Etiqueta: consejos

Bloquear la página de inicio de sesión de WordPress

WordPress es muy popular entre bloggers, desarrolladores y empresas. Debido a esta popularidad, los atacantes no tardan en localizar dónde se encuentran los recursos sensibles. Por defecto, en cualquier sitio WordPress, el acceso principal está claramente identificado como [nombre del dominio/wp-login.php] o /wp-admin/. Incluso en sitios pequeños, los registros del servidor pueden mostrar cientos de intentos fallidos de inicio de sesión provenientes de proxies residenciales y botnets que cambian constantemente sus direcciones IP. Si un atacante logra comprometer una sola cuenta, podría instalar un plugin malicioso, crear una puerta trasera, inyectar spam SEO o usar el sitio para alojar malware oculto, lo que dañaría la reputación, el posicionamiento en buscadores y los ingresos de forma directa y significativa.

¿Qué tan segura es la página de inicio de sesión de WordPress?

WordPress incluye funciones básicas de seguridad por defecto. No obstante, estas protecciones integradas suelen ser insuficientes para detener a atacantes persistentes. La página de inicio de sesión estándar puede estar vulnerable a diferentes tipos de amenazas, entre ellas:

  • Ataques de fuerza bruta
  • Relleno de credenciales
  • Intentos de phishing
  • Ataques de intermediario

Para obtener una mayor protección, deberá superar los valores predeterminados y agregar capas de seguridad adicionales.

10 capas defensivas para la seguridad del inicio de sesión en WordPress

A continuación, analizaremos cómo los atacantes apuntan a la página de inicio de sesión y luego repasaremos algunas configuraciones que ayudan a cerrar las brechas más comunes, como credenciales sólidas, autenticación de dos factores, limitación de velocidad y monitoreo en tiempo real.

1. Emplee contraseñas con alta complejidad en todos los lugares

Las campañas de robo de credenciales se basan en que los usuarios reutilizan sus contraseñas en diferentes servicios. Los kits de phishing y los ladrones de información descargan millones de credenciales a diario. Los atacantes introducen estas listas en scripts que buscan 
/wp-login.php coincidencias de credenciales.

2. Mueva la URL de inicio de sesión a una ruta no predeterminada

Los escáneres genéricos están diseñados para verificar las rutas de inicio de sesión predeterminadas, así que use una ruta distinta a la predeterminada para reducir la exposición a escáneres que solo buscan valores predeterminados. Esto no detiene a un atacante específico, pero filtra una oleada masiva de escáneres genéricos.
Una opción para ocultar la URL de inicio de sesión es usar un plugin como WPS Hide Login:

  1. Instale WPS Hide Login desde el repositorio oficial.
  2. En Configuración > Ocultar inicio de sesión de WPS, especifique el nuevo slug (ejemplo: /secure-gateway/).
  3. Guarde los cambios y registre la nueva URL en su administrador de contraseñas.

Recomendación

  • No publique la nueva ruta en documentación pública ni en foros de soporte.
  • Mantenga una segunda cuenta de administrador que omita el complemento en caso de que la regla de reescritura esté mal configurada.

3. Imponga límites estrictos a los inicios de sesión fallidos

Las herramientas de fuerza bruta disponibles pueden repetir las conjeturas de contraseñas en rápida sucesión, especialmente cuando el sitio responde rápidamente.

Una opción a través de un plugin sería utilizar, Limit Login Attempts Reloaded:

  1. Instalar Límite de intentos de inicio de sesión recargado .
  2. Configurar:
    • Reintentos permitidos: 3
    • Duración del bloqueo: 30 minutos
    • Máximo de bloqueos: 4
    • Bloqueo extendido: 24 horas
  3. Habilite el registro compatible con GDPR para capturar IP, nombre de usuario y hora.

4. Exigir 2FA para todos los usuarios privilegiados

El phishing y el malware roban contraseñas todos los días. Sin un segundo factor de verificación, esas credenciales bastan para acceder a tus cuentas.

5. Desafiar sesiones sospechosas con CAPTCHA

El robo de credenciales suele provenir de navegadores sin interfaz gráfica o CURL. CAPTCHA bloquea estas ejecuciones automatizadas con mínima fricción para los usuarios.

Una buena alternativa es utilizar la siguiente herramienta:

  1. Instalar CAPTCHA 4WP.
  2. Registre las claves reCAPTCHA v3 en https://www.google.com/recaptcha/admin .
  3. Aplicar desafíos a los formularios de inicio de sesión, registro y restablecimiento de contraseña.

6. Reforzar wp-config.php contra la manipulación posterior a la explotación

Si un atacante accede al panel de control o obtiene acceso de escritura a archivos, puede inyectar puertas traseras a través del editor de temas o los instaladores de plugins. Deshabilitar estas funciones obliga a los atacantes a buscar una primitiva de escritura del lado del servidor, lo que aumenta el nivel de exigencia.

Puedes realizar las siguiente acciones para reforzar tu WP:
Añade las siguientes líneas arriba
/* That's all, stop editing! */

define('DISALLOW_FILE_EDIT', true);
define('DISALLOW_FILE_MODS', true);

Mueva wp-config.php un directorio por encima de la raíz web si su proveedor de alojamiento lo permite:

/home/user/wp-config.php
/home/user/public_html/index.php

Establecer permisos de archivo estrictos:

chmod 400 /home/user/wp-config.php
chown www-data:root /home/user/wp-config.php

7. Ocultar los nombres de usuario de los autores de la vista del público

Muchas herramientas automatizadas ejecutan el análisis de enumeración, 
/?author=1que devuelve una redirección a [nombre de dominio 
/author/username/]. Esta filtración le entrega al atacante la mitad del problema del inicio de sesión.

Para bloquear este tipo de acciones, lo puedes realizar añadiendo lo siguiente a tu .htaccess

RewriteCond %{QUERY_STRING} autor=\d 
RewriteRule ^ /? [L,R=301]

Ahora si visitas la url /?author=1. Espera una redirección instantánea a la página de inicio o un error 403. Las entradas del blog deben mostrar el apodo, pero no el nombre de usuario.

8. Eliminar cuentas de usuario inactivas o desconocidas

En WordPress, las cuentas obsoletas —ya sean de exempleados, pruebas o correos comprometidos— pueden convertirse en puertas de entrada para los atacantes. Mantenerlas activas rompe con el principio de privilegio mínimo, una de las bases esenciales de la seguridad.

9. Purgar y elimina complementos y temas no utilizados

Se revelan vulnerabilidades graves en plugins y temas con frecuencia. Mantener instalados componentes sin usar o desactualizados aumenta el riesgo, incluso si están desactivados, ya que pueden ejecutarse directamente mediante la inclusión de archivos.

  1. Inicie sesión en su panel de administración de WordPress.
  2. Vaya a Panel de control > Complementos > Inactivos .
  3. Revise y elimine cualquier complemento que ya no utilice.

Nuevamente, la desactivación no neutraliza el riesgo. Elimínelo por completo a menos que sea necesario para la puesta en escena.

10. Parchee el núcleo, los complementos y los temas de WordPress inmediatamente

lgunas vulnerabilidades se explotan ampliamente poco después de su divulgación, pero la aplicación rápida de parches reduce el tiempo de exposición de su sitio web. Aplique las correcciones de inmediato y considere un firewall de aplicaciones web para reducir el riesgo mientras actualiza.

