Auditoría de seguridad de WordPress
Una revisión pasiva del refuerzo de un sitio WordPress, para su propietario. Solo lee páginas públicas y cabeceras HTTP (no envía nada, no intenta iniciar sesión, no prueba ninguna vulnerabilidad) e informa de las carencias de refuerzo habituales que buscan los escáneres automáticos, con una solución clara para cada una.
- Cargando la página de inicio
- Confirmando que funciona con WordPress
- Leyendo los archivos públicos y el índice REST
- Comprobando qué información de versión se expone
- Revisando las cabeceras de seguridad
¿Quieres que tu sitio WordPress esté bien reforzado?
Esta comprobación pasiva solo ve lo que el sitio muestra en público. Una auditoría completa va más a fondo, de forma segura y con tu permiso, y corregimos lo que encuentra.
- Plugins y temas comprobados frente a avisos de seguridad conocidos
- Refuerzo: inicios de sesión, permisos de archivos, acceso de administración
- Cabeceras de seguridad y un firewall bien configurados
- Escaneo de malware, limpieza y copias de seguridad fiables
- Monitorización para que te enteres de los problemas el primero
La mayoría de las intrusiones en WordPress aprovechan lo básico
Rara vez se toma el control de un sitio con ataques ingeniosos y dirigidos. La inmensa mayoría cae ante bots automáticos que rastrean toda la web en busca del mismo puñado de debilidades: un plugin desactualizado con un fallo conocido, una contraseña de administrador débil o reutilizada que se adivina, un número de versión que le dice al bot exactamente qué probar, o una configuración que se ha quedado en su valor por defecto inseguro.
Esta revisión cubre la parte de eso que un propietario puede ver desde fuera, sin tocar nada. Lee páginas públicas y las cabeceras HTTP que el servidor ya envía, e informa de dónde el sitio revela más de lo que debería o deja abierto un valor por defecto. No intenta iniciar sesión, enviar datos, acceder a archivos privados ni probar ninguna vulnerabilidad: solo observa y te dice qué ajustar.
1. Exposición
Si la versión de WordPress aparece en el marcado o en el archivo readme por defecto, y si se pueden explorar las carpetas directamente.
2. Valores por defecto abiertos
XML-RPC activado, y si la REST API revela nombres de cuentas: ambos objetivos favoritos de los bots automáticos.
3. Cabeceras y HTTPS
HTTPS y HSTS, además de las cabeceras de respuesta que protegen frente al framing, los trucos con el tipo de contenido y los scripts inyectados.
Preguntas y respuestas
¿Es seguro ejecutarlo en mi sitio? ¿Lo ataca?
Es completamente pasivo. Lee unas pocas páginas públicas y las cabeceras HTTP que tu servidor ya envía a cada visitante, y no cambia nada. No intenta iniciar sesión, enviar formularios, acceder a archivos privados ni probar ninguna vulnerabilidad.
¿Qué comprueba la auditoría?
La seguridad del transporte (HTTPS, HSTS), la exposición de información (la versión de WordPress en el marcado o en readme.html, el listado del directorio de uploads), los valores por defecto abiertos (XML-RPC, y si la REST API lista nombres de usuario) y las principales cabeceras de seguridad de la respuesta.
¿Debo ejecutarlo solo en mi propio sitio?
Sí. Aunque todas las comprobaciones son pasivas y solo leen información pública, estas herramientas están pensadas para auditar sitios que son tuyos o de los que eres responsable. Así es también como puedes actuar sobre los resultados.
¿Una buena puntuación significa estar seguro?
No. Esto cubre lo básico del refuerzo que se ve desde fuera. La seguridad real también depende de contraseñas fuertes, plugins actualizados, permisos de archivos correctos, copias de seguridad fiables y la configuración del servidor: lo que examina una auditoría completa con tu permiso.
¿Necesitas algo más que una comprobación de una página?
Construimos y mantenemos sitios web y WordPress desde 2008. Cuéntanos cómo es tu sitio y volveremos con un plan y una estimación honesta.