En este artículo, vamos a investigar a fondo el plugin de seguridad Wordfence. Veremos cómo configurarlo y todos sus ajustes para que puedas tenerlo con éxito en tu página y tu sitio web no se vuelva vulnerable a cualquier tipo de ataques maliciosos.
Paso uno: Instalación de Wordfence
Después de iniciar sesión en tu sitio web de WordPress (visitando www.tudominio.com/wp-admin/), ingresa al área “Agregar plugins”.
Escribe “Wordfence” en el cuadro de búsqueda en la esquina superior derecha y luego presiona “Enter”.
Es probable que aparezcan muchos resultados, pero debes escoger el de la parte superior izquierda donde aparece el complemento “Wordfence” en cuestión.
Haz clic en el botón “Instalar ahora” mostrado en la captura de pantalla previa y espera unos instantes para que la instalación se complete.
Una vez que veas el mensaje “Plugin de seguridad Wordfence instalado correctamente [número de versión]”, presiona en el vínculo azul “Activar complemento”.
A continuación, podrás ver la lista de complementos en tu área de administración de WordPress, donde puedes confirmar que Wordfence se ha instalado y activado, y también surgirá un mensaje emergente de Wordfence corroborando la instalación.
Este mensaje puede incluir un cuadro de registro donde puedes ingresar tu dirección de correo electrónico para recibir alertas sobre los problemas de seguridad de tu sitio web de WordPress. Es una buena idea dejar tu mail, ya que las alertas de Wordfence son muy útiles y prácticas.
También existe una casilla de verificación que te permite registrarte para recibir actualizaciones del equipo de desarrollo de Wordfence. Si esto es algo que te parece interesante, puedes dejar la casilla marcada.
A continuación, verás un botón azul de “Inicio de tour”, que te llevará a través de un recorrido por las características de Wordfence. Si tienes tiempo y curiosidad, puedes llevarlo a cabo.
Como alternativa, haz clic en el botón “Cerrar” y sigue los siguientes pasos para configurar rápidamente Wordfence para tu sitio.
Paso Dos: Opciones de Wordfence
Para comenzar, lo primero que debes hacer es ir al área de “Opciones”.
En el menú principal del área de administración de WordPress, coloca el cursor sobre “Wordfence” y selecciona “Opciones” en el submenú.
Por ahora, puedes dejar la mayoría de estas opciones con la configuración predeterminada. Asimismo, a medida que vayas avanzando, veras diversas áreas donde estas características se pueden personalizar en detalle.
También saltaremos las “Funciones Premium”, ya que esto requiere pagar para actualizar el complemento de Wordfence y no es necesario para la mayoría de los propietarios de sitios web de WordPress.
Si decides actualizar el complemento, puedes encontrar un enlace para hacerlo en la parte superior del área de Opciones:
Sin embargo, esto es algo que puedes decidir más tarde, después de evaluar la utilidad del complemento de Wordfence y decidir si las funciones gratuitas ofrecen la seguridad suficiente para tu sitio.
A continuación, veras la lista de “Opciones básicas”. Estos ajustes predeterminados son adecuados por ahora, en breve nos desplazaremos más abajo para ver cómo personalizarlos en detalle.
Analicemos las últimas opciones en la lista de “Opciones básicas”:
En primer lugar, tienes la casilla de verificación para permitir las exploraciones automáticas regulares del sitio web. Asegúrate de que esta casilla esté marcada para que tu web pueda beneficiarse con estos escaneos.
Posteriormente, está la casilla de verificación para activar las actualizaciones automáticas de Wordfence (también pueden hacerse manualmente). De cualquier forma, es importante decir que Wordfence se actualiza regularmente para poder luchar contra nuevas amenazas de seguridad, por lo que las actualizaciones son muy importantes.
En este punto también hay un campo en el que puedes ingresar una dirección de correo electrónico para recibir las alertas de seguridad de Wordfence.
Finalmente, en esta lista de “Opciones Básicas”, hay dos menús desplegables.
El primero es para seleccionar rápidamente uno de los cinco niveles de seguridad predeterminados. Esto es útil si descubres que tu sitio está siendo atacado por un intento de piratería: puedes seleccionar rápidamente la opción “Nivel 4: Bloqueo’” para proteger tu sitio.
Por otro lado, si no tienes tiempo para continuar examinando todas las opciones de Wordfence detalladamente, puedes seleccionar “Nivel 2: Protección media”. Esto aplicaría automáticamente los valores predeterminados que son adecuados para la mayoría de los sitios de WordPress.
Por último, el menú desplegable final te permite elegir cómo Wordfence obtiene direcciones IP para bloquear ataques. Estas opciones son para usuarios avanzados de la web; debes haber configurado CloudFlare o un proxy front-end, por lo que puedes ignorar esta lista desplegable si no lo has hecho.
Una vez seleccionado todo, no olvides guardar los cambios.
Paso tres: Opciones avanzadas de Wordfence
Las “Opciones avanzadas” se encuentran en la página principal de “Opciones” de Wordfence, debajo del área de “Opciones básicas” descrita en la sección anterior. La primera sección contiene todas las opciones de alertas:
Como puedes ver, este es el área donde puedes elegir qué alertas de correo electrónico deseas que Wordfence te envíe.
