Categoría: Web Hosting

Recomendaciones para mejorar la seguridad de WordPress

El CMS (sistema de gestión de contenidos) más prevalente en la actualidad es WordPress, liderando con un 43,2% de presencia en la totalidad de sitios web. Sin embargo, su extensa popularidad también lo convierte en un objetivo para diversos actores malintencionados que buscan explotar las vulnerabilidades de seguridad presentes en esta plataforma.

Esto no sugiere que WordPress carezca de un sistema de seguridad eficaz; más bien, las posibles vulnerabilidades pueden surgir debido a la falta de atención de los usuarios hacia la seguridad. Por ende, es recomendable adoptar medidas preventivas antes de que alguien intente comprometer la seguridad de tu sitio web.

La importancia de la seguridad de WordPress

Existe la posibilidad de perder datos cruciales, activos y credibilidad si tu sitio web es objeto de un ataque informático. Además, un incidente de este tipo podría comprometer la seguridad de los datos personales de tus clientes y la información de facturación.

A continuación, se presentan algunos de los tipos de vulnerabilidades de seguridad más frecuentes en WordPress, según la base de datos de vulnerabilidades de WPScan:

  • La falsificación de solicitudes en sitios cruzados (CSRF): obliga al usuario a realizar acciones no deseadas en una aplicación web confiable.
  • El ataque de denegación de servicio distribuido (DDoS): incapacita los servicios en línea llenándolos de conexiones no deseadas, lo que hace que un sitio sea inaccesible.
  • El bypass de autenticación: permite a los piratas informáticos acceder a los recursos de tu sitio web sin tener que verificar que es un usuario real.
  • La inyección SQL (SQLi): obliga al sistema a ejecutar consultas SQL maliciosas y manipula los datos de la base de datos.
  • El Cross-site scripting (XSS): inyecta código malicioso que convierte un sitio en un transportador de malware.
  • La inclusión de archivos locales (LFI): requiere que el sitio procese archivos maliciosos en el servidor.

Consejos para aumentar la seguridad de WordPress

Actualizar con frecuencia la versión de WordPress

WordPress regularmente publica actualizaciones de software destinadas a mejorar tanto el rendimiento como la seguridad del sistema. Estas actualizaciones desempeñan un papel crucial en la protección de tu sitio web contra posibles ataques cibernéticos.

Una de las formas más sencillas de fortalecer la seguridad de tu instalación de WordPress es mantenerla actualizada. Sin embargo, sorprendentemente, cerca del 50% de los sitios que utilizan WordPress aún operan con versiones antiguas, lo que aumenta su vulnerabilidad.

Para verificar si tienes la versión más reciente de WordPress, accede a tu panel de administración y dirígete a “Escritorio” => “Actualizaciones” en el menú de la izquierda. Si observas que tu versión no está actualizada, se recomienda encarecidamente que realices la actualización lo antes posible.

Es esencial estar atento a las fechas de lanzamiento de las futuras actualizaciones para asegurarse de que tu sitio web no esté utilizando una versión obsoleta de WordPress.

Además, se recomienda encarecidamente actualizar tanto los temas como los plugins instalados. Aquellos que no estén actualizados pueden generar interferencias con el software central recién actualizado de WordPress, ocasionando errores y representando una potencial amenaza para la seguridad del sitio. Mantener todos los componentes actualizados contribuye significativamente a la robustez y seguridad general de tu plataforma.

Para eliminar los temas y plugins obsoletos, sigue estos pasos:

1 – Debes acceder al panel de administración de WordPress y buscar la sección Escritorio => Actualizaciones.
2 – Desplázate hacia abajo hasta las secciones de Plugins y Temas y revisa la lista de los plugins que deben actualizarse. Ten en cuenta que se pueden actualizar todos de una vez.
3 – Pulsa en el botón «Actualizar plugins».

Te podría interesar leer nuestro artículo: ¿Debería actualizar WordPress o los complementos primero? (Orden de actualización adecuado)

Utiliza credenciales de inicio de sesión seguras de Wp-admin

Un error común es emplear nombres de usuario fácilmente comprensibles, como “administrador”, “admin” o “test”, lo cual incrementa el riesgo de ataques de fuerza bruta. Además, los atacantes también se dirigen a sitios de WordPress que cuentan con contraseñas débiles.

Por ende, se recomienda encarecidamente que tanto el nombre de usuario como la contraseña sean más complejos y difíciles de prever.

Si necesitas crear una nueva cuenta de administrador en WordPress, sigue estos pasos:

Ve a Usuarios en el panel de control de WordPress y selecciona Añadir nuevo usuario.

Para crear un nuevo usuario con el rol de Administrador, sigue estos pasos:

  1. Inicia sesión en tu panel de administración de WordPress.
  2. Dirígete a “Usuarios” en el menú de la izquierda y selecciona “Añadir nuevo”.
  3. Completa los campos requeridos, como nombre de usuario y dirección de correo electrónico.
  4. Asigna el rol de “Administrador” en la sección “Rol del usuario”.
  5. Genera una contraseña robusta que incluya letras mayúsculas y minúsculas, números y símbolos. Se recomienda una longitud superior a 12 caracteres.
  6. Pulsa el botón “Añadir nuevo usuario” para completar el proceso.

Para crear contraseñas seguras, puedes utilizar herramientas en línea como LastPass y 1Password. Estas plataformas pueden generar y almacenar contraseñas de manera segura. Además, facilitan la gestión de contraseñas, eliminando la necesidad de memorizarlas y contribuyendo así a mantener la seguridad de tus credenciales.

Configura una lista de bloqueo y seguridad para la página de administración

La activación del bloqueo de la URL ayuda a proteger tu página de acceso contra direcciones IP no autorizadas y ataques de fuerza bruta. Para lograrlo, se requiere la implementación de un servicio de firewall de aplicaciones web (WAF) como Cloudflare o Sucuri.

En el caso de Cloudflare, es posible configurar una regla de bloqueo de zona especificando las URLs que deseas bloquear y el rango de IPs autorizadas para acceder a ellas. Esto garantiza que las direcciones fuera de este rango no tengan acceso.

Por otro lado, Sucuri ofrece la función de lista negra de rutas de URL. Inicialmente, se añade la URL de la página de inicio de sesión a la lista negra para que no sea visible. Luego, se crea una lista de direcciones IP autorizadas que pueden acceder de manera segura.

Adicionalmente, puedes limitar el acceso a la página configurando el archivo .htaccess en el directorio raíz de tu sitio web. Para ello, sigue estos pasos:

  1. Accede al directorio raíz de tu sitio web.
  2. Abre el archivo .htaccess.
  3. Agrega la siguiente regla para limitar el acceso a wp-login.php a una sola IP:
<Files wp-login.php>
    order deny,allow
    deny from all
    allow from tu_direccion_IP
</Files>

De esta manera, esta regla restringirá el acceso a la página de inicio de sesión (wp-login.php) a la dirección IP especificada, impidiendo que los atacantes accedan desde otras ubicaciones.

Esta regla debe agregarse después de «#End WordPress», para que pueda funcionar correctamente. Incluso si no tienes una IP estática, esta regla se aplica porque puedes restringir los inicios de sesión al rango normal de tu ISP.

Esta regla también se puede usar para restringir otras URLs autenticadas, como /wp-admin.

También puede ver nuestro artículo: Cómo aprovechar al máximo el archivo .htaccess y cómo usarlo en tu sitio web

Utilizar temas de WordPress confiables

Los temas de WordPress denominados “nulled” son reproducciones no autorizadas de los temas originales premium de WordPress. A menudo, se comercializan a precios más bajos para atraer a los usuarios, pero suelen estar plagados de problemas de seguridad.

Estos temas, proporcionados por vendedores de versiones nulled, son frecuentemente elaborados por piratas informáticos que modifican el tema premium original e insertan código malicioso, como malware y enlaces de spam. Además, pueden contener vulnerabilidades que facilitan otros tipos de ataques perjudiciales para tu sitio de WordPress.

Dado que los temas nulled se distribuyen de manera ilegal, los desarrolladores no ofrecen soporte a los usuarios. En caso de problemas, deberás solucionarlos y asegurar tu sitio de WordPress por tu cuenta.