Conclusiones

  • Los atacantes se centran en la página de inicio de sesión de WordPress porque su ubicación es predecible y de un solo factor de forma predeterminada.
  • Las defensas en capas, como contraseñas seguras, URL ocultas, limitación de velocidad, autenticación de dos factores, CAPTCHA, refuerzo de la configuración y gestión estricta de parches, detienen la gran mayoría de los ataques del mundo real.
  • Un firewall de aplicaciones de sitios web acelera el proceso al brindar parches virtuales y protección automatizada contra fuerza bruta lista para usar.
  • Las copias de seguridad periódicas son la solución cuando todas las demás medidas fallan. Si no cuenta con copias de seguridad diarias externas, configúrelas ahora.

Este artículo está basado en la entrada: Locking Down the WordPress Login Page

Si te ha gustado este artículo, suscríbete a nuestro canal de YouTube  para ver videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  Twitter, Facebook e Instagram.

Archivo llms.txt. ¿Qué es y para qué sirve?

Un archivo llms.txt es relativamente nuevo en el ecosistema web y está vinculado a cómo los modelos de lenguaje (LLMs) como ChatGPT, Claude, Gemini, etc., interactúan con sitios web.

📌 ¿Qué es?

  • Es un archivo de texto plano que se coloca en la raíz del dominio (https://tusitio.com/llms.txt).
  • Similar a robots.txt, pero pensado específicamente para indicar permisos, restricciones o lineamientos sobre el uso de contenido del sitio por parte de modelos de IA.
  • Sirve para declarar políticas de acceso, atribución, entrenamiento y uso de datos que los LLMs deberían respetar.
  • Está pensado para ser legible tanto para humanos como para sistemas de IA, utilizando principalmente el formato Markdown.

📌 ¿Para qué sirve?

  • Puedes usarlo para permitir o bloquear que los modelos de IA.
    • Ofrecer directivas específicas para modelos IA sobre qué contenido puede usarse para entrenamiento, generación de respuestas, u otro tipo de interacción, diferenciando incluso entre tipos de modelos o proveedores.
    • Reducir elementos innecesarios (scripts, menús, anuncios) y garantizar que la data presentada sea clara y válida para procesamientos automáticos
    • Accedan a determinadas secciones del sitio.
  • También puede incluir información de licencias o créditos.

Ejemplo básico:

# Archivo llms.txt
User-Agent: *
Disallow: /privado/
Allow: /publico/
Policy: NoTraining
Attribution: Required

📌 ¿Se aplica solo a WordPress?

❌ No.
El llms.txt no depende de WordPress ni de ningún CMS específico.
Se puede usar en cualquier tipo de sitio web (estático, dinámico, hecho en WordPress, Joomla, Drupal, Laravel, HTML puro, etc.).

Lo importante es que esté disponible en la raíz pública del dominio para que los bots de IA lo detecten.

📄 Ejemplo de llms.txt

# llms.txt - Directivas para modelos de lenguaje (LLMs)

# Especificamos que estas reglas aplican a todos los LLMs
User-Agent: *

# Bloqueamos carpetas sensibles de WordPress
Disallow: /wp-admin/
Disallow: /wp-includes/
Disallow: /wp-content/plugins/
Disallow: /wp-content/themes/
Disallow: /cgi-bin/

# Permitimos contenido público indexable
Allow: /wp-content/uploads/
Allow: /blog/
Allow: /productos/
Allow: /

# Política de uso del contenido
Policy: NoTraining   # No se permite usar este contenido para entrenar IA
Policy: LimitedUse   # Solo se puede usar para generación de snippets/resúmenes

# Atribución obligatoria al mostrar extractos
Attribution: Required

# Información de contacto
Contact: admin@tusitio.com

# Fuente de licencia de contenido
License: https://tusitio.com/licencia-contenido

📌 Explicación de las directivas

  • User-Agent: a quién aplican las reglas (* = todos los LLMs).
  • Disallow / Allow: similar a robots.txt, define qué carpetas o rutas puede usar un modelo de IA.
  • Policy:
    • NoTraining → prohíbe usar el contenido para entrenar modelos.
    • LimitedUse → permite mostrarlo en resúmenes o snippets, pero no entrenar.
  • Attribution: Required → obliga a citar la fuente.
  • Contact / License → añade transparencia y respaldo legal.

👉 Recomendación: si tu enfoque es SEO y quieres que Google, Bing u otros bots tradicionales sigan indexando el contenido, no uses el llms.txt para bloquear / completo, solo apunta a IA.

El archivo llms.txt aún no es un estándar universal, pero está ganando espacio por la importancia creciente de la IA en internet y la necesidad de ofrecer marcos claros para la indexación y uso de contenidos por sistemas inteligentes.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

WordPress: Cómo etiquetar tus entradas de forma automática

Si tienes un blog o sitio web en WordPress con muchas publicaciones, es probable que hayas experimentado lo agotador que puede ser agregar etiquetas a cada entrada de manera manual. Aunque las etiquetas son fundamentales para la organización y optimización SEO de tu sitio, realizar esta tarea repetidamente consume tiempo. Afortunadamente, es posible automatizar este proceso, lo que te permitirá ser más eficiente y dedicar más esfuerzo a la creación de contenido.

La importancia de etiquetar tus publicaciones en WordPress

Antes de abordar cómo automatizar el etiquetado, es esencial comprender el valor de las etiquetas. En WordPress, las etiquetas permiten clasificar el contenido con mayor precisión que las categorías. Por ejemplo, si tienes un blog de recetas, una categoría podría ser “Postres”, mientras que las etiquetas podrían incluir términos como “chocolate”, “fruta” o “sin gluten”. Esto facilita a los visitantes encontrar contenido relacionado y, además, contribuye a mejorar el SEO de tu página.

Ventajas de automatizar el etiquetado de tus publicaciones

Automatizar el etiquetado ofrece múltiples beneficios:

  • Ahorro de tiempo: Evitas dedicar horas a etiquetar cada publicación manualmente.
  • Uniformidad: Garantizas que el sistema de etiquetado sea coherente en todo tu sitio.
  • Mejora del SEO: Las etiquetas correctas permiten que los motores de búsqueda indexen tu contenido de manera eficiente.
  • Mejor organización: Facilitas la navegación de los usuarios interesados en temas específicos.

Plugins recomendados para automatizar el etiquetado en WordPress

La buena noticia es que no necesitas conocimientos de programación para automatizar el proceso de etiquetado en WordPress. Existen diversos plugins que pueden hacerlo de manera eficaz. A continuación, te presentamos algunos de los más recomendados.

1 – Automatic Post Tagger

Este plugin es uno de los más completos y populares para automatizar el etiquetado de publicaciones en WordPress. Te permite configurarlo para que añada etiquetas de acuerdo con las palabras clave que aparecen en tus entradas.

Principales características:

  • Configura palabras clave y términos que el plugin buscará en tus publicaciones.
  • Añade etiquetas a nuevas entradas o actualiza las etiquetas de publicaciones existentes.
  • Compatible con publicaciones antiguas, permitiendo aplicar etiquetas retroactivamente.

