Aplicar la seguridad en WordPress desde la selección de un hosting

@josecontic
http://www.joseconti.com
Aplicar la seguridad en WordPress 
desde la selección de un hosting
WordCamp Sevilla 2016

La inmensa mayoría de veces no sabremos que nos han hackeado 
 
Estaremos dentro de una botnet
Meetup WordPress BarcelonaMeetup WordPress Barcelona
@josecontic
Aplicar la seguridad en WordPress desde la selección de un hosting

Dónde actuar
Selección de hosting 
Durante la instalación
En la estructura
Con plugins
Mantenimiento
Estar al día
Cuidar nuestro contenido
@josecontic
Meetup WordPress BarcelonaMeetup WordPress BarcelonaAplicar la seguridad en WordPress desde la selección de un hosting

Selección de Hosting
La selección de un hosting es
el primer arma que tenemos
para protegernos
@josecontic

Pero… 
¿necesitamos contratar un hosting?
@josecontic

Quizá WordPress.com ya nos sirva
@josecontic

Un hosting que no esté bien
preparado y conﬁgurado
signiﬁcará que nos hackearán
@josecontic

fast-cgi, suPHP o mod_ruid2
Jailed Shell
Si tenéis que dar permisos a
directorios y/o archivos
Cambiad de Hosting
@josecontic

Para más seguridad
Contratad VPS administrados
@josecontic
Hosteurope
PHP7 Let’s Encrypt HTTP/2

Los permisos siempre deben ser
750 o 755 > directorios
644 o 640 > archivos 
 
wp-conﬁg puede tener 600
@josecontic

Lo repito 
Si tenéis que dar permisos a
directorios y/o archivos
Cambiad de Hosting
@josecontic

Nombre de base de datos complejo
Usuario base de datos complejo
Contraseña base de datos compleja
Nunca dejar preﬁjo wp_
Usuario WordPress de dos o más palabras
Contraseña compleja (WordPress ahora nos ofrece una)
@josecontic

Ejemplo de contraseña segura
8x92$vwo7Ze6X/>kAn[b/7sZZ>ya6Ed
@josecontic

Usad generadores de contraseñas
Somos humanos y aplicamos patrones predecibles
@josecontic

@josecontic
¿Sabéis que es esto?

La policía de todo el mundo lo utiliza
para localizar a los asesinos en serie
con un error del 1%
@josecontic

Usad gestores de contraseñas
Pero que sean seguros
@josecontic

El usuario administrador que hemos creado
será temporal. Crearemos uno nuevo en el momento
en que accedamos a WordPress por primera vez
Eliminaremos los permisos de administrador al
usuario creado durante la instalación
@josecontic

En la estructura
Mover wp-conﬁg.php al directorio superior
Permisos correctos de archivos y directorios 
Siempre tener rellenado los Security Keys
Posibilidad de mover wp-content
Posibilidad de mover directorio plugins 
Posibilidad de mover directorio themes 
Posibilidad de mover directorio uploads
@josecontic

Mover directorio wp-content
deﬁne( 'WP_CONTENT_DIR', dirname(__FILE__) . '/directorio/wp-content' );
deﬁne( 'WP_CONTENT_URL', ‘http://ejemplo.com/directorio/wp-content' );
@josecontic

Mover directorio plugins
define( 'WP_PLUGIN_DIR', dirname(__FILE__) . '/wp-content/plugins' );
define( 'WP_PLUGIN_URL', ‘http://ejemplo.com/wp-content/plugins' );
define( 'PLUGINDIR', dirname(__FILE__) . '/wp-content/plugins' ); 
@josecontic

Mover directorio themes
No se puede mover, ya que está en el core 
$theme_root = WP_CONTENT_DIR . '/themes';  
 
Pero se puede añadir nuevos directorios para themes: 
 
<?php register_theme_directory( $directory ) ?> 
@josecontic

Mover directorio uploads
deﬁne( 'UPLOADS', 'wp-content/uploads' );
@josecontic

.htaccess
Solo permitir algunos archivos en wp-content 
Poner un .htaccess dentro de wp-content 
 
# Bloquear acceso a todos los archivos excepto a los siguientes
Order deny,allow
Deny from all
<Files ~ ".(xml|css|js|jpe?g|png|gif|pdf|docx|rtf|odf|zip|rar)$">
Allow from all
</Files>
@josecontic

.htaccess
Bloquear acceso a wp-includes
 
# Bloquear archivos y directorios
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>
@josecontic

.htaccess
Aceptar solo a ciertas IPs acceder a wp-admin 
Se requiere IP estática
 
# Limitar acceso a wp-admin a estas IPs
<Limit GET POST PUT>
order deny,allow
deny from all
allow from 000.000.000.000
allow from DIRECCION_IP_2
</Limit>
@josecontic

.htaccess
Proteger wp-config.php y todos los .htaccess
# Denegar acceso a wp-config.php
<files wp-config.php>
order allow,deny
deny from all
</files>
# Denegar acceso a todos los archivos .htaccess
<files ~ "^.*.([Hh][Tt][Aa])">
order allow,deny
deny from all
satisfy all
</files>
@josecontic