Para evitar estos riesgos, es aconsejable seleccionar temas de WordPress únicamente desde su directorio oficial o de desarrolladores de confianza, garantizando así la integridad y seguridad de tu sitio.

Configurar el certificado de seguridad SSL

El protocolo de transferencia de datos Secure Sockets Layer (SSL) cifra la información compartida entre los usuarios y los sitios web, dificultando significativamente a los atacantes el robo de datos sensibles.

Además de fortalecer la seguridad, los certificados SSL contribuyen a mejorar la optimización para motores de búsqueda (SEO), lo que se traduce en un aumento de visitantes y tráfico en el sitio web. Los sitios web que cuentan con un certificado de seguridad mostrarán “HTTPS” en lugar de “HTTP”, lo que facilita su identificación.

Después de instalar un certificado SSL en tu cuenta de hosting, es crucial activarlo en tu sitio web de WordPress. Plugins como Really Simple SSL o SSL Insecure Content Fixer simplifican este proceso, manejando los aspectos técnicos y la activación en pocos clics. La versión premium de Really Simple SSL incluso ofrece la opción de habilitar encabezados HSTS (Seguridad de transporte HTTP rigurosa), que obligan a utilizar HTTPS al acceder al sitio.

La última acción es cambiar la URL de tu sitio web de HTTP a HTTPS. Para ello, ve a “Ajustes” => “Generales” y modifica el campo “Dirección del sitio”. Este paso finaliza la transición hacia una conexión segura y encriptada en tu sitio de WordPress.

Eliminar los temas y plugins de WordPress que no se utilicen

Es cierto que mantener plugins y temas no utilizados, especialmente si no se han actualizado, puede ser perjudicial para la seguridad de tu sitio web. Los plugins y temas desactualizados aumentan el riesgo de ciberataques, ya que los piratas informáticos pueden aprovechar posibles vulnerabilidades para acceder a tu sitio.

Para desinstalar un plugin de WordPress que no se está utilizando, sigue estos pasos:

  1. Ingresa a la sección “Plugins” y selecciona “Plugins instalados”.
  2. Verás una lista de todos los plugins instalados. Bajo el nombre del plugin que deseas eliminar, haz clic en “Borrar”.

Este procedimiento contribuirá a mantener la seguridad de tu sitio, eliminando software innecesario y reduciendo las posibles superficies de ataque. Además, se recomienda revisar y eliminar regularmente cualquier plugin o tema que no estés utilizando para garantizar la seguridad continua de tu sitio web.

Es importante destacar que el botón de eliminar estará disponible recién después de desactivar un plugin en WordPress.

En cuanto a la eliminación de un tema no utilizado, sigue estos pasos:

  1. Accede a “Apariencia” => “Temas” desde el panel de administración de WordPress.
  2. Selecciona el tema que deseas eliminar.
  3. Aparecerá una ventana emergente con información sobre el tema. En la esquina inferior derecha, haz clic en el botón “Eliminar”.

Al seguir estos pasos, podrás desinstalar el tema seleccionado y así mantener tu sitio web más limpio y seguro. La eliminación de temas y plugins innecesarios reduce las posibles amenazas de seguridad y contribuye a un entorno más eficiente y protegido.

Cómo usar plugins de seguridad de WordPress

El uso de plugins representa otra estrategia efectiva para mejorar la seguridad de WordPress. Es un método sencillo y conveniente para proteger tu sitio web. No obstante, es crucial evitar la instalación de todos los plugins de seguridad al mismo tiempo, ya que esto puede ralentizar el rendimiento de tu sitio.

Para comenzar, es recomendable evaluar tus necesidades específicas y elegir plugins que se adapten a ellas de manera efectiva. Algunos de los plugins de seguridad comunes incluyen soluciones para firewall, escaneo de malware, protección contra ataques de fuerza bruta y monitoreo de actividad.

Recuerda que la calidad es más importante que la cantidad al seleccionar plugins. Opta por soluciones confiables y bien revisadas que cumplan con tus requerimientos de seguridad sin comprometer el rendimiento de tu sitio web. Además, mantén tus plugins actualizados para asegurar que estén equipados con las últimas funciones de seguridad y correcciones de vulnerabilidades.

1- Configurar la autenticación de dos factores para Wp-admin

Puedes activar la autenticación de dos factores (2FA) para facilitar el proceso de iniciar sesión en WordPress. Este método de autenticación requiere la introducción de un código único para completar el proceso, agregando una segunda capa de seguridad a la página de inicio de sesión de WordPress.

Siguiendo nuestra guía explicada aquí podrás activar 2FA en tu WordPress.

2 – Realizar copias de seguridad regulares de WordPress

Un componente fundamental en la gestión de riesgos es realizar periódicamente copias de seguridad del sitio, ya que esto facilita la recuperación después de eventos adversos, como ciberataques o daños físicos al centro de datos. Es esencial abarcar todos los archivos relacionados con la instalación de WordPress, englobando tanto la base de datos como los archivos fundamentales, dentro del archivo de copia de seguridad.

Para realizar esta tarea en WordPress es necesario contar con algún plugin que se encargue de esta función, como UpdraftPlus.

3- Limitar la cantidad de intentos de inicio de sesión

WordPress permite a los usuarios realizar un número ilimitado de intentos de inicio de sesión en tu sitio web. No obstante, esta característica crea una oportunidad propicia para que los piratas informáticos intenten acceder mediante diversas combinaciones de contraseñas hasta dar con la correcta.

Por consiguiente, resulta fundamental restringir los intentos de inicio de sesión fallidos para prevenir este tipo de ataques en la web. Además, limitar la cantidad de intentos no exitosos te permite supervisar cualquier actividad sospechosa que pueda ocurrir en tu sitio.

La mayoría de los usuarios normalmente necesitan solo uno o unos pocos intentos fallidos, por lo que debes permanecer alerta ante cualquier dirección IP sospechosa que alcance el límite de intentos.

Una estrategia eficaz para reducir el número de intentos de inicio de sesión y fortalecer la seguridad en WordPress es emplear un plugin. Existen numerosas opciones disponibles, tales como:

  • Limit Login Attempts Reloaded: limita la cantidad de intentos fallidos para direcciones IP específicas, agrega usuarios a la lista blanca o los bloquea por completo, e informa a los usuarios sobre el tiempo de bloqueo restante.
  • Loginizer: proporciona características de seguridad de inicio de sesión como la autenticación de dos factores, reCAPTCHA y preguntas de inicio de sesión con desafíos.
  • Limit Attempts de BestWebSoft: bloquea automáticamente las direcciones IP que superan el límite de intentos de inicio de sesión y las agrega a una lista de rechazos.

Un riesgo de implementar esta medida de seguridad es que un usuario fiable sea bloqueado en la administración de WordPress. Sin embargo, no debes preocuparte, ya que existen numerosas formas de recuperar cuentas de WordPress bloqueadas.

4 – Convertir la URL de la página de inicio de sesión de WordPress en una nueva

Considera modificar la URL de acceso para mejorar la defensa contra ataques de fuerza bruta.

La URL predeterminada para iniciar sesión en todos los sitios web de WordPress es misitioweb.com/wp-admin. Sin embargo, el uso de esta dirección facilita el acceso no autorizado de hackers a tu página.

La utilización de plugins como WPS Hide Login y Change WP Admin Login te brinda la posibilidad de personalizar esta URL.

Si optas por el plugin WPS Hide Login, sigue estos pasos para cambiar la URL de inicio de sesión de WordPress:

  1. Accede a “Ajustes” > “WPS Hide Login” en tu panel de control.
  2. Completa el campo de URL de acceso con tu elección personalizada.
  3. Para finalizar el proceso, haz clic en el botón “Guardar cambios”.

5 – Cerrar automáticamente la sesión de los usuarios inactivos

Numerosos usuarios tienden a dejar sus sesiones sin cerrar, lo que puede permitir que otras personas con el mismo dispositivo accedan a sus cuentas de usuario y utilicen información confidencial. Esta práctica es especialmente riesgosa para aquellos que emplean computadoras públicas en bibliotecas o cibercafés.