Cómo usar Automatic Post Tagger:

Instalar y activar el plugin

Primero, descarga e instala el plugin desde el repositorio de WordPress y actívalo.

Añadir palabras clave y asignar etiquetas

El funcionamiento de Automatic Post Tagger se basa en la capacidad de identificar palabras clave en tus publicaciones y asociarlas con etiquetas predefinidas. Para configurarlo, sigue estos pasos:

  1. Definir palabras clave: Comienza introduciendo las palabras o frases clave que deseas que el plugin detecte en tus entradas. Estas deben representar los temas principales de tu contenido. Por ejemplo, si tu blog se enfoca en tecnología y publicas frecuentemente sobre “inteligencia artificial”, “big data” o “computación en la nube”, estas frases clave deben reflejar los tópicos centrales.
  2. Asignar etiquetas: Tras definir las palabras clave, asigna las etiquetas correspondientes. Por ejemplo, si el plugin detecta la palabra “inteligencia artificial”, podrías hacer que añada automáticamente la etiqueta “IA”. Igualmente, podrías vincular “big data” con la etiqueta “Análisis de Datos” y “computación en la nube” con “Cloud Computing”.

Consejo: Es importante utilizar palabras clave específicas para evitar un etiquetado excesivo o impreciso. En lugar de palabras generales como “inteligencia”, es mejor optar por términos más concretos como “inteligencia artificial” para asegurar que las etiquetas se apliquen solo cuando el contenido trate de ese tema en particular.

Configuración avanzada de palabras clave

Automatic Post Tagger ofrece opciones avanzadas para ajustar cómo se aplican las etiquetas, brindando mayor control sobre el proceso. Algunas de las configuraciones más útiles incluyen:

  • Cantidad mínima de coincidencias: Puedes definir un número mínimo de veces que una palabra clave debe aparecer en una publicación antes de que se aplique una etiqueta. Esto es ideal para evitar que una etiqueta se aplique por una mención esporádica. Por ejemplo, si decides que la palabra clave “tecnología” debe aparecer al menos tres veces en una publicación para activar la etiqueta “Tecnología”, puedes establecer ese umbral en la configuración.
  • Coincidencia parcial o exacta: Puedes elegir entre coincidencias exactas o parciales para las palabras clave. Las coincidencias exactas solo etiquetan cuando la palabra clave aparece tal como la has definido, mientras que las coincidencias parciales permiten detectar términos en variaciones más amplias. Por ejemplo, si seleccionas coincidencia parcial para “inteligencia”, el plugin podrá etiquetar publicaciones que mencionen “inteligencia artificial”, “inteligencia emocional”, entre otras variantes.

Agrupación de palabras clave

Otra funcionalidad clave es la agrupación de palabras clave, que permite asociar varias palabras clave con una misma etiqueta. Esto es útil cuando un mismo tema se refiere con diferentes términos. Por ejemplo, puedes agrupar “machine learning”, “aprendizaje automático” y “ML” bajo la etiqueta “Machine Learning”. Esto asegura que todas las variaciones relevantes del tema queden etiquetadas de manera coherente.

Guardar cambios y aplicar reglas

Una vez que hayas definido todas tus palabras clave y etiquetas, no olvides hacer clic en Guardar cambios. El plugin comenzará a analizar tanto las nuevas publicaciones como las existentes (si así lo configuras) para aplicar las etiquetas de forma automática, optimizando la organización y el SEO de tu sitio.

2 – TaxoPress

TaxoPress es otro plugin destacado que permite etiquetar automáticamente tus publicaciones en WordPress. Además de facilitar el proceso de etiquetado, te ayuda a gestionar taxonomías como categorías y etiquetas de manera más eficiente.

Principales características:

  • Etiquetado automático: Añade etiquetas automáticamente basadas en el contenido de tus publicaciones.
  • Sugerencias de etiquetas: El plugin genera recomendaciones de etiquetas para que puedas seleccionar las más adecuadas.
  • Gestión de taxonomías: TaxoPress permite limpiar etiquetas duplicadas y organizar mejor tus taxonomías.

Cómo utilizar TaxoPress:

  1. Instala y activa el plugin: Descárgalo desde el panel de WordPress y actívalo.
  2. Accede a TaxoPress: Una vez activado, ve a la sección de TaxoPress en el menú de administración de WordPress.
  3. Configura las reglas de etiquetado: Define las reglas de etiquetado automático según tus preferencias, para que se ajusten a las necesidades de tu sitio y a los temas que tratas en tus publicaciones.
  4. Aplica etiquetas a nuevas y antiguas entradas: Con un solo clic, puedes aplicar etiquetas automáticamente tanto a las nuevas publicaciones como a las existentes, facilitando la organización y el SEO de tu sitio web.

3 – Tag Groups

Tag Groups es una excelente opción avanzada que no solo automatiza el etiquetado, sino que también organiza las etiquetas en grupos, lo cual es útil para sitios con mucho contenido.

Principales características:

  • Agrupación de etiquetas: Organiza tus etiquetas en conjuntos, mejorando la estructura y el orden de tu sitio.
  • Etiquetado automático: Añade etiquetas a tus publicaciones de manera automática a partir del contenido.
  • Mejora la navegación: Permite a los usuarios filtrar y navegar de manera más eficiente mediante sistemas de etiquetado.

Cómo utilizar Tag Groups:

  1. Descarga e instala el plugin: Descárgalo desde el repositorio oficial de WordPress y actívalo.
  2. Accede a Tag Groups: Una vez instalado, dirígete a la sección Tag Groups en el menú lateral de WordPress.
  3. Configura los grupos y reglas de etiquetado: Define cómo deseas agrupar tus etiquetas y establece las reglas para el etiquetado automático según los temas de tus publicaciones.
  4. Guarda los cambios: Una vez configurado, el plugin comenzará a funcionar automáticamente en segundo plano, organizando y etiquetando tus publicaciones.

Configuración avanzada de los plugins

Para aprovechar al máximo la automatización del etiquetado, sigue estos consejos:

  • Palabras clave relevantes: Asegúrate de que las palabras clave que asocias con las etiquetas estén alineadas con los temas de tu blog. Si tu blog es de tecnología, usa términos como “innovación”, “gadgets”, “software”, etc.
  • Revisión manual: Aunque los plugins automatizan gran parte del trabajo, revisa periódicamente las etiquetas aplicadas para asegurar su precisión.
  • Evitar redundancia: No abuses del número de etiquetas por entrada. Idealmente, entre 3 y 5 etiquetas por publicación son suficientes para mantener la claridad y mejorar el SEO.

¿Cómo influye el etiquetado automático en el SEO?

El etiquetado automático no solo organiza mejor tu contenido, sino que también optimiza el SEO al asegurarte de que las palabras clave relevantes estén presentes en todas tus publicaciones. Esto ayuda a los motores de búsqueda como Google a indexar tus páginas de manera más eficiente, lo que aumenta tu visibilidad en los resultados de búsqueda.

Resumen

La automatización del etiquetado en WordPress es una forma efectiva de ahorrar tiempo, mejorar la organización del sitio y potenciar el SEO. Plugins como Automatic Post Tagger, TaxoPress y Tag Groups son herramientas clave para este propósito. Implementar esta solución te ayudará a tener un sitio más eficiente y bien organizado.

