Si alguna vez ya has tenido problemas con malware, es posible que hayas tenido dolores de cabeza intentando eliminarlos, por lo general son difíciles de identificar y sólo nos preocupamos cuando ya están causando muchos ruidos. En este artículo vas a conocer qué es el malware y consejos para proteger tu sitio web WordPress de ellos. ¿Vamos?

¿Cuáles son los tipos de malware?

Malware es básicamente, todo software o código malicioso, que intenta obtener información sensible o realizar acciones que exponen vulnerabilidades a un usuario o red. El malware engloba varios tipos de programas maliciosos. Algunos de ellos son:

• Virus: Básicamente son programas que pueden acabar infectando sistemas, suelen surgir de instalaciones de programas que parecen legítimos. Un virus puede realizar diversas acciones maliciosas, como borrar datos, modificar el sistema, provocar spam, etc.
• Spyware: Son programas que espían los sistemas de usuarios y, generalmente presentes en redes públicas de Internet, pueden acabar exponiendo vulnerabilidades del sistema.
• Ransomware: Se trata de un tipo de programa malicioso que encripta los datos y la información de un usuario y luego exige un rescate para deshacer la encriptación.
• Worm: Uno de los más peligrosos, crea copias de sí mismo y se propaga a varias partes del sistema.
• Backdoor: Se trata de un tipo de Malware que genera vulnerabilidades, muchas veces abriendo puertas para el posible acceso de otro malware.

Formas en que el malware puede entrar en un alojamiento

La entrada de un malware suele ser impredecible, pero por supuesto, existen los patrones más recurrentes, conocerlos es importante para encontrar la forma de sellar estas entradas, ellos son:

1. Invasión a través de vulnerabilidades en aplicaciones desactualizadas.
2. Robo de credenciales, normalmente recogidas a través de sitios web que han visto filtrada su información sensible.
3. Bruteforce, fraude que utiliza varios intentos de acceso con una cadena de contraseñas para encontrar la correcta.
4. Instalar temas y plugins piratas, que en muchos casos terminan permitiendo la entrada de malware al sitio web.

¿Cómo sé si mi sitio tiene malware?

Para escanear un sitio web puedes utilizar varias herramientas. En este artículo, recomiendo utilizar el sitio web Sucuri SiteCheck, que realiza un análisis gratuito y rápido de tu sitio web.

Para realizar la prueba, sólo tienes que introducir la URL del sitio web y hacer clic en Scan Website.

Buenas prácticas para evitar el malware en un WordPress

Es bueno recalcar que el malware, por tener varias categorías y tipos, terminan convirtiéndose en algo muy genérico. Por este motivo es bueno aclarar que no existe un método específico para combatir al malware, todo se trata de capas de seguridad, cuantas más capas haya y más complejas sean, mejor.

No te desanimes si sólo has utilizado un método y sigues teniendo problemas, sigue intentando crear más y más formas de prevenir la infección de malware añadiendo más complejidad a tus capas de seguridad.

1 – Realizando copias de seguridad del sitio web

Las copias de seguridad son nuestro puerto seguro, siempre es importante tener una copia del momento en el que tu sitio está en pleno funcionamiento, después de todo, nunca se sabe cuándo un plugin o tema se vuelve vulnerable a ataques.

Es por eso que las copias de seguridad son esenciales, una forma de realizar una copia de seguridad gratuita de tu sitio es utilizar el plugin gratuito All-in-One WP Migration. El plugin está pensado para la migración de sitios web, pero también sirve para realizar copias de seguridad.

Además, HostGator también ofrece la herramienta CodeGuard que te permite automatizar una rutina de copia de seguridad de tu sitio web, garantizando una mejor optimización al generar tu copia de seguridad.

2 – Cuidado con las conexiones a Internet que utilizas

Realiza conexiones sólo a redes seguras, evita acceder a tu cuenta de WordPress en wi-fi abiertas o públicas, ya que otros usuarios pueden acabar recopilando tu información. En estos momentos tener un certificado SSL instalado en tu sitio web te ayudará mucho, ya que todas las acciones realizadas en el sitio estarán encriptadas. Da preferencia a los siguientes protocolos de seguridad cuando te conectes a Internet:

• WPA-2
• WPA
• WEP

Comprueba también si tu router personal tiene la conexión WPS activa, ésta permite a otros usuarios acceder a tu red sin necesidad de contraseña, sería bueno desactivar esta función por tu seguridad.

3 – Protegiendo el inicio de sesión en WordPress

En este punto hay varias prácticas interesantes a seguir. WordPress por defecto crea el nombre de usuario admin para acceder al panel de WordPress. Mantener este nombre es un error muy común, ya que muchas personas malintencionadas conocen esta información, es mucho más fácil para un hacker realizar un ataque del tipo bruteforce para descubrir la contraseña de tu usuario de WordPress.