.htaccess 
Escondiendo nuestra versión de WordPress
Proteger readme.html y license.txt ( ¿y xmlrpc.php?
#Proteger readme.html y license.txt
<FilesMatch "^(readme.html|license.txt)">
Order allow,deny
Deny from all
Satisfy All
</FilesMatch>
@josecontic

@josecontic
http://www.joseconti.comWordCamp Barcelona 2015
functions.php (o plugin propio)
Escondiendo nuestra versión de WordPress
function tusitio_eliminar_version() {
return '';
}
add_ﬁlter('the_generator', 'tusitio_eliminar_version');
@josecontic
http://www.joseconti.comMeetup WordPress Barcelona @josecontic

.htaccess
Protegerse del hotlinking
# Previene el hotlinking mostrando otra imagen
RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?tusitio.com [NC]
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?otrositiotuyo.com [NC]
RewriteRule .(jpg|jpeg|png|gif)$ http://i.imgur.com/MlQAH71.jpg [NC,R,L]
@josecontic

wp-conﬁg.php
No mostrar errores en pantalla
error_reporting( 0 ); 
@ini_set( 'display_errors', 0 );
@josecontic

wp-conﬁg.php
No permitir editar archivos
deﬁne( 'DISALLOW_FILE_EDIT', true );
@josecontic

Forzar SSL para el admin
Si tenemos certificado 
 
define('FORCE_SSL_LOGIN', true);
define('FORCE_SSL_ADMIN', true);
@josecontic

SSL gratuito y ﬁable
Let’s Encrypt
https://letsencrypt.org
Pero necesitas de un hosting que te lo ofrezca
@josecontic

Forzar el SSL, es imprescindible si nos conectamos
mediante conexiones públicas y no usamos un VPN
@josecontic

Pero ojo
Desde ya, se puede aﬁrmar que tener toda nuestra web
bajo SSL es imprescindible.
Los navegadores “castigan” a los que no tienen
@josecontic

Web segura
@josecontic

Web ¿no segura?
@josecontic

Backup
Es el primer plugin que se debe instalar
BackWPup
BackupBuddy
o incluso Duplicator
@josecontic

Protección
Los plugins de protección, añadirán una capa
en nuestro WordPress
Wordfence Security
iThemes Security
Login Security Solution
BulletProof Security
Anti-Malware Security and Brute-Force Firewall
@josecontic

Control
Los plugins de control nos ayudaran a
controlar nuestro WordPress
Wordfence Security
Antivirus
@josecontic

Themes
Nunca descargar themes (o plugins) que no estén en sitios de conﬁanza
Nunca descargar themes (o plugins) de pago desde 
sitios que los ofrecen de forma gratuita
@josecontic

Themes
Si instalas contenido dummy en tu theme,
elimínalo después 
 
Puedes acabar en la blacklist de Google
@josecontic

Mantenimiento
Imprescindible mantener todo actualizado
Themes
Plugins
WordPress
(Todas las menores)
SO, PHP, MySQL, Apache, Nginx, etc.
@josecontic

Mantenimiento
Hosteurope
Nos mantiene actualizado todo
Si en una semana no decimos
lo contrario, todo lo no actualizado, será actualizado
automáticamente
@josecontic

Mantenimiento
No os olvidéis de los plugins y themes premium 
que no ofrecen actualizaciones gratuitas
@josecontic

Estar al día
Hay que estar al día de todo
Seguiremos cuentas de Twitter
Blogs de seguridad
Blogs sobre WordPress
Blogs oﬁciales
@josecontic

Protegiendo el contenido que creamos
Como ya he comentado, 
backup, backup y backup
pero…
@josecontic

¿Tenemos un WordPress
y publicamos contenido en Facebook?
@josecontic

En Facebook se publican referencias a nuestro contenido
NO pongamos TODO nuestro contenido en Facebook
@josecontic

@josecontic

@josecontic
bloquearon la foto (ya rectiﬁcaron) 
de la cuenta The Guardian

@josecontic
mensaje que recibió Shaun King 
Famoso columnista de New York Daily News
en pro de los derechos de las personas de color

@josecontic
Su cuenta fue bloqueada durante 24h

@josecontic
Estas son personas o empresas famosas 
En un caso que no cree polémica,
pueden llegar a eliminar una cuenta.

@josecontic
Tu trabajo de años eliminado de internet
por la decision de un tercero

@josecontic
Que Facebook trabaje para ti
No trabajes tú para Facebook

Muchas gracias a todos
José Conti
www.joseconti.com
@josecontic
@josecontic

Aplicar la seguridad en WordPress desde la selección de un hosting

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (20)

Destacado

Destacado (11)

Similar a Aplicar la seguridad en WordPress desde la selección de un hosting

Similar a Aplicar la seguridad en WordPress desde la selección de un hosting (20)

Último

Último (8)

Aplicar la seguridad en WordPress desde la selección de un hosting