No olvides revisar periódicamente las etiquetas automáticas para asegurar su precisión y evitar afectar negativamente la experiencia del usuario o el rendimiento SEO.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

.htaccess: Como usar este archivo para bloquear bots y crawlers

Una pregunta común es cómo bloquear ciertos rastreadores, arañas web o bots para que no accedan a tu sitio. Puedes hacerlo utilizando el archivo robots.txt, pero se sabe que algunos rastreadores web ignoran esta solicitud. Una forma más confiable de bloquear bots es usar tu archivo .htaccess.

¿Qué son los rastreadores web?

Los rastreadores web, a menudo conocidos como arañas o bots, navegan sistemáticamente por la web y realizan tareas automatizadas en tu sitio. Pueden realizar tareas como:

  • Comprobar enlaces en tu contenido hacia otros sitios web
  • Validar tu código HTML para verificar errores
  • Guardar información como el número de sitios a los que enlazas o que enlazan a tu sitio
  • Almacenar tu sitio y contenido en un “archivo”

Algunos bots son más maliciosos y buscarán en tu sitio web direcciones de correo electrónico o formularios para enviarte spam o incluso buscarán riesgos de seguridad en tu código.

Lo que necesitas para comenzar a bloquear rastreadores web

Antes de que puedas comenzar a bloquear rastreadores web utilizando .htaccess, necesitarás algunas cosas:

  • Tu sitio debe estar en un servidor Apache. Nuestros servidores cPanel trabajando todos con Apache salvo el servidor LiteSpeed.
    En nuestros servidores Apache podrán crear o modificar un archivo .htaccess.
  • Necesitas acceso a los registros sin procesar del servidor de tu sitio para poder encontrar los nombres de las arañas web que deseas bloquear (a menos que ya sepas cuáles son). En cPanel proporcionamos la herramienta AwStats que permite revisar las estadísticas de visitas que recibió su sitio web.

Nota: a menos que bloquees todos los bots que intentan acceder a tu sitio web, nunca podrás bloquearlos por completo. Constantemente se crean nuevos bots y se modifican los existentes para eludir cualquier cosa que coloques en tu archivo .htaccess. Lo mejor que puedes esperar es dificultar el acceso a los bots malintencionados que quieren enviarte spam o hackearte.

Bloqueo de robots en tu archivo .htaccess

Para comenzar, necesitas descargar tu archivo .htaccess mediante FTP y hacer una copia de seguridad en caso de que necesites restaurarlo más tarde. Los ejemplos a continuación te mostrarán cómo bloquear bots utilizando la dirección IP o la cadena del User-Agent.

Bloqueo por dirección IP

Puedes bloquear IPs específicas en .htaccess fácilmente usando el siguiente código:

Order Deny,Allow  
Deny from 127.0.0.1

Obviamente, deberás cambiar 127.0.0.1 por la dirección IP que deseas bloquear. Order Deny,Allow simplemente significa que si el servidor web recibe una solicitud que coincide con la regla Deny, la denegará. Si no coincide, la permitirá.

La segunda línea le indica al servidor que niegue cualquier solicitud proveniente de 127.0.0.1, lo que generará un mensaje de Forbidden (Prohibido) en lugar de mostrar la página solicitada.

Puedes agregar más direcciones IP añadiendo más líneas Deny from en tu .htaccess:

Order Deny,Allow  
Deny from 127.0.0.1  
Deny from 215.146.3.3  
Deny from 190.86.1.1

Bloqueo de bots por cadena de User-Agent

La forma más fácil de bloquear rastreadores web por cadena de User-Agent es utilizar una función especial integrada en Apache llamada RewriteEngine. Puedes detectar fácilmente los User-Agents y enviarles un error 403 Forbidden. Supongamos que queremos bloquear algunos bots de motores de búsqueda:

RewriteEngine On  
RewriteCond %{HTTP_USER_AGENT} Googlebot [OR]  
RewriteCond %{HTTP_USER_AGENT} AdsBot-Google [OR]  
RewriteCond %{HTTP_USER_AGENT} msnbot [OR]  
RewriteCond %{HTTP_USER_AGENT} AltaVista [OR]  
RewriteCond %{HTTP_USER_AGENT} Slurp  
RewriteRule . - [F,L]

¿Qué hace este código?

Este código toma una lista de condiciones (RewriteCond) y les aplica una regla.

  • F significa Forbidden (Prohibido), lo que genera un error 403.
  • L significa que es la última regla del conjunto, por lo que no se evaluarán más reglas después de esta.

Guardando los cambios

Una vez que hayas hecho los cambios y bloqueado los bots o IPs que desees, puedes guardar el archivo .htaccess y subirlo a tu servidor, sobrescribiendo el archivo original.

Puedes mantener el archivo actualizado a medida que necesites bloquear nuevos bots o IPs. Si cometes un error, puedes revertirlo utilizando el archivo .htaccess original o simplemente eliminando las reglas agregadas.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

Nueva vulnerabilidad crítica en el tema “Alone” de WordPress

El tema “Alone – Charity Multipurpose Non‑profit”, muy popular para organizaciones y ONG, tiene una falla de seguridad grave identificada como CVE‑2025‑5394, con una puntuación de 9.8 sobre 10. Esta vulnerabilidad ha sido explotada activamente por atacantes, permitiendo tomar el control total de sitios web sin necesidad de autenticación previa.

¿En qué consiste la vulnerabilidad?

  • El error se encuentra en la función alone_import_pack_install_plugin() del tema, que no verifica permisos de usuario ni usa mecanismos anti‑CSRF.
  • Cualquier persona puede ejecutar una llamada AJAX que ordene al sitio descargar e instalar un plugin malicioso desde una URL controlada por el atacante.
  • Así es posible ejecutar código remoto (RCE), cargar web shells, backdoors o archivos PHP maliciosos para tomar control completo del sitio, crear cuentas de administrador ocultas, redirigir a páginas maliciosas o minar criptomonedas.

Versiones afectadas y actualizaciones

  • Todas las versiones hasta la 7.8.3 inclusive están vulnerable.
  • La versión corregida, 7.8.5, fue publicada el 16 de junio de 2025.
  • Según Wordfence, se detectaron más de 120.900 intentos de explotación desde el 12 de julio de 2025, dos días antes de la divulgación pública.

Cómo puede afectarte

Un atacante puede:

  • Robar información sensible (datos de usuarios, clientes, etc.)
  • Inyectar malware o redireccionar tráfico
  • Crear cuentas administrativas encubiertas
  • Usar los recursos del servidor para actividades ilícitas
  • Desfigurar o eliminar el sitio por completo

Recomendaciones rápidas para proteger tu sitio

  1. Actualiza ya el tema Alone a la versión 7.8.5 o superior si lo utilizas.
  2. Audita los plugins instalados: elimina los que no reconozcas o estén inactivos.
  3. Revisa usuarios con rol de administrador: elimina cuentas sospechosas o desconocidas.
  4. Verifica los registros de acceso (logs) buscando solicitudes a /wp-admin/admin-ajax.php?action=alone_import_pack_install_plugin
  5. Ten siempre copias de seguridad recientes y confiables para restaurar rápidamente en caso de ataque.
  6. Implementa un WAF (Web Application Firewall) para bloquear intentos de explotación conocidos.
  7. Mantén WordPress, temas y plugins actualizados para reducir riesgos de seguridad.

