utilitzar el connector WP Security Scan. Aquest connector t’ajudarà a saber si les carpetes de WordPress del servidor / allotjament tenen els permisos més segurs.

Evitar l’exploració de determinades carpetes

Una altra norma bàsica per protegir correctament WordPress és impedir que els visitants puguin explorar les carpetes del lloc web.

Per exemple, hauries d’evitar que es vegin tots els fitxers d’aquesta carpeta quan algú escrigui http://www.tunombrededominio.com/wp-admin/.

Per evitar-ho, només has d’afegir la línia de codi següent al fitxer .htaccess de la carpeta arrel del servidor:

Options All -Indexes

Utilitzar el fitxer robots.txt per deshabilitar l’accés

El fitxer robots.txt s’utilitza per indicar als cercadors quines carpetes del lloc web no vols que explori el robot del cercador.

Per exemple, hauries de desactivar l’exploració de les carpetes “/plugins” i “/wp-admin“.

Per fer-ho, només has de copiar el text següent en un fitxer del Bloc de notes, anomenar-lo “robots.txt” i pujar-lo a la carpeta arrel del teu lloc web de WordPress:

#
User-agent: *
Disallow: /cgi-bin
Disallow: /wp-admin
Disallow: /wp-includes
Disallow: /wp-content/plugins/
Disallow: /wp-content/cache/
Disallow: /wp-content/themes/
Disallow: */trackback/
Disallow: */feed/
Disallow: /*/feed/rss/$
Disallow: /category/*

Protegir la carpeta “/plugins”

Els connectors que utilitzes poden oferir molta informació valuosa sobre el teu lloc web a un usuari maliciós, de manera que és millor ocultar-los. Per fer-ho, només has de crear un fitxer sense contingut al Bloc de notes, desar-lo com a index.html i després pujar aquest fitxer a la carpeta “/wp-content/plugins/“.

Revisar els comentaris

Els usuaris que es dediquen a enviar contingut brossa omplen els blogs de comentaris si no hi ha moderació o un filtre contra el contingut brossa. Aquests comentaris poden contenir enllaços a llocs web potencialment perjudicials que poden afectar els lectors i, fins i tot, el blog. Aquests són alguns dels connectors que pots instal·lar per evitar el contingut brossa als comentaris del teu blog:

• Akismet: Connector de protecció contra el contingut brossa. Revisa els comentaris amb el servei web d’Akismet per determinar si semblen contingut brossa i t’ofereix l’opció d’indicar si un comentari ho és o no.
• Math Comment Spam Protection: Connector que planteja al lector una pregunta matemàtica senzilla abans de publicar el comentari. Això serveix per comprovar que el visitant és una persona i no un robot de contingut brossa.
• reCAPTCHA: Aquest connector demana que s’introdueixin els caràcters que es veuen en una imatge (Captcha) per comprovar si el visitant és una persona o un robot de contingut brossa.

Canviar el prefix de la base de dades

Per fer que la base de dades sigui més segura, és molt important canviar el prefix per defecte de WordPress, ja que utilitza el prefix “wp_” a totes les taules i un usuari amb prou coneixements podria aprofitar aquesta vulnerabilitat de seguretat.

El primer pas és canviar el prefix al fitxer wp-config.php, a la línia següent:

$table_prefix = ‘nuevoprefijo_’;

Després hauràs de canviar el nom de les taules de la base de dades amb el prefix nou. Per fer-ho, pots executar la sentència SQL següent a la base de dades:

RENAME TABLE wp_comments tonuevoprefijo_comments;
RENAME TABLE wp_links to nuevoprefijo_links;
RENAME TABLE wp_options to nuevoprefijo_options;
RENAME TABLE wp_postmeta to nuevoprefijo_postmeta;
RENAME TABLE wp_posts to nuevoprefijo_posts;
RENAME TABLE wp_terms to nuevoprefijo_terms;
RENAME TABLE wp_term_relationships to nuevoprefijo_term_relationships;
RENAME TABLE wp_term_taxonomy to nuevoprefijo_term_taxonomy;
RENAME TABLE wp_usermeta to nuevoprefijo_usermeta;
RENAME TABLE wp_users to nuevoprefijo_users;

A continuació, hauràs d’executar la sentència SQL següent perquè WordPress funcioni correctament:

T option_name = REPLACE(option_name, 'wp_','nuevoprefijo_');
UPDATE t45s4w_usermeta SET meta_key = REPLACE(meta_key, 'wp_','nuevoprefijo_');

Restringir l’accés als fitxers de la carpeta /wp-content

La carpeta wp-content conté els fitxers del tema de WordPress, les imatges que has pujat i els connectors. WordPress no accedeix a aquests fitxers via HTTP. Les úniques peticions des d’un navegador web haurien de ser a fitxers d’imatge, javascript, css i xml.

Per aquest motiu, convé restringir la carpeta “wp-content” perquè només es permeti veure aquests tipus de fitxers.

Per restringir aquest accés, crea un fitxer al Bloc de notes, desa’l com a .htaccess, afegeix-hi les línies següents i puja’l a la carpeta “wp-content” de la instal·lació de WordPress:

Order deny,allow
Deny from all
<Files ~ “.(php|lock|xml|css|jpe?g|png|gif|js)$”>
Allow from all
</Files>

Bloquejar l’accés per IP a la carpeta wp-admin

Pots restringir l’accés a la carpeta “wp-admin“ perquè només hi puguin accedir les adreces IP que triïs.