Por este motivo, es esencial configurar tu sitio web de WordPress para que los usuarios inactivos se desconecten automáticamente. Este enfoque es comúnmente adoptado por sitios web bancarios para prevenir accesos no autorizados y salvaguardar la información de sus clientes.

Una manera conveniente de cerrar automáticamente las cuentas de usuarios inactivos es mediante el uso de un plugin de seguridad de WordPress, como Inactive Logout. Este plugin tiene la capacidad de cerrar sesiones de usuarios inactivos y enviarles un mensaje personalizado para notificarles que su sesión está a punto de finalizar.

6 – Controlar las acciones de los usuarios

Para detectar cualquier actividad no autorizada o maliciosa que pueda comprometer la seguridad de tu sitio web, es crucial realizar un seguimiento de las acciones en tu área de administración.

Este enfoque se vuelve especialmente recomendable para aquellos que gestionan varios usuarios o autores que acceden al sitio web, ya que los usuarios podrían realizar ajustes no deseados, como cambiar temas o configurar plugins, que podrían afectar la integridad del sitio.

Al monitorear activamente estas actividades, podrás identificar responsables de cambios no autorizados y detectar si alguna persona no autorizada ha ingresado a tu sitio web de WordPress.

Una forma sencilla de llevar a cabo este monitoreo es mediante el uso de plugins específicos para WordPress, tales como:

  • WP Activity Log: Realiza un seguimiento de cambios en diversos aspectos del sitio web, incluyendo publicaciones, páginas, temas y plugins. También registra archivos que se añaden, eliminan o modifican.
  • Activity Log: Permite supervisar diversas actividades en el panel de administración de WordPress y establecer reglas para notificaciones por correo electrónico.
  • Simple History: Ofrece soporte para varios plugins de terceros como Jetpack, WP Crontrol y Beaver Builder, y registra toda la actividad relacionada con ellos.

7 – Examinar tu sitio en busca de malwares

Es esencial realizar exploraciones periódicas en tu sitio web, ya que los atacantes desarrollan constantemente nuevos métodos de ataque.

Afortunadamente, existe una amplia gama de plugins diseñados para escanear malware y fortalecer la seguridad en WordPress.

Nuestros expertos recomiendan la instalación y uso de los siguientes plugins de seguridad:

  • Wordfence: Este popular plugin de seguridad para WordPress proporciona actualizaciones en tiempo real de firmas de malware y alertas notificativas, informándote si tu sitio ha sido bloqueado por otra página debido a actividades sospechosas.
  • BulletProof Security: Ofrece herramientas de copia de seguridad y restauración de la base de datos, una función de cierre de sesión inactiva, y carpetas de plugins ocultas que refuerzan la protección de tu sitio web de WordPress.
  • Sucuri Security: Considerado uno de los mejores plugins de seguridad disponibles, Sucuri Security ofrece diversos certificados SSL, escaneos remotos de malware y funciones de acción de seguridad post-hack.

Conclusiones

La inyección de malware y los ataques de denegación de servicio distribuido (DDoS) representan solo algunas de las diversas manifestaciones que pueden adoptar los ciberataques. Dada la amplia adopción del sistema de gestión de contenidos (CMS), los hackers suelen dirigir sus ataques con frecuencia hacia los sitios web de WordPress.

En consecuencia, es imperativo que los propietarios de sitios web estén conscientes de cómo salvaguardar sus páginas contra estas amenazas.

Si te ha gustado este artículo, suscríbete a nuestro canal de YouTube  para ver videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  Twitter, Facebook e Instagram.

Otros problemas poco frecuentes del registro SPF

En ocasiones anteriores, hemos hablado de los registros SPF o Sender Policy Framework, ese mecanismo de autenticación para que nuestros correos electrónicos no sean blanco de spoofing y phishing, así como la forma de evitar que estos caigan en el correo no deseado o correo basura. En la siguiente nota conocerás otros problemas que puede surgir a raíz del registro de SPF, como el error de las múltiples búsquedas DNS.

Si aún no sabes qué es un registro SPF, te invitamos a visitar nuestro artículo: Qué son y cómo activar los registros SPF, DKIM y DMARC para correos electrónicos.

Tener el registro SPF válido, siempre será una buena practica para mantener una capa de seguridad en el correo electrónico de nuestro sitio web. A medida que avanzamos con este tema, se suele editar el registro SPF para darle cierta prioridad a otros servicios de correo más grandes como los de Google Workspace, Gmail, Hotmail o Outlook, entre otros.

A continuación, presentamos un ejemplo visual y común de cómo es el registro SPF de Google Workspace::

v=spf1 include:_spf.google.com ~all

El registro SPF trae ciertas reglas, que muchos webmasters o administradores de paginas web, las pasan desapercibidas. Añadir un nuevo fragmento al registro SPF, puede conllevar a generar múltiples búsquedas de DNS y generar un error permanente del registro SPF. Uno de los limites de búsquedas de DNS es de 10 consultas, sobrepasar esta regla podría provocar un fallo en el DMARC, haciendo que tu correo termine en la carpeta de correo no deseado del destinatario.

Error mayor a 10 consultas.

En el ejemplo anterior, utilizamos una herramienta online mencionada en nuestro artículo, ¿Cómo evitar que tu correo sea clasificado de spam?. La cual nos ha funcionado para determinar si nuestro hosting a caído en una Lista Negra y no referimos a MX Toolbox. Esta vez usaremos la opción de “SuperTool” con la selección de “SPF Record Lookup”. Donde nos muestra en este caso un problema con 11 consultas. Como no nos muestra más detalles en la versión libre, vamos hacer uso de otra utiliza online que si nos brindará un poco más de información y esta nos los va a dar EasyDmarc con la herramienta SPF Record Checker.

Una vez escaneado nuestro sitios web, podremos ver indicio del error:

Donde nos confirma que hemos excedido el limites de consultas DNS. Si seguimos leyendo el reporte, nos brindara un árbol detallado de todas las consultas que se hacen.

Una peculiaridad que podemos observar que detrás del fragmento del SPF de Google, se pueden visualizar otro más:

Esto quiere decir que, solo el fragmento de SPF de Google usa 4 consultas. Ahora bien, vamos a comentar como reducir un poco esta lista de consultas y no podamos exceder el limite.

Un registro SPF básico, es así:

v=spf1 +mx +a ip4:192.168.0.1 include: -all

La primera recomendación para los problemas de consultas de DNS es reducir los includes, que no sean necesario o sean redundante.

Otra aclaración que pueden considerar, los métodos ip4 y/o ip6 no entran en las consultas.

Un ejemplo de ellos seria sustituir el _spf.google.com por:

v=spf1 ip4:35.190.247.0/24 ip4:64.233.160.0/19 ip4:66.102.0.0/20 ip4:66.249.80.0/20 ip4:72.14.192.0/18 ip4:74.125.0.0/16 ip4:108.177.8.0/21 ip4:173.194.0.0/16 ip4:209.85.128.0/17 ip4:216.58.192.0/19 ip4:216.239.32.0/19 ~all

Esto nos reduciría tres consultas. Hay otro caso es eliminar el método +a, si este esta definido en correctamente en la zona DNS de tu hosting, ya que es redundante.

Esperamos que este artículo le haya ayudado a cómo configurar, editar y verificar correctamente el registros SPF para evitar problemas de múltiples búsquedas de DNS o SPF Permerror. 

Si te ha gustado este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  Twitter, Facebook e Instagram.

WordPress: Agregar CAPTCHA para los formularios

Es indiscutible la importancia de resguardarse contra el spam, un problema persistente que, aunque ha experimentado una notable disminución en años recientes, continúa siendo una preocupación. Para salvaguardar los formularios de comentarios, registro y acceso en WordPress, es esencial incorporar CAPTCHA mediante plugins que ofrezcan medidas de seguridad adecuadas.

En este manual, se detallará cómo integrar CAPTCHA en todos los formularios de WordPress con el fin de combatir el correo no deseado en tu página web.

Es común que los sitios web en WordPress en producción reciban en algún momento mensajes de spam que contienen enlaces hacia páginas de reputación cuestionable y contenido irrelevante para los objetivos de la página.