👩‍💻 Buenas prácticas de seguridad general para WordPress

Más allá de este caso puntual:

  • Instala solo temas y plugins de fuentes confiables y mantenlos actualizados.
  • Utiliza contraseñas robustas y, de ser posible, activa autenticación de dos factores.
  • Realiza auditorías de seguridad periódicas, incluidos escaneos de malware y análisis de integridad.
  • Limita los tipos de archivo que se puedan subir (bloquea .php, .exe, etc.) y controla los permisos del directorio de subida.

Resumen

La vulnerabilidad CVE‑2025‑5394 en el tema Alone es una alerta roja para quienes utilizan WordPress en entornos profesionales o públicos. Si empleas este tema, actualiza de inmediato a la versión parcheada 7.8.5, auditá tus plugins y usuarios, y adopta una postura de seguridad proactiva para evitar compromisos serios.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

Referencias:

  • https://unaaldia.hispasec.com/2025/08/fuga-de-seguridad-critica-en-un-popular-tema-de-wordpress-permite-a-los-hackers-tomar-el-control-total-de-los-sitios-web.html

WordPress: Cómo eliminar traducciones

Gestionar traducciones en WordPress: cómo liberar espacio eliminando idiomas innecesarios

A lo largo del tiempo, es común que una instalación de WordPress acumule archivos de traducción correspondientes a idiomas que no se utilizan. Estos archivos no solo ocupan espacio en el servidor, sino que también consumen inodos y pueden enlentecer procesos como las actualizaciones, ya que WordPress descarga automáticamente los archivos de idioma para plugins y temas, independientemente de si están activos o no.

Aunque WordPress facilita la incorporación de nuevos idiomas —permitiendo que cada usuario visualice el panel en su lengua si hay traducciones disponibles—, lo cierto es que no ofrece una herramienta nativa para gestionar o eliminar idiomas instalados. Ante esta limitación, una alternativa práctica es recurrir a un plugin como Simple Translation Remover, que permite visualizar y eliminar fácilmente los idiomas que ya no se necesitan, desde una interfaz simple y sin intervenir directamente en los archivos del sistema.

Al instalar este complemento, se presenta un modo de solo visualización, en el cual puedes ver todos los archivos de traducción vinculados a un idioma específico sin que se elimine nada por accidente. Esta función es útil para evaluar qué archivos están ocupando espacio antes de tomar una decisión definitiva.

Si decidís activar la opción de eliminación, el plugin procederá a borrar físicamente del servidor todos los archivos de idioma seleccionados. Estos desaparecerán completamente del sistema hasta que se vuelvan a instalar de forma manual. Esta característica convierte al plugin en una solución eficaz para liberar espacio y mantener la instalación más liviana.

El funcionamiento es claro: seleccionas los idiomas que ya no usas (excepto el idioma predeterminado, que no puede eliminarse), y el plugin los elimina sin afectar otras partes del sitio. No deja restos, no interfiere con el funcionamiento de WordPress y cumple con su cometido de forma rápida y segura.

En resumen, Simple Translation Remover es una herramienta sencilla, pero potente que facilita la limpieza de archivos de traducción obsoletos, ayudando a mantener un entorno más ordenado y optimizado sin complicaciones técnicas.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

WordPress: Añadir preguntas de seguridad al acceso usando un plugin

Fortalecer la seguridad en la pantalla de inicio de sesión de WordPress es esencial para prevenir accesos no autorizados y proteger tu sitio. Aunque no existen plugins exclusivos para incorporar preguntas de seguridad en el inicio de sesión, es posible lograr un nivel de protección similar implementando la autenticación multifactor (MFA). Una opción recomendada es el plugin miniOrange Multi Factor Authentication, que permite integrar métodos como aplicaciones de autenticación, correos electrónicos, códigos y preguntas de seguridad personalizadas.

¿Por qué es importante añadir una capa adicional de seguridad en WordPress?

Incorporar una segunda capa de protección en el acceso a WordPress refuerza la seguridad contra ataques de fuerza bruta y accesos no deseados. La MFA, que puede incluir preguntas de seguridad personalizadas, asegura que únicamente los usuarios autorizados puedan ingresar, incluso en caso de que sus contraseñas sean vulneradas. Por esta razón, aquí te explicamos cómo añadir preguntas de seguridad para reforzar el acceso a tu sitio WordPress.

Paso 1: Instalar el plugin miniOrange Multi Factor Authentication

Para habilitar la autenticación multifactor en tu sitio WordPress, el primer paso es instalar el plugin miniOrange Multi Factor Authentication desde el repositorio oficial de WordPress. Sigue estos pasos:

  1. Ingresa al panel de administración de tu sitio WordPress.
  2. Dirígete a Plugins > Añadir nuevo.
  3. En el buscador, escribe “miniOrange Multi Factor Authentication” y selecciona el plugin correspondiente.
  4. Haz clic en Instalar ahora y, una vez completada la instalación, selecciona Activar.

Paso 2: Configurar las opciones de autenticación multifactor

Tras activar el plugin, accede a la configuración para personalizar el método de autenticación que deseas implementar, incluyendo preguntas de seguridad. Para ello:

  1. En el panel de administración, selecciona miniOrange 2-Factor en el menú lateral.
  2. En la página de configuración, explora las diferentes opciones de autenticación disponibles, como:
    • Aplicaciones de autenticación (como Google Authenticator).
    • OTP por correo electrónico (código de un solo uso enviado por email).
    • Preguntas de seguridad personalizadas.
    • Verificación por SMS.

Para habilitar preguntas de seguridad, elige la opción Security Questions, sigue las instrucciones para configurarlas y activa este método de verificación. De esta manera, podrás reforzar la seguridad del inicio de sesión en tu sitio WordPress con preguntas personalizadas.

Paso 3: Personaliza las preguntas de seguridad

Configurar preguntas de seguridad para el inicio de sesión en WordPress es una medida recomendada para mejorar la protección de tu sitio. Sigue estos pasos para activarlas y personalizarlas:

  1. Dentro de la sección Security Questions del plugin, selecciona preguntas predeterminadas o crea tus propias preguntas personalizadas.
  2. Establece la cantidad de preguntas que los usuarios deberán responder y personaliza tanto las preguntas como las respuestas según lo necesites.
  3. Guarda los cambios para finalizar la configuración.

A partir de este momento, los usuarios deberán responder correctamente a estas preguntas para completar el proceso de inicio de sesión.

Paso 4: Asigna métodos de autenticación según los usuarios

Además de implementar preguntas de seguridad, puedes configurar distintos métodos de autenticación para diferentes roles de usuario en WordPress. Por ejemplo, es posible habilitar la autenticación multifactor (MFA) solo para administradores y editores. Para hacerlo:

  1. Accede a miniOrange 2-Factor > Usuarios en el menú del panel de administración.
  2. En esta sección, asigna los métodos de autenticación requeridos a cada usuario según sus roles.
  3. Si deseas que todos los usuarios respondan preguntas de seguridad, asegúrate de habilitar esta opción para los roles correspondientes en la configuración del plugin.