Per fer-ho, has de crear un fitxer “.htaccess” a la carpeta /wp-admin amb les línies següents:

AuthUserFile /dev/null
AuthGroupFile /dev/null
AuthName “Access Control”
AuthType Basic
order deny,allow
deny from all
allow from 000.000.000.000

Recorda substituir 000.000.000.000 per l’adreça IP a la qual vols permetre l’accés.

Protegir el fitxer wp-config.php

El fitxer wp-config.php conté tota la informació que WordPress necessita per accedir a la base de dades. Protegir aquest fitxer és molt important per a la seguretat del teu lloc web.

Per fer-ho, només hauràs d’afegir les línies de codi següents al fitxer .htaccess de la carpeta arrel del servidor de WordPress per impedir que qualsevol robot o persona pugui accedir directament a aquest fitxer:

<files wp-config.php>
order allow,deny
deny from all
</files>

Utilitzar les claus secretes d’autenticació a wp-config.php

Aquestes claus secretes s’utilitzen per fer que sigui més difícil esbrinar la contrasenya mitjançant atacs de força bruta. Només has de visitar WordPress Key Generator i copiar les 8 claus a les línies següents del fitxer wp-config.php:

define(‘AUTH_KEY’, ‘Clave auto-generada’);
define(‘SECURE_AUTH_KEY’, ‘Clave auto-generada’);
define(‘LOGGED_IN_KEY’, ‘Clave auto-generada’);
define(‘NONCE_KEY’, ‘Clave auto-generada’);
define(‘AUTH_SALT’, ‘Clave auto-generada’);
define(‘SECURE_AUTH_SALT’, ‘Clave auto-generada’);
define(‘LOGGED_IN_SALT’, ‘Clave auto-generada’);
define(‘NONCE_SALT’, ‘Clave auto-generada’);

Moure el fitxer wp-config.php

Des de WordPress 2.6 es pot moure el fitxer “wp-config.php” de la carpeta arrel de la instal·lació de WordPress per dificultar els accessos malintencionats. Només has de moure el fitxer “wp-config.php” a qualsevol carpeta que es trobi dins de la carpeta arrel de la instal·lació. Si WordPress no el troba a la carpeta arrel, el cercarà automàticament a totes les altres carpetes.

Canviar el nom de l’usuari “admin“

Això dificultarà que els usuaris maliciosos accedeixin al teu blog amb males intencions. Per fer-ho, només has d’executar la sentència SQL següent a la base de dades (recorda indicar el teu propi nom d’usuari on diu “NuevoUsuario"):

UPDATE wp_users SET user_login = 'NuevoUsuario' WHERE user_login ='admin';

Protegir el blog contra les injeccions de codi

El codi següent protegirà el teu blog contra les injeccions de codi que modifiquen les variables GLOBALS i _REQUEST de PHP. Enganxa’l al fitxer .htaccess principal:

Options +FollowSymLinks
RewriteEngine On
RewriteCond %{QUERY_STRING} (\<|%3C).*script.*(\>|%3E) [NC,OR]
RewriteCond %{QUERY_STRING} GLOBALS(=|\[|\%[0-9A-Z]{0,2}) [OR]
RewriteCond %{QUERY_STRING} _REQUEST(=|\[|\%[0-9A-Z]{0,2})
RewriteRule ^(.*)$ index.php [F,L]

No mostrar la versió de WordPress

Mostrar la versió de WordPress pot oferir informació als usuaris maliciosos sobre si el teu blog està actualitzat o no. Si és una versió antiga, poden aprofitar-ne els errors i prendre el control del lloc web.

WordPress publica automàticament aquesta dada al tema. La línia de codi següent indica a WordPress que no la publiqui. Només cal copiar-la al fitxer functions.php del tema:

<?php remove_action(‘wp_head’, ‘wp_generator’); ?>

Limitar els intents d’accés al tauler d’administració de WordPress

De vegades, un usuari malintencionat pot creure que sap la teva contrasenya o pot haver desenvolupat un script per esbrinar-la. En aquest cas, cal limitar el nombre de vegades que un usuari pot introduir dades d’accés incorrectes. Ho pots fer fàcilment amb el connector Login Lockdown, que bloquejarà un usuari durant X temps si ha introduït dades incorrectes X vegades.

Utilitzar un accés segur

Els usuaris de WordPress que tenen un certificat SSL habilitat per al seu domini (SSL és un protocol criptogràfic que protegeix la comunicació entre xarxes) haurien d’utilitzar aquest canal xifrat per accedir al tauler d’administració per motius de seguretat.

Per fer-ho, només has de posar el codi següent al fitxer wp-config.php:

define(‘FORCE_SSL_ADMIN’, true);

No mostrar els errors d’accés

Quan s’introdueix un nom d’usuari o una contrasenya incorrectes, apareix un missatge d’error a la pàgina d’accés que indica que no s’ha pogut accedir perquè el nom d’usuari o la contrasenya són incorrectes. Per tant, si un atacant introdueix una dada correcta, el missatge d’error l’ajudarà a identificar-la. Per això, és recomanable eliminar completament aquest missatge d’error.

Per fer-ho, només has d’incloure el codi següent al fitxer functions.php del tema:

add_filter(‘login_errors’,create_function(‘$a’, “return null;”));

Eliminar els connectors innecessaris

Sempre és aconsellable eliminar els connectors que no s’utilitzen, ja que poden crear vulnerabilitats de seguretat que un atacant pot aprofitar fàcilment.

Article extret del blog Trazos Web