Si bien contar con un cortafuegos robusto puede actuar como primera línea de defensa ante bots maliciosos, el uso de CAPTCHA representa una barrera adicional que obstaculiza los intentos de los spammers.

Una de las vulnerabilidades que permite al spam alcanzar sus objetivos radica en la falta de protección al crear formularios en WordPress, ya sea para comentarios, registros, entre otros. Esta carencia no solo puede perjudicar el SEO, sino también la reputación y presencia online del sitio.

Por consiguiente, se abordará el procedimiento para implementar reCAPTCHA mediante un plugin para WordPress, lo que permitirá proteger de manera sencilla y eficaz los principales formularios de tu sitio web.

¿Qué es Google reCAPTCHA?

El sistema reCAPTCHA de Google representa una versión mejorada del CAPTCHA.

¿Qué implica el CAPTCHA, entonces? Se trata de una medida de seguridad conocida como autenticación mediante preguntas y respuestas.

El CAPTCHA requiere que superes una sencilla prueba para demostrar que eres un ser humano y no una computadora o un robot, con el fin de proteger tus formularios del spam y la suplantación de contraseñas.

La prueba más común consiste en mostrar una imagen con una serie de letras y números distorsionados que debes ingresar correctamente.

Google ofrece dos versiones principales de CAPTCHA.

reCAPTCHA v2

Es un componente visual que requiere que marques una casilla de verificación para confirmar que no eres un robot. Aunque, en ocasiones, incluso después de completar esta validación inicial, podría solicitar verificaciones adicionales mostrando imágenes que debes seleccionar según las indicaciones dadas.

reCAPTCHA v3 (invisible)

En este contexto, ya no es necesario activar un checkbox, ya que Google reCAPTCHA evalúa el comportamiento del usuario durante su navegación en línea para discernir su naturaleza humana.

ReCAPTCHA v3 elimina la necesidad de que el usuario seleccione imágenes o ingrese texto. En cambio, el sistema analiza cómo interactúa el usuario con el sitio web para determinar su condición humana.

Por ejemplo, comportamientos como movimientos erráticos, clics constantes en botones o cualquier otra acción sospechosa pueden llevar al sistema a clasificar al usuario como un robot.

A lo largo del tiempo, el sistema construye un perfil del usuario basado en su historial de actividad. Esta información es utilizada para generar una puntuación que determinará si el usuario es considerado humano o robot. Dependiendo de esta evaluación, se facilitará el acceso al contenido o se requerirán pruebas adicionales para verificar la identidad del usuario.

Las diferencias principales entre reCAPTCHA v2 y v3 radican en el método utilizado para determinar si un usuario es un robot. Mientras que la versión v3 se centra en el análisis del comportamiento del usuario en el sitio web, la versión v2 ofrece la opción de presentar imágenes con caracteres distorsionados para su verificación.

¿Son necesarias las medidas de CAPTCHA en WordPress?

Es evidente que la implementación de CAPTCHA o reCAPTCHA, e incluso la versión más reciente, CAPTCHA Invisible V3, es crucial. ¿Por qué? Simplemente porque los spammers emplean bots para llevar a cabo actividades de SEO fuera de la página, vinculando sus sitios web con el tuyo.

Es cierto que un individuo podría realizar estas acciones de manera directa y manual, pero llevaría más tiempo y sería un proceso más tedioso, con un alcance limitado.

La introducción de medidas de seguridad en los formularios justo antes de su envío asegura que dicho envío sea auténtico y realizado por un humano, en lugar de un script o un robot.

¿Cómo se pueden obtener las claves de reCAPTCHA?

Para integrar CAPTCHA en WordPress, es necesario registrar el servicio reCAPTCHA de Google en tu sitio web.

Si dispones de una cuenta de Google, puedes acceder al sitio web oficial de Google reCAPTCHA. En la parte superior del sitio, encontrarás un enlace que te dirigirá a la Consola de Administración.

Si ya tienes un sitio web que funciona con reCAPTCHA, puedes agregar sitios adicionales al modelo gratuito usando el ícono «+» dentro de las limitaciones de sitios que permite este servicio en la Consola de Administración.

Si no tienes sitios, verás la siguiente pantalla directamente:

Al registrar un dominio en Google reCAPTCHA, es importante considerar los siguientes campos:

  • Etiqueta: asigna un nombre para identificar el dominio; incluir el nombre del dominio es una sugerencia útil. Esto permite gestionar múltiples dominios desde la misma consola, facilitando la asociación de cada clave con su respectiva instalación.
  • Tipo de reCAPTCHA: se recomienda seleccionar la versión v3, compatible con plugins como Contact Form 7 (versiones posteriores a la 5.1) y Elementor, entre otros.
  • Dominio: indica el dominio en el que se implementará el reCAPTCHA. Puedes especificar un subdominio junto con el dominio principal, por ejemplo, si posees una tienda online con el subdominio “tienda” (tienda.tu-dominio.com).

Una vez que hayas completado los campos necesarios, procede a hacer clic en “Enviar”. Si toda la información es correcta, serás redirigido a una pantalla donde encontrarás una opción desplegable que proporciona claves de reCAPTCHA públicas y privadas para el dominio especificado.

Copia estas claves y luego guárdalas en un lugar seguro.

Configurar reCAPTCHA de Google en WordPress

Para incorporar un CAPTCHA en WordPress, puedes optar por uno de los numerosos plugins disponibles en el directorio oficial de plugins de WordPress.

En esta guía, he seleccionado el plugin reCAPTCHA by BestWebSoft para ilustrar el proceso de registro.

Este plugin integra reCAPTCHA, el sistema de verificación de Google diseñado para combatir el spam y los ataques de bots, añadiendo una capa extra de seguridad a tu sitio web WordPress.

Algunas de las características destacadas de este plugin son:

  • Fácil instalación y configuración, sin necesidad de conocimientos técnicos o edición de código.
  • Compatible con varias versiones de reCAPTCHA, incluyendo las versiones 2 y 3.
  • Permite personalizar la apariencia del formulario de verificación.
  • Funciona con diversos formularios y plugins populares de WordPress.
  • Registra intentos de verificación para detectar posibles ataques de bots.
  • Cumple con las normativas del RGPD (Reglamento General de Protección de Datos).
  • Permite establecer restricciones de acceso basadas en dirección IP, país y otros factores.

Para instalar este plugin, busca “reCAPTCHA” en la sección de Plugins > Añadir nuevo en el panel de administración de WordPress y selecciona el plugin “reCAPTCHA by BestWebSoft”. Una vez instalado y activado, encontrarás una nueva opción en el menú llamada “reCAPTCHA”. Desde allí, en la sección de ajustes, podrás configurar el servicio para que se active en tu sitio web.

Al final de la primera pestaña de ajustes, encontrarás la opción para deshabilitar la presentación de reCAPTCHA para ciertos perfiles de usuario, como el administrador. Esto evita que los usuarios internos tengan que validar frecuentemente.

Una vez que hayas configurado todos los aspectos del plugin y guardado los cambios, verifica que todos los formularios donde lo hayas activado lo muestren y funcionen correctamente.

Conclusión

La adopción de Google reCAPTCHA v3 para asegurar los formularios con CAPTCHA en WordPress se posiciona como una medida esencial en la lucha contra el spam y las actividades maliciosas. Esta herramienta de seguridad avanzada no solo resguarda de manera efectiva tu sitio web, sino que también optimiza la experiencia del usuario al eliminar la necesidad de realizar verificaciones manuales.

Al implementar Google reCAPTCHA v3, se garantiza la integridad y fiabilidad de los formularios, proporcionando a los visitantes una interacción segura y sin inconvenientes.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram.

Como modificar los registros DNS desde Plesk

Plesk

Así como el cPanel tienen el editor de zonas DNS, Plesk no se queda atrás a la hora de poseer una opción para editar, agregar o eliminar los registros DNS de nuestro sitio web.

El primer paso es ingresar a nuestra cuenta de Plesk.

