Les comparto una guía en forma de Checklist, aquí (lo pueden guardar como .pdf), para que nos ayude a mejorar lo que tenemos nuestros sitios con WordPress.

El creador de esta guía, Javier Gobea, también tiene un mini curso llamado "Protege tu blog" (son 6 partes), al cual yo estoy inscrito y esta bastante interesante, se los recomiendo.

Aquí les dejo lo que viene siendo el Checklist de la guía que les compartí arriba.

Javier Gobea - Hormigas en la Nube escribió:Checklist “Defensa Numantina de tu Blog”.

Veo que valoras tu blog, o tu negocio digital, ya que este checklist es válido para cualquier
web realizada con WordPress.

Con este paso a paso iras comprobando cómo de seguro estas.

Cada casilla marcada puntúa con un punto. Al final de cada sección te diré según la
puntuación como de seguro estás.

¿Preparado? Solo marca lo que estés 100% seguro se hace. Se sincero.

Levantemos las murallas

Lo primero es crear un fuerte seguro. Para ello evaluaremos las defensas más básicas.

El ordenador que usas tiene…
☐…sistema operativo actualizado al 100%.
☐…navegador actualizado a su última versión.
☐…un antivirus legal y actualizado si usas Microsoft Windows.
Tu servidor de alojamiento…
☐…usa la última versión estable de PHP y MySQL.
☐…tiene la última versión de OpenSSL si necesitas un servidor seguro.
☐…aplica medidas de seguridad extras especiales para WordPress.
☐…realiza copias de seguridad como mínimo diariamente.
☐…usas STFTP cuando te conectas a él.
Tu Blog o Web tiene…
☐…actualizado WordPress a su última versión estable.
☐…actualizados todos los plugins.
☐…actualizado su tema o plantilla a la última versión del desarrollador.
☐…no usa plugins ni plantillas “piratas”.

Tu puntuación debería de ser 11, y 12 si tienes una tienda online. Con un 9 sigues teniendo
murallas fuertes. Con un 7 o menos tu muralla presenta grietas fáciles de explotar. Tienes que
revisar los puntos débiles.

Preparemos las defensas.

Ahora toca poner defensas que nos protejan de los atacantes.

Las llaves de tu fuerte, el usuario administrador…
☐…no utiliza el nombre “admin”.
☐…no tiene el id 1.
☐…utiliza una contraseña de al menos 8 caracteres.
☐…y la contraseña contiene números, mayúsculas, minúsculas y símbolos.
☐…usa cookies de sesión encriptadas con claves únicas de autentificación.
☐…cierra la sesión al terminar de trabajar en su blog.
☐…y protege su correo electrónico de forma totalmente segura.
Montamos balistas y catapultas, tu blog se protege con…
☐…un plugin de seguridad como iThemes Security o WordFence.
☐…cambiando el prefijo de la base de datos.
☐…ocultando la versión de WordPress. Compruébalo en http://builtwith.com.
☐…ocultando los índices de los directorios, y prohibir el acceso sin identificación.
☐…prohibiendo u ocultando el acceso a wp-config.php.
☐…bloqueo de ataques de fuerza bruta, limitando los intentos de login.
☐…usando bloqueos en el fichero .htaccess.
☐…bloqueando el acceso al propio fichero .htaccess.
☐…has modificado los permisos de escritura en los ficheros.
☐…un firewall o cortafuegos, bloqueando atacantes.
☐…borrando los ficheros wp-admin/install.php y wp-admin/upgrade.php después de una
actualización de WordPress.
☐…borrando los post por defecto y los comentarios que indican que es un blog recién
instalado. (Eso es gritar ¡Soy Nuevo! ¡Venir por mí!).
☐…Akismet o Anti-spam como plugins para evitar comentarios basura.
Habiendo recibido un ataque, tienes medios para recuperarte…
☐…con una copia de seguridad programada al menos diariamente.
☐…conservas un mínimo de 3 copias diarias y dos semanales.
☐…las copias están fuera de tu servidor
☐…tienes copia de la base de datos.
☐…tienes copia de wp-content/.
☐…tienes copias de un export en xml de tu contenido.

En este caso lo ideal es haber conseguido un 26, o un mínimo de 23 puntos.

Por debajo de 15 puntos te debería temblar la mano del ratón. Tu blog es vulnerable.

Y pon vigías que te avisen si te atacan o has sido atacado.

No toda la protección está en nuestro castillo, nuestro blog. Podemos usar vigilantes que nos
avisen si ya tenemos infiltrados, o bien como una medida de seguridad extra, externa a nuestro
blog.

Para vigilar si ya fuiste atacado…
☐…usas “Sucuri” o “It is hacked” para ver si tu Web contiene código malicioso.
Para dar la voz de alarma y tener protección extra…
☐…estas suscrito a alguna lista de correo que te avise de los ataques masivos.
☐…usas algún sistema de almenaras, como barrera extra de protección antes de llegar a tu
blog, como CloudFlare.

Lo ideal es cumplir los 3 puntos. Si no cumples ninguno es recomendable, pero no preocupante.

Si quieren ver más, les vuelvo a dejar la guía completa aquí.

Sin más por el momento, espero que les ayude, como me a ayudado a mí.

Seguro les ayudará a muchos, ya que ahora están siendo victimas de ataques muchos usuarios con Wordpress

(24-12-2014, 12:44 PM)Frankqoo escribió: Guau! Muy completa la guía...! Lastimosamente no uso WordPress...  Soy de la vieja escuela jajaj

Vieja escuela  Me encantaría poder programar todo un sitio yo mismo, pero por el momento WordPress, y esto para protegerlo.

Aunque muchos de los puntos no son precisamente exclusivos para WordPress. Varios puntos van dirigidos a la Seguridad Web en general.

(24-12-2014, 01:02 PM)Kevinex escribió: Seguro les ayudará a muchos, ya que ahora están siendo victimas de ataques muchos usuarios con Wordpress

De hecho por eso mismo la compartí... Ya que la estoy implementando y puede que a alguien más le interese implementarla en su propio blog.

Aparte la seguridad nunca esta de más.