Con estas configuraciones, puedes personalizar la seguridad de inicio de sesión en tu sitio WordPress de manera flexible y efectiva.

Paso 5: Verifica el funcionamiento de la autenticación multifactor

Una vez configuradas las preguntas de seguridad en el acceso a WordPress, es importante asegurarte de que todo opere correctamente. Sigue estos pasos para realizar una prueba:

  1. Cierra sesión en tu cuenta de administrador.
  2. Intenta iniciar sesión nuevamente y verifica que se muestre la pantalla de autenticación con la pregunta de seguridad u otro método configurado.
  3. Completa el proceso de verificación y asegúrate de que funciona sin inconvenientes.

Si encuentras problemas, revisa la configuración del plugin para confirmar que cada usuario tenga habilitada la autenticación multifactor (MFA).

Preguntas frecuentes sobre autenticación multifactor en WordPress

¿Qué hacer si un usuario olvida la respuesta a su pregunta de seguridad?
El administrador puede restablecer la autenticación desde el perfil del usuario en la sección de Usuarios o a través de la configuración del plugin miniOrange. Además, es posible configurar métodos de respaldo para este tipo de situaciones.

¿Es posible habilitar varios métodos de autenticación simultáneamente?
Sí, el plugin miniOrange permite configurar múltiples métodos de autenticación. Puedes ofrecer opciones como preguntas de seguridad, Google Authenticator o códigos enviados por correo electrónico para que los usuarios elijan.

¿Se puede desactivar temporalmente la autenticación multifactor?
Si es necesario, puedes desactivar temporalmente MFA desde la configuración del plugin en miniOrange 2-Factor o desactivando el plugin en la sección de Plugins.

Recomendaciones adicionales de seguridad para WordPress

Además de las preguntas de seguridad, considera implementar las siguientes medidas para mejorar la protección de tu sitio:

  • Usa contraseñas robustas: Asegúrate de que todos los usuarios tengan contraseñas largas y complejas.
  • Implementa un firewall y protección antimalware: Complementa la seguridad con herramientas como Wordfence para prevenir amenazas.
  • Mantén todo actualizado: Asegúrate de instalar las actualizaciones de WordPress y los plugins regularmente para evitar vulnerabilidades.

Conclusión

Aunque añadir preguntas de seguridad en WordPress no es una práctica estándar, el plugin miniOrange Multi Factor Authentication te permite integrarlas dentro de un enfoque moderno de autenticación multifactor. Este método no solo incluye preguntas de seguridad, sino también opciones como códigos de un solo uso y autenticación con aplicaciones móviles. Siguiendo estos pasos, puedes fortalecer significativamente la seguridad de tu sitio y proteger la información de tus usuarios de manera efectiva.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

Cómo comprobar la fecha de caducidad de un dominio y evita inactividad del sitio web

¿Alguna vez has intentado acceder a un sitio web y te has encontrado con que su nombre de dominio ha expirado? Es más común de lo que parece, especialmente en el caso de pequeñas empresas o webmasters que administran varios dominios.

Las fechas de vencimiento de los dominios suelen pasarse por alto hasta que ya es demasiado tarde. Afortunadamente, mantenerse al tanto de esta información es sencillo, una vez que sabes dónde buscar.

¿Por qué es importante comprobar la fecha de vencimiento de tu dominio?

¿Alguna vez has sentido ese momento de pánico al intentar acceder a tu sitio web y descubrir que ya no está disponible?
En cliente nos cuenta:
Me pasó una vez mientras lanzaba un pequeño proyecto paralelo. Había creado una landing page sencilla con un dominio que había registrado tiempo atrás. Todo estaba listo y funcionando… hasta que, unas semanas después, el sitio desapareció por completo.

En mi entusiasmo, olvidé algo fundamental: renovar el dominio.

¿Qué ocurre cuando un dominio expira?

Básicamente, tu sitio desaparece de internet. Quienes intenten visitarlo verán una página de error indicando que no se puede acceder al sitio, o peor aún, podrían encontrarse con una página llena de anuncios de terceros.

Además, cuando un dominio expira, las direcciones de correo electrónico asociadas a él dejan de funcionar. Esto puede llevar a la pérdida de mensajes importantes de clientes o socios.

Y no se trata solo del sitio web o el correo. Tu nombre de dominio representa tu identidad en línea. Perderlo puede afectar seriamente tu marca y dañar tu reputación profesional.

¿Se puede recuperar un dominio vencido?

En algunos casos, sí es posible recuperar un dominio caducado. Sin embargo, no siempre está garantizado y el proceso puede ser complicado y costoso.

Por lo general, cuando un dominio expira, entra primero en un período de gracia, que suele durar algunas semanas. Durante este tiempo, todavía puedes renovarlo, normalmente pagando solo la tarifa de renovación habitual.

Pero si dejas pasar ese plazo, el dominio entra en una fase de redención. En esta etapa, aún es posible recuperarlo, pero normalmente tendrás que pagar una tarifa de redención adicional, que puede ser considerable.

Si también pierdes el período de redención, el dominio queda libre y puede ser registrado por cualquiera, incluso por un competidor.

Mejor prevenir que lamentar

Revisar con regularidad la fecha de vencimiento de tus dominios y asegurarte de que las renovaciones están programadas correctamente es una medida simple que te puede evitar muchos dolores de cabeza en el futuro.

Ahora, te mostraré las mejores formas de verificar la fecha de vencimiento de tu nombre de dominio:

1. Uso de los servicios de búsqueda WHOIS

WHOIS es como una gigantesca guía telefónica pública para nombres de dominio. Su base de datos contiene información sobre quién registró un dominio, cuándo lo registró y, lo más importante, cuándo vence.

Recomiendo usar la herramienta de búsqueda de la ICANN, ya que esta gestiona los nombres de dominio a nivel mundial.

Otros sitios WHOIS populares incluyen DomainTools y  Whois.com. Ahora bien, si tu dominio es .ar, debes consultar con NIC.AR

Usar estos servicios suele ser muy sencillo. Verás una barra de búsqueda en la página principal. Solo tienes que escribir el nombre de dominio que quieres consultar (por ejemplo, “ejemplo.com”) y pulsar Intro o hacer clic en el botón “Buscar”.

Luego, el servicio WHOIS obtiene la información del dominio y se la muestra. En estas consultas, casi siempre encontrarás la fecha de vencimiento.

Los servicios de búsqueda de WHOIS, especialmente ICANN Lookup, son increíblemente prácticos para realizar comprobaciones rápidas. Esto es especialmente cierto cuando solo necesitas saber la fecha de vencimiento.

2. Configuración de notificaciones de vencimiento de nombres de dominio

Ya te mostré cómo comprobar la fecha de vencimiento de tu dominio. Pero ¿qué hay de asegurarte de no perderla nunca? Ahí es donde las notificaciones de vencimiento de dominios resultan útiles.

Si realmente te tomas en serio el monitoreo de dominio a largo plazo, entonces podrías incluso considerar usar servicios de monitoreo de dominio dedicados como UptimeRobot.

Puede utilizar la supervisión de dominio del servicio para recibir alertas 30, 14, 7 y 1 día antes de que caduque su nombre de dominio y ver la fecha de caducidad en cualquier momento en su panel de control.