Dentro de la sección “Sitios web y dominios” ubicamos la pestaña de “Hosting y DNS”. Donde podremos configurar nuestros DNS.

En la sección de Hosting y DNS, podremos visualizar la opción llamada DNS que tiene Plesk. En la misma podremos agregar, eliminar, editar los registros DNS de nuestro sitio web.

Primeramente, se observa una lista con los registros que tenemos de nuestro sitios web, los tipos y los valores determinados.

Haciendo clic en el botón “Añadir registro”, podrás agregar un nuevo registro, donde defines el tipo, nombre del dominio, TTL y la IP o valor del mismo. Haciendo clic en ACEPTAR, guardaras todos los datos suministrado. Una vez hecho esto, los cambios empezaran a propagarse por la red.

Conociendo como agregar los registros, también los podrás editar. De igual forma, puedes especificar otros registros de recurso que afecten la forma en la que se accede a los servicios de su sitio web a través de Internet.

Para conocer más en detalle sobre los registros DNS, visite nuestro artículo:

DNS Zone: Zona DNS para principiantes.

Esperamos que este artículo le haya ayudado a aprender cómo configurar, agregar o eliminar, los registros DNS desde el panel de control de Plesk. 

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  Twitter, Facebook e Instagram.

¿Qué es WHM y como funciona?

Cuando adquirimos o compramos un hosting en su gran mayoría vienen para ser gestionado con cPanel si eres de los fanáticos de Linux. Ahora bien, cuando escalas a otro nivel en servicios de hosting, donde eres revendedor de espacios web o compra paquetes de hosting, y quieres administrar todos tus sitios web en un mismo entorno. Aparece nuestro amigo WHM, ¿Qué es?, ¿Cómo funciona?, ¿De que sirve?. Estas y otras interrogantes te ;las mostraremos en los siguiente párrafos.

¿Qué es WHM?

Las siglas WHM, representan WebHost Manager que se traduce en una aplicación de software que se utiliza para administrar servidores web, especialmente en el contexto de servicios de hosting y alojamiento web.

En otras palabras, es una herramienta web que le ofrece a los clientes, específicamente usuarios revendedores de hosting o webmaters con diferentes sitios web, un panel de control muy similar al cPanel con la posibilidad de gestionar varias cuentas de hosting, de forma rápida y sencilla.

Panel de control de WHM.

Características y funciones

Entre las funciones más destacadas :
La primera y más importante, puedes crear, eliminar y suspender cuentas.
Podes listar todas las cuentas, visualizar el espacio de cada una de ellas y que tipo de paquetes que poseen.
Tienes la capacidad de crear paquetes para tus clientes o para tus sitios web, de esta manera administras los recursos, como el espacio, el correo electrónico, el ancho de banda, entre otros elementos.
Una función destacada es que puedes modificar la contraseña de tus cuentas con un solo clic.

Aunque cPanel y WHM son paneles de control muy similares, estos presentan diferentes características. Desde WHM, podrás administrar y ver los detalles de cada cuentas y acceder a las misma de forma sencilla. Mientras que cPanel se enfoca en el servicio de alojamiento web.

Desde SitiosHispanos.com ofrecemos dos modalidades para revendedores:

Ventajas de usar WHM/Cpanel

El uso de WHM conlleva varias ventajas significativas tanto para los proveedores de alojamiento web, como para los administradores de servidores y revendedores de hosting. Aquí te presento algunas de las ventajas:

  1. Gestión Centralizada: WHM permite a los administradores gestionar múltiples cuentas de hosting y sitios web desde una única interfaz. Esto simplifica la administración y ahorra tiempo al no tener que acceder a cada cuenta de hosting por separado.
  2. Escalabilidad: WHM es escalable y puede utilizarse para administrar tanto servidores compartidos como servidores dedicados. Puedes aumentar la capacidad de tu servidor a medida que crece tu negocio de alojamiento web.
  3. Seguridad Mejorada: WHM ofrece herramientas de seguridad avanzadas, como la configuración de cortafuegos, monitoreo de seguridad y la capacidad de aplicar actualizaciones de seguridad. Esto ayuda a proteger tus servidores y los sitios web alojados en ellos.
  4. Administración de Recursos: Puedes asignar recursos específicos, como espacio en disco, ancho de banda y memoria, a cada cuenta de hosting. Esto garantiza que los recursos se utilicen de manera eficiente y que un sitio web problemático no afecte a otros.
  5. Automatización: WHM proporciona capacidades de automatización para tareas repetitivas, como la creación de copias de seguridad, la configuración de cuentas de correo electrónico y la instalación de aplicaciones. Esto reduce la carga de trabajo manual.
  6. Gestión de Copias de Seguridad: WHM facilita la programación y la gestión de copias de seguridad regulares, lo que es esencial para la recuperación de datos en caso de problemas.
  7. Interfaz Amigable: La interfaz de usuario de WHM es intuitiva y fácil de usar, lo que facilita la administración incluso para quienes no tienen experiencia técnica avanzada.
  8. Monitoreo y Notificaciones: WHM ofrece herramientas de monitoreo que te permiten estar al tanto del rendimiento del servidor y recibir notificaciones en caso de problemas, lo que es esencial para la resolución rápida de incidencias.
  9. Soporte Técnico: Al utilizar WHM, puedes acceder al soporte técnico de SitiosHispanos y la documentación proporcionados por cPanel, la empresa detrás de WHM. Esto es útil para resolver problemas y aprender sobre las características de estas herramientas.

Usos básicos de WHM

Entre los usos más destacados y utilizados dentro del panel de WHM, tenemos los siguiente:

Creación de Cuentas de Hosting: Con WHM, puedes crear cuentas de hosting para tus clientes o para tus propios sitios web. Esto incluye asignar recursos como espacio en disco, ancho de banda y nombres de dominio a cada cuenta.

Gestión de Dominios: Puedes agregar y gestionar nombres de dominio dentro de las cuentas de hosting. Esto incluye la configuración de registros DNS, la gestión de redirecciones y la asignación de subdominios.

Gestión de Bases de Datos: Te permite crear y gestionar bases de datos, como MySQL, para los sitios web alojados en el servidor. Puedes configurar usuarios de bases de datos y realizar copias de seguridad de las bases de datos.

Administración de Correo Electrónico: Puedes configurar cuentas de correo electrónico, alias, listas de correo y filtros de spam para las cuentas de hosting. También puedes acceder a webmail y supervisar el tráfico de correo electrónico.

Seguridad del Servidor: Puedes establecer reglas de seguridad, configurar cortafuegos (firewall) y habilitar características de seguridad avanzadas para proteger el servidor y los sitios web de posibles amenazas.

Administración de Certificados SSL: Puedes configurar y gestionar certificados SSL para habilitar conexiones seguras en los sitios web alojados en el servidor.

Estos son algunos de los usos básicos de WHM. La herramienta es versátil y proporciona una amplia gama de funciones para la administración de servidores web y cuentas de hosting.

Esperamos que este artículo le haya ayudado para conocer un poco más sobre el panel de administración WHM/Cpanel, sus usos y ventajas que lo diferencian de cPanel y todo los aspectos que engloban esta utilidad. 

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  Twitter, Facebook e Instagram.

¿Cómo liberar espacio de la cuenta de correo predeterminada de nuestro hosting?

A la hora de administrar nuestro sitio web, muchas veces hemos entrado a verificar el espacio de nuestras cuentas de email y nos encontrado con una cuenta que no posee un @ (arroba) y tampoco tiene presente nuestro dominio. Pero por alguna razón tienen una etiqueta que dice “Sistema”.

Esta cuenta no es más que la cuenta de correo predeterminada de nuestro sitio web. Pero ¿Qué significa esto? La cuenta predeterminada es la encargada de recibir todos esos correos electrónicos que no son válidos para el dominio principal del sitio web.

Para entender un poco mejor lo antes mencionado, vamos a ejemplificar. Digamos que usted tienen una cuenta de correo electrónico usuario@ejemplo.com y un cliente o un remitente escribe a usuario_1@ejemplo.com, la dirección predeterminada será la encargada de recibir este correo. En otras palabras, la cuenta predeterminada puede recibir mensajes para sus direcciones de correo electrónico existentes si contienen errores tipográficos u otros problemas. Otro ejemplo común, es maria.garcia@ejemplo.com es una cuenta real con más de 5gb de almacenamiento, y  otro remitente le escribe a maria_garcia@ejemplo.com, la respuesta a esto es que todo esos correos que sean enviados a maria_garcia@ejemplo.com llegaran a la cuenta predeterminada.

