Hola!

Muy buenas a todos/as!

WordPress ese CMS tan utilizado por tanta gente, pero que a veces no se tiene cuidado, ya se por desconocimiento, o por dejadez, o por tener las herramientas a mano. Hay muchas instalaciones by default, y que se podrían mejorar. Mediante este POST veremos como mejorar la seguridad de nuestro CMS favorito.

Previo a la instalación

Abrimos el fichero wp-config.php y nos vamos hacia la línea q ue pone:

Claves únicas de autenticación:

Aquí tenemos una serie de campos por rellenar que son las claves de autenticación de WordPress. Estas claves nos permiten poner unas claves que se generan de manera aleatoria en WordPress y que nos permiten proteger nuestra sesiones activas en WordPress, nuestras cookies de sesión, por lo que sería prácticamente imposible descifrar esa clave de autenticación.

Ponemos un ejemplo de lo que pone en el fichero de configuración de WordPress:

* Claves únicas de autentificación.
   *

 * Define cada clave secreta con una frase aleatoria distinta.

 * Puedes generarlas usando el {@link https://api.wordpress.org/secret-key/1.1/salt/ servicio de claves secretas de WordPress}

 *

 * @since 2.6.0

 */

define('AUTH_KEY', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('SECURE_AUTH_KEY', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('LOGGED_IN_KEY', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('NONCE_KEY', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('AUTH_SALT', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('SECURE_AUTH_SALT', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('LOGGED_IN_SALT', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

define('NONCE_SALT', 'pon aquí tu frase aleatoria'); // Cambia esto por tu frase aleatoria.

/**#@-*/

Aquí tendríamos que cambiar donde pone ‘pon aquí tu frase aleatoria’ por la clave que se genera en la página de WordPress

Generador de claves de autenticación de WordPress

Así que nos quedará de esta manera:

define(‘AUTH_KEY’,         ‘rP<;,-=f9cirZ.p<GC{9oj}%RB8NdFmP&a;;uHHa[vs}p`zh+P6PJNB&)w(v$Pq4'); define('SECURE_AUTH_KEY',  'OO#--uRa%?4:0u$T@/[f-VnVhx-m8_j)-vK`tSOHp>@PuT7dU~P-pE`^]_3o/s0D’); define(‘LOGGED_IN_KEY’,    ‘v$=kU.<ZW#pOPY>%~-/4JC>$AHM*YZ3jPC!ab6i;/hvc=^pox?3Hm@*jKp2F#4X0′); define(‘NONCE_KEY’,        ‘!mI]vCPF}H/nDz>Aaj_vTl[03dyz;6mKbwK*:j{9c@c{nN<M8=f{dnxGE*I0[@/i'); define('AUTH_SALT',        'KvCc+pJ&O{d4#4SCacj>YN2:O+.D}y>X%.l$F.;7cqw-sDfo:^Z4G*S[A2X)&q)Y'); define('SECURE_AUTH_SALT', '1I*6)zLR+)&td&sJ}c]0!R0+YR+q[A/-J{3O%L8fXf5VvXSHR>&mzPXGCoENb;MN'); define('LOGGED_IN_SALT',   '>B-:Nn%<nB|L +6PBbg`#C?tX}Yf1eu@yBbc47+3}2A-a=b=U2pMUt??(&Bx@*c%'); define('NONCE_SALT',       'i3COboljZ^x#,fg&L%)%GPrX+Du]Y3YbCE$!1`sD~25;aSdyN?|N,%2uM[:|POD6′);

Ya tenemos las claves de autenticación.

En cuanto a la password de la base de datos y demás, decir que se creen contraseñas difíciles de recordar.

Os aconsejo esta página web.

Clave Segura

Seguimos con la configuración. Ahora el prefijo de la tabla.

Es importante cambiar el prefijo de la tabla, ya que si no, los ataques y exploits nuevos que salen, ya vienen por defecto a atacar este tipo de prefijos de tabla: Así que cambiamos el wp_ por, por ejemplo pr3fij0w0rdpr3ss_

Ahora y esta parte es muy importante, sólo para aquellos hostings en el que podáis hacerlo, pondremos los Logins y el panel de administración con SSL.

Añadimos al fichero de wp-config :

  define('FORCE_SSL_ADMIN', true);

Ahora ya podemos instalar nuestro WordPress

Seguimos en la siguiente entrega con plugins que podemos utilizar.

Un saludo