Las notificaciones se pueden enviar por correo electrónico, SMS, llamada de voz o mediante una de las muchas integraciones (como Slack, Zapier, Splunk y más).

Preguntas frecuentes sobre la comprobación de las fechas de vencimiento de los dominios

Incluso después de leer esta guía sobre cómo comprobar la fecha de vencimiento de tu dominio, puede que aún tengas preguntas. Aquí tienes las respuestas a las preguntas más frecuentes:

1. ¿Por qué es tan importante comprobar la fecha de expiración de mi dominio?

Dejar que tu dominio caduque puede causar muchos problemas. Tu sitio web podría quedar fuera de línea, tus correos electrónicos podrían dejar de funcionar e incluso podrías perder tu nombre de dominio por completo.

2. ¿Los nombres de dominio expiran automáticamente?

Sí, los registros de nombres de dominio suelen tener una duración determinada: normalmente un año, pero a veces más. Si no renueva su registro de dominio antes de la fecha de vencimiento, este caducará. No se trata de una compra única, sino más bien de alquilar su nombre de dominio por un período específico.

3. ¿Qué pasa si me olvido de renovar mi dominio y éste caduca?

Si tu dominio caduca, es probable que tu sitio web y los servicios de correo electrónico vinculados dejen de funcionar. Durante un periodo de gracia, podrías renovarlo al precio regular.

Pero si no lo hace, podría enfrentarse a tarifas de redención más altas o incluso perder el nombre de dominio si otra persona lo registra.

4. ¿Puedo consultar la fecha de expiración de cualquier nombre de dominio, incluso si no soy el propietario del mismo?

¡Sí, por supuesto! Métodos como los servicios de búsqueda de WHOIS están diseñados para permitirte consultar la fecha de vencimiento (y otra información pública) de casi cualquier nombre de dominio registrado.

5. ¿Debo pagar para utilizar los servicios de búsqueda WHOIS?

La mayoría de los servicios básicos de búsqueda de WHOIS son gratuitos para comprobar las fechas de vencimiento y la información básica del dominio. Algunos de estos sitios también ofrecen servicios de pago más avanzados, pero la búsqueda básica suele ser gratuita.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

Cómo impedir el acceso de bots de inteligencia artificial a tu sitio web

En la actualidad, muchos administradores de sitios web están tomando medidas para evitar que los bots de inteligencia artificial (IA) accedan y recopilen contenido sin autorización. Plataformas como OpenAI, DeepSeek y otras utilizan estos bots para recolectar información con el objetivo de entrenar modelos avanzados de lenguaje, muchas veces sin ofrecer crédito ni compensación a los creadores del contenido original.

A diferencia de los rastreadores de motores de búsqueda tradicionales, cuyo propósito es indexar y mejorar la visibilidad de los sitios, estos bots de IA solo buscan extraer datos para alimentar sus sistemas, sin aportar ningún beneficio a los propietarios del sitio web.

Si querés evitar que este tipo de tecnologías acceda a tu contenido, existen formas efectivas de limitar su actividad. En esta guía, te mostramos cómo hacerlo, principalmente a través de archivos como robots.txt y .htaccess.

Restringir bots de IA con el archivo robots.txt

Una manera sencilla de intentar evitar que estos bots accedan a tu sitio es mediante el uso del archivo robots.txt. Este archivo sirve como una guía para los rastreadores web, indicando qué partes del sitio pueden o no pueden explorar.

Aunque no todos los bots obedecen estas reglas —especialmente los más agresivos—, los bots bien intencionados suelen respetarlas. Por eso, es un buen primer paso. Solo tienes que agregar una lista de instrucciones y colocar el archivo en el directorio raíz de tu sitio web.

Aquí un ejemplo actualizado de un archivo robots.txt que bloquea los principales bots de inteligencia artificial para el entrenamiento de modelos, incluyendo los de OpenAI, Anthropic, Google, Perplexity, y otros.

# Bloqueo de bots de inteligencia artificial y modelos de lenguaje
User-agent: GPTBot
Disallow: /

User-agent: ChatGPT-User
Disallow: /

User-agent: Google-Extended
Disallow: /

User-agent: GoogleOther
Disallow: /

User-agent: CCbot
Disallow: /

User-agent: anthropic-ai
Disallow: /

User-agent: ClaudeBot
Disallow: /

User-agent: PerplexityBot
Disallow: /

User-agent: cohere-ai
Disallow: /

User-agent: Gemini
Disallow: /

User-agent: HuggingFace
Disallow: /

User-agent: Bytespider
Disallow: /

User-agent: DeepSeek
Disallow: /

User-agent: Amazonbot
Disallow: /

User-agent: Amazon Bedrock
Disallow: /

# Opcional: bloquea todos los bots menos los principales motores de búsqueda
User-agent: *
Disallow: /
Allow: /$
Allow: /robots.txt
Allow: /sitemap.xml


Recomendaciones:

  1. Ubicación: colocá este archivo en la raíz pública de tu sitio web (https://tudominio.com/robots.txt).
  2. Revisión: podés verificar que está bien cargado accediendo a la URL directamente o usando herramientas como Google Search Console.
  3. Actualización regular: estos bots y sus nombres cambian, por lo que conviene revisarlo cada ciertos meses.

🧠 Recordá: esto no impide el acceso técnico, solo indica formalmente que no se debe acceder. Los bots “éticos” lo respetan; los maliciosos o no regulados, no siempre.

Bloqueo más estricto con Apache y .htaccess

Si buscás una solución más robusta, especialmente frente a bots que ignoran las indicaciones de robots.txt, podés implementar restricciones directamente en el servidor utilizando el archivo .htaccess (para sitios que usan Apache).

Con este método, cualquier intento de acceso de los bots listados será directamente rechazado. Estas reglas usan mod_rewrite para denegar el acceso directamente desde el servidor. Aquí un ejemplo de configuración:

# Bloquear bots de inteligencia artificial por User-Agent
<IfModule mod_rewrite.c>
RewriteEngine On

# Lista de User-Agents de bots de IA a bloquear
RewriteCond %{HTTP_USER_AGENT} (GPTBot|ChatGPT-User|ClaudeBot|anthropic-ai|PerplexityBot|Google-Extended|GoogleOther|Bytespider|DeepSeek|cohere-ai|Amazonbot|Amazon\ Bedrock|Gemini|HuggingFace) [NC]

# Denegar acceso
RewriteRule ^.* - [F,L]
</IfModule>

Este enfoque garantiza un mayor nivel de protección, ya que impide la carga del contenido para bots con los user-agents especificados, sin depender de que sigan instrucciones voluntarias.

Cómo aplicarlo

  1. Ubicación: Pega esto al inicio o final del archivo .htaccess, ubicado en la raíz pública de tu sitio (generalmente public_html/).
  2. Permisos: Asegúrate de que el archivo tenga permisos adecuados (644).

Conclusión

Proteger tu sitio del uso no autorizado de contenido por parte de bots de inteligencia artificial es cada vez más importante. Aunque robots.txt puede ser un buen punto de partida, las reglas aplicadas en .htaccess ofrecen una defensa mucho más efectiva. De este modo, podés tomar el control sobre qué agentes acceden a tu contenido y evitar que tu información sea utilizada sin consentimiento.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.