Ahora que ya sabemos que es y cómo funciona la cuenta predeterminada, debemos entender que esta cuenta, puede llegar almacenar muchos correos e ir ocupando espacio de nuestra cuota de hosting, limitando así este recurso valioso para nuestro sitio web. A continuación, te damos alternativas para poder eliminar estos megas que sobran.

La opción más rápida es entrar en “Consultar Email” por cpanel y usar el cliente de correo como Roundcube y eliminar todo lo que se pueda visualizar.

Otra forma para poder ver y analizar que vamos a borrar el contenido de la cuenta predeterminada de correo, debemos ir al botón “Administrar” que se ubica al lado de cuenta predeterminada, junto con “Consultar Email” y “Conectar dispositivos”.

Luego podemos ver la siguiente pantalla.

Una vez ingresado podremos ver la siguiente pantalla. Donde se puede tomar acciones sobre algunos elementos de las cuentas de correo.

Otra opción para liberar un poco el espacio de las cuentas de correo es conectarse vía FTP, y verificar dentro de la carpeta /mail, se pueden visualizar dos carpetas /cur y /new eliminando el contenido de estas carpetas podemos liberar espacio en nuestro hosting. ATENCION, borrar solo el contenido de estas carpetas y NO las carpetas directamente, de igual forma, la carpeta /mail contienen el contenido de otras las otras cuentas de correo electrónico, así que tengan mucho cuidado a la hora de eliminar algún archivo fuera de las carpetas antes mencionada.

Para saber sobre la configuración de la cuenta predeterminada de correo electrónicos, será en una próxima entrega.

Esperamos que este artículo le haya ayudado a como administrar el espacio de nuestra cuenta de correo predeterminada. 

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  Twitter, Facebook e Instagram.

¿Cómo ver el consumo de ancho de banda de mi sitio web?

En esta oportunidad nos centraremos en conocer como ver y controlar el ancho de banda desde nuestros sitios web con cPanel (panel de control) y el Plesk. Ya que desde Sitios Hispanos muchos de nuestros planes de Web Hosting, el ancho de banda está limitado, sean para los planes Linux como también para los planes Windows.

Por si no sabías cPanel y Plesk, son los paneles de control más populares para administrar servidores donde se alojan nuestros sitios web. cPanel está desarrollado para la gran mayoría de servidores Linux, mientras que Plesk está orientado a esos servidores con Windows.

Mantener y gestionar adecuadamente el ancho de banda, puede ahorrarte costos extras, un mejor rendimiento, mantienen la experiencia del usuario y también posibilita que tu sitio web esté disponible. Recuerda que muchos de los sitios que ofrecen servicio de hosting web, cuentan con planes limitados en cuanto al ancho de banda y exceder estos límites implican costos extras del presupuesto, suspensión temporal del servicio. Administrar este recurso es esencial para garantizar un sitio web eficiente, rentable y confiable.

Para ello, vamos a conocer como ver desde nuestro panel de control, sea cPanel o Plesk.

cPanel

cpanel

Desde el cPanel se tienen varias opciones para ver el consumo del ancho de banda, la forma más rápida pero no tan detallada. En la página principal del panel de control, en el lado derecho se localiza un apartado llamado Estadísticas, donde muestra recursos como el Uso del disco, cantidad de dominio y subdominios, Alias y ancho de banda.

Otra alternativa, para ver el consumo del ancho de banda de nuestro sitio es ir al apartado “Ancho de banda” en la sección de Métricas.

Esta vez nos muestra las estadísticas del consumo de ancho de banda por protocolos como HTTP, FTP, IMAP, POP3 y SMTP. Nos muestra diferentes barras, para precisar el consumo de las últimas 24 horas, de la semana, incluso las del mes.

La otra alternativa más detalla es usar la herramienta AWStats, la cual hemos hablando en un anterior artículo.

Ver nuestro artículo: AWStats: Qué es y como leer las estadíticas de esta herramienta.

Plesk

Por su parte en Plesk, podemos ver el consumo de ancho de banda desde las Estadísticas web, que se localiza en la pagina principal.

Al igual que en cPanel, Plesk cuenta con una sección de Estadísticas desde el menú principal al lado izquierdo. Donde se podrá visualizar el consumo de los protocolos más usado en tu hosting como HTTP, FTP, IMAP/POP3 y SMTP.

Esperemos que este articulo le sea de utilidad a la hora de gestionar el consumo de su ancho de banda, ya sea desde un panel de control con cPanel o Plesk, y lo importante que puede ser su administración para minimizar algún inconveniente o incidente con el servicio de hosting.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales. También puede encontrarnos en  X (Twitter), Facebook e Instagram.

LiteSpeed: Qué es, y qué beneficios trae para su WordPress

WordPress es, en la actualidad, una de las plataformas más utilizada para crear y gestionar sitios web. Los servidores que utilizan LiteSpeed se han convertido en una opción para alojar sitios web de WordPress debido a sus ventajas en términos de rendimiento y seguridad. Litespeed ayuda a la estabilidad y a mejorar la velocidad de respuesta en una página hecha en WordPress.

¿Qué es LiteSpeed?

LiteSpeed es un servidor web de alto rendimiento que se utiliza como alternativa a Apache y Nginx. Es compatible con la mayoría de las aplicaciones web, incluyendo WordPress, y es conocido por su capacidad para manejar un alto volumen de tráfico.

Mejora del rendimiento

Uno de los mayores beneficios de utilizar un servidor LiteSpeed para WordPress es su capacidad para mejorar el rendimiento del sitio web. Los servidores LiteSpeed pueden manejar una gran cantidad de conexiones simultáneas; y en menos tiempo, lo que se traduce en una mejor respuesta del servidor y en una experiencia de usuario más rápida.

Además, LiteSpeed utiliza una tecnología llamada LiteSpeed Cache para mejorar la velocidad de carga del sitio web. Esta tecnología almacena en caché las páginas web para que se carguen más rápido y reduce la carga en el servidor.

Mejora de la seguridad

LiteSpeed incluye un firewall de aplicación web (WAF) que puede detectar y bloquear ataques malintencionados antes de que lleguen al sitio web. Además, LiteSpeed también utiliza una tecnología llamada Anti-DDoS que ayuda a proteger los sitios web contra ataques de denegación de servicio (DDoS).

Ahorro de recursos

LiteSpeed tiene como ventaja la capacidad para ahorrar recursos del servidor. Debido a que LiteSpeed es altamente eficiente, requiere menos recursos del servidor para manejar el mismo volumen de tráfico que Apache o Nginx.

Esto significa que los sitios web alojados en servidores LiteSpeed pueden funcionar de manera más eficiente y consumir menos recursos.

Integración con WordPress

LiteSpeed está diseñado específicamente para trabajar con WordPress. Ofrece características específicas de WordPress, como la capacidad de controlar la caché de la página y la compatibilidad con plugins de WordPress populares como WooCommerce y Jetpack.

Soporte de HTTP/2 y QUIC

LiteSpeed también es compatible con los protocolos HTTP/2 y QUIC, lo que permite una transferencia de datos más rápida y segura. Estos protocolos utilizan una técnica llamada multiplexación, que permite que varios archivos se descarguen simultáneamente en lugar de esperar a que uno se descargue por completo antes de comenzar el siguiente.

Escalabilidad

Otra ventaja importante de LiteSpeed para WordPress es su capacidad de escalabilidad. Los sitios web alojados en servidores LiteSpeed pueden crecer y expandirse de manera eficiente sin perder su rendimiento o estabilidad.

Actualizaciones frecuentes

LiteSpeed se actualiza con frecuencia para garantizar que funcione con los últimos avances en tecnología web y para mejorar el rendimiento y la seguridad. Las actualizaciones frecuentes también garantizan que los usuarios tengan acceso a las últimas funciones y características de LiteSpeed.