Otra medida que puede ayudar es cambiar el enlace de acceso al panel de WordPress. Para este procedimiento se utiliza el plugin All In One WP Security & Firewall. Sin duda te dará un extra de complejidad a tus capas de seguridad.

4 – Eligiendo una contraseña compleja

Hoy en día es muy común ver a personas que subestiman la complejidad de una contraseña, pero más que nunca es necesario el uso de una contraseña segura.

Es sorprendente lo rápido que aumenta la dificultad de descifrar una contraseña cuando se utiliza un mayor número y variedad de caracteres.

Para generar una contraseña compleja que haga tu sitio web más seguro te recomiendo el generador de contraseñas de HostGator, donde se creará aleatoriamente una contraseña muy segura.

5 – Plugins de seguridad en WordPress

Hay varios plugins de seguridad difundidos por WordPress, decidí traer los que han tenido el efecto más positivo en la comunidad. Los plugins son:

• CAPTCHA 4WP: te permite añadir un captcha a las páginas de tu sitio web, tales como inicio de sesión, formularios, página de recuperación de acceso. El plugin bloquea ciertas IP después de un cierto número de intentos fallidos de inicio de sesión. El sistema también te permite cambiar el nombre de usuario por defecto del administrador, garantizando más seguridad para tu sitio web o blog. Consulta el artículo Cómo configurar el Captcha en WordPress.
• All in One WP Security & Firewall: tiene varias funcionalidades, entre ellas cambiar la url del inicio de sesión del wp-admin, protección de archivos, protección de firewall, detector de edición de archivos, prevención de spam de comentarios. Además, este plugin es completamente gratuito y no hay versión premium ni nada por el estilo, es una de las opciones más populares por eso y porque es altamente confiable.
• Wordfence Security: te muestra si algún archivo de tu blog fue modificado, y también te envía un correo electrónico cuando un plugin está com la actualización pendiente, o hay un intento de acceso a tu blog por parte de personas no autorizadas. El plugin escanea el contenido de WordPress, así como los temas y otros plugins, en busca de cualquier manipulación o error, ayudando a mantener WordPress libre de amenazas. Tiene una versión gratuita, pero dispone de una versión premium mucho más completa.

¡Atención! Los plugins mencionados deben ser utilizados con responsabilidad, si se hace la configuración incorrecta puede terminar dañando tu sitio web. Recuerda hacer una copia de seguridad de tu sitio web siempre antes de activar un nuevo plugin, especialmente si ya tienes muchos otros plugins activos.

Mira también:

5 Plugins de Seguridad para WordPress (2022)

6 – Utilizar un certificado SSL

El SSL es una herramienta muy importante en las capas de seguridad, responsable de encriptar la información que el  usuario pasa al servidor cuando accede a tu sitio web, para que nadie pueda interceptarla en el medio del camino.

En una situación en la que accedemos a una red pública de Internet, por ejemplo, podemos encontrar un spyware que analiza todo lo que se transmite en la red. Es muy importante que tu sitio web tenga un certificado SSL activo y si no estás seguro de si tu certificado está activo y funcional, consulta el sitio web WhyNoPadLock que te dará un diagnóstico sobre el certificado SSL de un dominio.

Mira también:

¿Qué es HTTPS?

7 – Actualizar plugins y temas

WordPress tiene actualizaciones constantes, casi todos los meses sale algún parche nuevo para alguna versión de WordPress y puedes consultarlo en el sitio web de releases de WordPress.

Es importante mantener tu versión de WordPress lo más actualizada posible, infelizmente las versiones antiguas dejan de recibir parches con actualizaciones y por eso poseen vulnerabilidades más conocidas por las personas malintencionadas que utilizan para acciones maliciosas como substituir tu página web por una página de phishing, por ejemplo.

Otro punto muy importante es tener cuidado con los plugins y temas pirateados que hay por ahí. Es muy tentador utilizar un tema o plugin de pago súper fantástico obtenido de fuentes dudosas, pero lo barato puede salir caro cuando están infestados de malware.

Lo más recomendable es utilizar solamente los temas y plugins que hay en la propia librería de WordPress, e incluso estos siguen teniendo sus riesgos, asegúrate de que los plugins y temas que utilices tengan un buen número de valoraciones y usuarios activos, estos suelen ser buenos indicadores de confiabilidad.

Conclusiones Finales

En este artículo has aprendido algunos consejos para proteger tu sitio web WordPress de malware y ahora sólo tienes que aplicar estos consejos para mejorar tus capas de seguridad.

Si sientes alguna dificultad o tienes alguna sugerencia de algo que no fue mencionado, solo déjalo ahí en los comentarios que en el futuro podremos traer actualizaciones a este artículo. También recomiendo estos otros materiales relacionados con este tema:

• Entrevista: consulta algunos consejos sobre seguridad digital
• ¿Qué es SiteLock? Descubre cómo proteger tu sitio web

¡Hasta la próxima! :^)