WordPress: Cómo detectar código malicioso en un tema

Revisar si un tema de WordPress contiene código malicioso es una medida esencial para proteger tu sitio web. Aunque es poco común encontrar software malicioso en temas premium obtenidos legalmente, nunca está de más tomar precauciones. Los desarrolladores responsables de temas de pago suelen enfocarse en ofrecer productos seguros y bien optimizados.

La situación cambia cuando se trata de temas gratuitos o versiones premium descargadas desde sitios no oficiales. En estos casos, aumenta significativamente la probabilidad de que el código incluya elementos dañinos, lo cual puede afectar tanto la integridad de tu sitio como la experiencia de tus usuarios.

Por eso, antes de instalar cualquier tema, es clave saber cómo examinarlo correctamente para evitar comprometer tu web.

¿Por qué se incluye código malicioso en algunos temas?

La presencia de código malicioso no es accidental. Existen diferentes motivaciones por las cuales ciertos desarrolladores o ciberdelincuentes insertan código oculto en los archivos del tema. Algunas de las razones más frecuentes incluyen:

  • Obtener enlaces forzados hacia otros sitios.
  • Mostrar anuncios sin autorización.
  • Redirigir a los visitantes a páginas fraudulentas o con contenido indeseado.
  • Crear accesos ocultos para tomar control del sitio más adelante.

Estas acciones no solo dañan el rendimiento del sitio, sino que también afectan tu reputación digital y pueden hacer que los motores de búsqueda marquen tu web como peligrosa.

Por ello, es crucial tomar medidas de prevención antes de instalar cualquier plantilla en tu WordPress.

Pasos para identificar código malicioso en un tema WordPress

Antes de activar un nuevo tema en tu sitio, especialmente si no proviene del repositorio oficial de WordPress o de una fuente reconocida, te recomendamos seguir estos pasos:

1. Verificá la fuente desde donde descargarás el tema

Un primer filtro útil es hacer una búsqueda en Google sobre la página que ofrece el tema. Por ejemplo, podés buscar:

  • nombredelsitio malware
  • nombredelsitio código malicioso

Esto puede darte pistas sobre si otros usuarios han tenido problemas con ese sitio o si existen advertencias en foros o blogs.

Ejemplo: si estás considerando descargar desde un dominio como temasgratispro.com, buscá frases como:

  • "temasgratispro.com" malware
  • "temasgratispro.com" problemas de seguridad

Si hay comentarios negativos o alertas, lo más seguro es evitar ese sitio.

2. Escanea el archivo ZIP del tema antes de instalarlo

Si ya descargaste el tema, no lo instales directamente. Primero, analizá el archivo comprimido con herramientas como VirusTotal. Este servicio permite subir archivos para comprobar si contienen virus, troyanos o fragmentos de código sospechoso.

Aunque este tipo de escaneo no siempre detecta amenazas avanzadas, representa un primer filtro importante para evitar infecciones.

Otras formas de revisar un tema antes de usarlo

Además de escanear el archivo descargado, podés aplicar estas estrategias adicionales para detectar posibles amenazas:

3. Usar servicios online para escanear archivos o URLs

Una vez que tengas el tema descargado o instalado en un sitio de pruebas, podés usar plataformas como:

Estas herramientas te permiten analizar en tiempo real si el tema incluye malware, redirecciones, código inyectado u otras anomalías.

4. Instalar el tema en un entorno de pruebas

Siempre que sea posible, utilizá una instalación de WordPress en un entorno aislado (como un subdominio o un servidor local) para verificar el comportamiento del tema antes de aplicarlo en tu sitio principal.

Esto te dará la oportunidad de detectar comportamientos extraños, como redirecciones automáticas o aparición de enlaces no deseados, sin poner en riesgo tu web principal.

Aquí tenés una versión reescrita y original, con el mismo mensaje esencial pero redactada desde cero para evitar problemas de derechos de autor:

5. Complementa con plugins de seguridad en WordPress

Además de los mecanismos que ofrece tu hosting, puedes reforzar la seguridad desde el propio panel de administración de WordPress utilizando plugins especializados. Algunos de los más conocidos son:

  • Wordfence Security
  • Sucuri Security

Estos plugins permiten escanear los archivos del sitio en busca de malware, scripts ocultos o alteraciones sospechosas. Aunque no siempre son la solución más ligera para todos los sitios, pueden resultar útiles como complemento, especialmente si no cuentas con herramientas más avanzadas.

Eso sí, no sustituyen un análisis manual ni las precauciones previas al instalar un tema.

6. Verifica si el tema presenta vulnerabilidades conocidas

Antes de instalar cualquier tema, incluso si proviene de fuentes oficiales, conviene investigar si existen fallos de seguridad asociados con él. Sitios como PatchStack ofrecen bases de datos públicas donde podés ingresar el nombre del tema y ver si se han registrado vulnerabilidades en sus versiones.

Esto te permite detectar si existen problemas graves como:

  • Brechas de seguridad explotables.
  • Accesos no autorizados (backdoors).
  • Fallos que podrían permitir inyecciones de código.

Además, estos portales también indican si el desarrollador ha corregido el problema mediante actualizaciones, lo que te ayuda a tomar una decisión informada antes de instalar el tema.

7. Revisa si hay presencia de código ofuscado

Una señal de alerta común en temas maliciosos es la presencia de código ofuscado. Esta técnica consiste en alterar el código para que sea difícil de leer y entender, lo cual suele utilizarse para ocultar funciones dañinas como:

Para identificar este tipo de código, puedes revisar los archivos PHP y JavaScript del tema en busca de fragmentos sospechosos, como cadenas codificadas en Base64, funciones sin nombres claros, o bloques largos de texto incomprensible.

Aunque no siempre indica algo malicioso, el uso de ofuscación en un tema que debería ser transparente es, al menos, motivo de desconfianza. En caso de duda, es mejor optar por otro tema más claro y confiable.

¿Mi tema es seguro? Checklist final

Si completaste todos los pasos anteriores —revisaste la fuente del tema, lo analizaste con herramientas, comprobaste posibles vulnerabilidades y descartaste código sospechoso—, puedes tener una buena certeza de que el tema no presenta código malicioso.

Aun así, seguí estas buenas prácticas para reforzar tu seguridad:

  • ✅ Descargá temas solo desde el repositorio oficial de WordPress.org, donde pasan por una revisión manual.
  • ✅ Comprá temas directamente en los sitios oficiales de los desarrolladores. Evita revendedores o páginas no verificadas.
  • ❌ No instales versiones “gratuitas” de temas premium. Estas versiones pirateadas suelen incluir malware escondido.
  • ✅ Probá el tema en un entorno de pruebas antes de activarlo en tu sitio principal. Usa herramientas online y escáneres para validar su seguridad.

Aplicando estas medidas, reducirás considerablemente el riesgo de que un tema comprometa la seguridad de tu sitio WordPress.

Si te gustó este artículo, suscríbete a nuestro canal de YouTube  para videos tutoriales de Hosting, prácticas y demás. También puede encontrarnos en  X (Twitter), Facebook e Instagram, además de LinkedIn.