Compatibilidad con Cloudflare

LiteSpeed es compatible con Cloudflare, un servicio de red de entrega de contenido (CDN) que puede mejorar la velocidad de carga y la seguridad del sitio web. Los sitios web alojados en servidores LiteSpeed pueden aprovechar las funciones de Cloudflare para mejorar su rendimiento y seguridad.

Reducción del tiempo de inactividad

LiteSpeed también puede ayudar a reducir el tiempo de inactividad del sitio web de WordPress. Debido a su alta eficiencia y capacidad de manejar un gran volumen de tráfico, LiteSpeed puede ayudar a garantizar que los sitios web estén en línea y disponibles para los visitantes en todo momento.

Mejora de la experiencia del usuario

En resumen, LiteSpeed ofrece muchas ventajas para los sitios web de WordPress. Desde la mejora en el rendimiento y en la seguridad; hasta garantizar una experiencia de usuario rápida y eficiente.

Puede corroborar nuestros planes de WordPress con LiteSpeed en el siguiente enlace: https://www.sitioshispanos.com/es/wordpress-hosting

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram.

Cómo aprovechar al máximo el archivo .htaccess y cómo usarlo en tu sitio web

Mientras navegas por el administrador de archivo de tu hosting o en alguna sesión de FTP, te has encontrado con el archivo htaccess. Y si tu sitio web está diseñado con WordPress es más común encontrarlo, si no lo tienen también podrás crearlo fácilmente. En este artículo conocerás más sobre este archivo, aprovechando su potencial.

¿Qué es el archivo .htaccess?

El archivo .htaccess, abreviatura de Hypertext Access, es un archivo de configuración bastante utilizado en el servidor web Apache. Este archivo generalmente se encuentra en el directorio raíz de un sitio web, es decir en la carpeta pública (public_html) y su nombre comienza con un punto, lo que lo hace invisible por defecto en los sistemas operativos Unix, además de que no posee extensión. El archivo .htaccess contiene directivas que modifican la configuración de Apache para un directorio en particular y sus subdirectorios, sin modificar la configuración global del servidor.

Funciones y características del archivo .htaccess

El archivo .htaccess permite una amplia gama de funcionalidades y características que impactan la forma en que se comporta un sitio web. Algunos de los usos más comunes son:

1. Redirecciones

Con el archivo .htaccess, se pueden establecer redirecciones, ya sea para redireccionar URLs específicas o para redirigir todo un dominio a otro. Esto es útil cuando se realiza una reestructuración del sitio web o cuando se desea redirigir a los usuarios a una página de mantenimiento temporalmente.

2. Control de acceso

El archivo .htaccess permite controlar el acceso a determinados archivos o directorios. Por ejemplo, se puede restringir el acceso a una carpeta con archivos confidenciales o requerir autenticación para acceder a ciertas páginas.

3. Personalización de errores

Es posible personalizar las páginas de error que los visitantes verán cuando se produzca un error en el sitio web, como el error 404. Esto permite mostrar mensajes más amigables y personalizados en lugar de los mensajes predeterminados del servidor web.

4. Bloqueo de IPs o dominios

Con el archivo .htaccess, es posible bloquear el acceso a ciertos usuarios, IPs o dominios no deseados. Esto puede ser útil para bloquear intentos de acceso no autorizados o para evitar el acceso desde ciertas ubicaciones geográficas.

5. Mejora del rendimiento

En opciones más avanzadas el archivo .htaccess también se puede utilizar para habilitar compresión de archivos, caché de contenido y otras técnicas de optimización que ayudan a mejorar el rendimiento del sitio web.

Importancia y aplicación del archivo .htaccess

Una vez mencionadas las funciones más comunes del archivo .htaccess es de suma importancia comentar el papel fundamental en la configuración y personalización de un sitio web. Su capacidad para controlar varios aspectos del servidor web Apache ofrece a los administradores del sitio una forma eficiente de modificar y mejorar el funcionamiento de sus sitios web sin tener que realizar cambios directamente en la configuración del servidor.

Con el conocimiento y la comprensión adecuados de cómo funciona el archivo .htaccess, los profesionales de diseño y desarrollo web pueden aprovechar al máximo esta herramienta para lograr un sitio web más seguro, eficiente y adaptado a sus necesidades.

Ahora veamos un poco el accionar del archivo .htaccess

Redirecciones y reescritura de URL

Las redirecciones son acciones que permiten redirigir a los usuarios que intentan acceder a una URL en particular hacia una dirección diferente. Para ver un ejemplo de esto, imaginemos que queremos redirigir un dominio a un sitio web sin WWW o de la forma contraria.

RewriteEngine On
RewriteCond %{HTTP_HOST} ^www.midominio.com [NC]
RewriteRule ^(.*)$ https://midominio.com/$1 [L,R=301]

Estas tres líneas redirigir tu dominio a la versión sin WWW, para entrar en contexto, RewriteEngine, RewriteCond y RewriteRule son directiva y ofrecen su propia forma de configuración y puede ser utilizado según las necesidades específicas de nuestro sitio web. Ahora para el caso contrario en que necesitemos redireccionar a un dominio con WWW, se puede utilizar:

RewriteEngine On
RewriteCond %{HTTP_HOST} ^midominio.com [NC]
RewriteRule ^(.*)$ https://www.midominio.com/$1 [L,R=301]

Protección y seguridad del sitio web

Existen varios tipos de ataques a los que un sitio web puede estar expuesto, tales como ataques de inyección SQL, ataques DDoS, cross-site scripting (XSS) y más. Mediante el archivo .htaccess, podemos implementar medidas de seguridad para prevenir y mitigar estos ataques.

# Proteger ante DDOS de 10 Mb
LimitRequestBody 10240000

También suelen utilizarse para bloquear bots y crawlers molestos que consumen ancho de banda en nuestro sitio web. Estos bots los podemos detectar con la herramienta AWStats de nuestro panel de control. Para bloquearlos desde el htaccess debemos escribir las siguientes líneas:

# Bloquear Bots
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} ^SemrushBot [NC]
RewriteRule ^.* - [F,L]

En este caso bloquea el bot de SemrushBot, pero también hay muchos otros como SeekportBot, PetalBot. Recuerda que no todos los bots son malos, también existen los bots de los motores de búsqueda, como el de Googlebot, Bingbot, Yandexbot, entre otros.

Por otro lado, puedes bloquear el acceso a una o varias IPs de una forma muy sencilla, vemos el ejemplo:

order allow,deny
deny from x.x.x.x
allow from all

Donde en x.x.x.x especificas la IP y puedes agregas más lineas para listar otras IPs.

Ver nuestro artículo: WordPress: .htaccess

Esperamos que este artículo le haya ayudado a conocer como utilizar el archivo .htaccess, su funcionamiento y lo importante que puede ser para su sitio web.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de WordPress. También puede encontrarnos en  Twitter, Facebook e Instagram.

WordPress: Limpiar un hackeo

Es posible que te hayan infectado, hackeado. Cualquiera de estas opciones es factible si tu sitio tiene un problema de seguridad por falta de actualización o por disponer activado o no una plantilla o plugin que ha sido mal desarrollado.

Antes que nada: Haz una copia de seguridad o respaldo/backup desde el panel de control de tu dominio.
Podrás crear tu copia de seguridad siguiendo estos pasos:
https://ayuda.sitioshispanos.com/menu-principal/guias/web-hosting/copias-de-seguridad

Ahora si, comencemos. Uno de los primeros pasos es el de bloquear el acceso a todo el mundo para que no pueda acceder. Puedes cerrar el sitio web (ponerla en modo mantenimiento); o directamente “romper” el dominio renombrado la carpeta donde está instalada la web (En cPanel, dicha carpeta se llama /public_html; por dar un ejemplo).

Una vez has cerrado el acceso, lo siguiente es proceder a cambiar las principales contraseñas del sitio. Es necesario modificar las passwords de todos los administradores del WordPress y las del alojamiento / FTP, e incluso la de la base de datos.

Una vez hemos hecho esto, lo siguiente es reinstalar WordPress.

Aunque restaures los archivos de WordPress, seguramente te los volverán a modificar al día siguiente si no se ataca el problema de la raíz: ¿Por dónde han entrado?

Mucha gente se piensa que solo subiendo todo de nuevo, sobrescribiendo los archivos, resolverá el problema. No sirve solo subir todo de nuevo sobrescribiendo los archivos. Seguro que volverás a tener problemas en breve.

En primer lugar, y es importante. En el momento es que comenzó a pasar todo, ¿Tenias plugins, WordPress o el theme sin actualizar? Esto nos indicará si es un problema de descuido de la instalación.

Una cosa que puede suceder, es que “limpies” WordPress, pero ni los plugins, ni el theme, ni otros directorios de WordPress.

Lo que se tienes que hacer para limpiar una instalación de forma correcta y por este orden es:

En los ordenadores que acceden vía FTP al servidor:

1 – Pasa un buen antivirus para asegurarte que no tengas ningún troyano. Es importante saber que la computadora por la que se accede al sitio.

2 – Si usas FileZilla, actualiza a la última versión para tener las contraseñas encriptadas, no en texto plano como las tienen las antiguas versiones. Has lo mismo con cualquier otro cliente FTP que uses.

Pasar antivirus también en ordenadores que tienen acceso a la administración de WordPress.

Consigue copias limpias de todos los plugins que utilices y en sus últimas versiones.En el servidor o en el panel de control del sitio:

1 – Cambia las contraseñas del FTP. Asegurarse que sean seguras. Sobre todo, hazlo después de haberte asegurado que tu ordenador no tiene ningún tipo de infección, o te las volverá a capturar el posible troyano.
Las configuraciones FTP las podrás ver en esta guía:
https://ayuda.sitioshispanos.com/menu-principal/guias/web-hosting/sesiones-ftp

En WordPress:

  • Consigue copias limpias del Themes si no las tienes ya.
  • Consigue copias limpias de todos los plugins que utilices y en sus últimas versiones.
  • Descárgate todo el directorio uploads de WordPress a tu ordenador. Si usas plugins que creen directorios dentro de wp-content para subir archivos, descárgalo también. Hay plugins que crean directorios propios principalmente para subir imágenes. Pero ten cuidado, estate seguro que ese directorio es legítimo, no vayas a descargarte para su posterior subida el directorio que ha creado el hackeo.
  • Descárgate la base de datos a tu ordenador. Puedes usar el gestor de bases de datos que ofrece nuestro servicio de hosting, por regla general será phpMyAdmin.
  • Ve a los usuarios de WordPress, y mira que no haya ninguno que no debiera estar ahí. Si hay algún usuario que no debiera estar, bórralo.
  • Ve a la base de datos, y mira la tabla {prefijo}_users que no haya ninguno que no debiera estar ahí. Si lo hubiera, apunta el ID de usuario y elimínalo. TEN CUIDADO, PRESUPONGO QUE REALIZASTE UNA COPIA DE LA BASE DE DATOS TAL Y COMO TE HE DICHO EN UN PUNTO ANTERIOR.
  • En el caso en que hubiera algún usuario que no debía estar en {prefijo}_users ve a la tabla {prefijo}_usersmeta y busca todos los metadatos del ID de los usuarios que has eliminado y eliminalos todos.
  • Copia a tu ordenador el archivo wp-config.php.
  • Una vez copiado, ábrelo y mira que no haya nada que no debiera estar ahí. Si lo hubiera, bórralo.
  • Pasa el antivirus por el directorio uploads que te has descargado. Por regla general los antivirus detectan malware, uploaders, etc. Si te has descargado otros directorios de otros plugins, revísalos igualmente con el antivirus.
  • Entra uno a uno en todos los directorios dentro de uploads y de los otros directorios creados por otros plugins y mira que no haya nada que no debería estar ahí, como archivos php, exe, ISO, etc. Si hay archivos index.php, ábrelos y mira que no haya nada raro.
  • Borra TODO lo que hay en la web. ¿Todo?. Si, TODO. Pero ten en cuenta que debes ya haber copiado wp-config.php, el directorio uploads, los otros directorios creados por plugins, si los hubieran, a tu ordenador. TEN CUIDADO, hablo de todo lo relacionado con WordPress. Si tuvieras cosas que no pertenecen a WordPress (otros directorios, otros CMS, etc..) no los borres, pero tendrás que revisarlos también por si están entrando por ahí.
  • Sube una copia limpia de WordPress.
  • Sube el directorio uploads ya comprobado y limpio y los otros directorios creados por plugins si existieran, igualmente revisados y limpios.
  • Sube una copia limpia de todos los plugins que usas en tu sitio.
  • Sube el theme limpio.
  • Sube el archivo wp-config.php (ya comprobado).
  • Entra en la administración de WordPress y guarda de nuevo los enlaces permanentes para que te cree un .htaccess nuevo.
  • Que todos los usuarios cambien sus contraseñas, por si han sido capturadas por algún script. Si esto no se puede hacer inmediatamente, cambia tu directamente las contraseñas apretando en la edición de cada usuario en restablecer contraseña, WordPress generará contraseñas nueva y seguras.

Permisos de archivos y directorios en el servidor

Este apartado es uno de los más importantes. Podemos tener todo actualizado y sin vulnerabilidades, pero si aplicamos permisos incorrecto desde el punto de vista de la seguridad a los archivos y directorios, estamos dejando el campo abierto a los hackeos.

¿Alguna vez has tenido que dar un permiso 777 a un directorio o archivo? si es así, tienes un gran problema. El dar permisos 777 es como dejarse la ventana o la puerta abierta en tu casa, con la diferencia que los hackers saben por regla general que esa ventana o puerta será el directorio /wp-content/uploads o /wp-content/cache, etc.

Asegúrate que todos los permisos para directorios sean 755 y para los archivos 644; a excepción, si quieres, del archivo wp-config.php que se le puede dar permisos 440, pero no es obligatorio.

Esperamos que esta guía haya sido de ayuda.

Como has podido ver, te pueden estar entrando de varias formas.

  1. Tienen acceso al FTP
  2. Tienen contraseñas de usuarios con permisos
  3. El theme está modificado
  4. Plugins modificados con vulnerabilidades
  5. Archivos que te hayan subido por vulnerabilidad.
  6. Permisos erróneos o peligrosos en archivos o directorio (777)
  7. Marcado el «Recordarme» en el formulario de identificación y posterior captura de la cookie del navegador.

Por último, les recordamos:

Reglas básica de seguridad:

  • Tener siempre TODO actualizado a la última versión. El dejar algo sin actualizar, puede significar el dejar una puerta abierta a los hackers.
  • Nunca escribir con un usuario con rol de administrador, hacerlo significa que el hacker puede saber el nombre de usuario del administrador. Si ya los has hecho, crea un nuevo usuario con rol administrador, accede mediante este nuevo usuario, y degrada a Editor el que estabas utilizando hasta ahora.
  • Utilizar siempre contraseñas seguras. Cuanto más larga, mejor. Por regla general, si la contraseña la puedes recordar, es que no es lo suficientemente fuerte. La forma más sencilla de solucionar este problema, es la utilización de gestores de contraseñas, y no hablo de los que incluyen los navegadores, si no de software adquirido como podría ser LastPass (https://www.lastpass.com/es).
  • Nunca dar permisos 777 a un directorio o archivo.
  • Nunca utilizar la misma contraseña en dos sitios diferentes. Si se hacen con tu usuario y contraseña, tendrían acceso absolutamente a todos tus sitios.
  • Nunca, nunca te conectes a una WIFI gratuita si no estás utilizando un VPN. El hacerlo puede significar que un hacker esté capturando todo lo que haces consiguiendo todas tus contraseñas. Y mucho menos accedas a tu WordPress a menos que uses el VPN o tu sitios esté bajo cifrado (HTTPS/TLS).
  • Realizar backups de manera semanal de tu sitio. Esto hará que en caso de un problema, sea del tipo que sea, se pueda restaurar la web de forma rápida.
  • Y por supuesto, nunca, nunca, nunca, descargarse themes o plugins de sitios desconocidos.