La configuración predeterminada suele ser buena, pero es posible que desees introducir un número como 10 o 20 en el último campo de entrada. Esto asegurará que Wordfence no pueda enviarte un número excesivo de correos a la vez.
La siguiente sección de “Opciones avanzadas”, es el “Resumen de correo electrónico” y contiene algunos ajustes relacionados con el correo electrónico:
Aquí, puedes optar si deseas recibir un resumen de correo cada 2 semanas. Si no has utilizado Wordfence anteriormente, considera dejar estas opciones marcadas de forma predeterminada. Recuerda, que puedes volver más tarde para modificar estos puntos si lo deseas.
La siguiente sección contiene ajustes que tienen que ver con la función de Live Traffic o “Vista de Tráfico en directo” de Wordfence.
Estas opciones permiten ignorar las visitas a tu sitio que provienen de fuentes de confianza, lo que te ayuda a identificar más fácilmente el tráfico posiblemente malintencionado.
Por ahora, encontrarás que estos valores predeterminados funcionan bien. Una vez que te hayas familiarizado con la función puedes volver y reajustar la configuración.
En la siguiente sección, podemos decir a Wordfence exactamente cuál de los archivos de nuestro sitio web de WordPress escanear al ejecutar una exploración:
Es una buena idea comprobar la mayoría de las casillas, como se muestra en la captura de pantalla anterior.
Recibirás mucha información por correo electrónico cuando Wordfence complete una exploración automatizada. Intenta revisar cada uno de estos correos para ver qué advertencias se te están dando.
La siguiente sección de opciones cubre las reglas de Firewall de tu sitio:
Aquí tenemos algunas opciones interesantes. Puedes regular o incluso bloquear los visitantes del sitio web dependiendo de cuántas “solicitudes” hagan.
Si un visitante hace docenas de peticiones muy rápidas, particularmente si son para las páginas que no existen realmente en tu sitio, esto es una muestra fuerte que se trata de algo malicioso. Es ahí donde la configuración de Firewall se hace presente, protegiendo tu sitio.
Te recomendamos actualizar tu configuración como se muestra en la captura de pantalla de arriba, ya que coincide con las recomendaciones oficiales de Wordfence para la mayoría de los sitios web.
Luego, te encontrarás la sección Opciones de seguridad de inicio de sesión:
Puedes obligar a cualquier persona que tenga una cuenta en tu web a utilizar una contraseña fuerte, que es definitivamente recomendable. La manera más fácil para que un hacker entre en tu sitio es ejecutando un programa que adivina cientos de contraseñas comunes y fáciles de predecir por minuto. Así que asegúrate de que cada cuenta tenga una contraseña segura.
Otra buena idea, por la misma razón antes mencionada, es bloquear a un visitante después de haber escrito una contraseña equivocada más de 10 veces. Muchos hackers descifran miles contraseñas hasta que irrumpen en un sitio web.
Selecciona cuánto tiempo vas a dar para bloquear a alguien por infringir estas reglas, 30 minutos suele ser suficiente para aplazar un intento de hacking al azar.
Continuando con el recorrido, hallarás la sección que se llama Otras opciones:
La mayoría de los ajustes predeterminados están bien para el conjunto de sitios web de WordPress.
Se destaca el primer cuadro de entrada, donde puedes dejar asentada un “lista blanca” con ciertas direcciones IP individuales. Por ejemplo, si un visitante está siendo bloqueado y no se trata de un virus, entonces puedes descubrir su dirección IP y agregarlo aquí.
Por otro lado, el siguiente campo de entrada te permite establecer una trampa para los visitantes maliciosos. Podrás agregar una URL que parece vulnerable (pero que no debe existir), y entonces cualquier persona que intente visitar esa URL será inmediatamente bloqueada de tu sitio.
Esta es una característica avanzada, que puede resultar útil, si descubres que un hacker está tratando de explotar una vulnerabilidad particular en tu sitio. Puedes eliminar la amenaza y poner su URL aquí para que sea engañado y bloqueado.
Finalmente, tenemos la sección Exportar e Importar la Configuración de Wordfence:
Esta es una característica muy útil. Si has pasado media hora o más revisando todas las opciones de Wordfence, ¡no querrás tener que repetir esta tarea! Por lo tanto, asegúrate de exportar un archivo que contenga todas tus configuraciones y guardarlo en algún lugar seguro donde puedas volver a encontrarlo si lo necesitas.
Por último, no olvides guardar toda tu configuración.
Paso cuatro: Bloqueo avanzado en Wordfence
Utiliza esta característica de Wordfence haciendo clic en el elemento del submenú “Bloqueo avanzado” debajo del elemento de menú principal de Wordfence:
Con esta opción podrás bloquear toda una gama de direcciones IP. Probablemente, esto no es algo que necesitarás si tu sitio de WordPress no está bajo ataque pero recuerda que esta cualidad existe en caso de que lo precises.
Además, puedes encontrar el campo para bloquear visitantes de ciertos sitios de referencia. Si utilizas Google Analytics, puedes notar que estás obteniendo falsos visitantes de sitios web de dominios spam. Estas visitas falsas son molestas, por lo que podría resultar útil bloquearlas.
Paso cinco: Búsqueda de Whois en Wordfence
Esta ventajosa función te ayudará a obtener más información sobre el tráfico de tu sitio. Es posible que hayas visto en un informe de correo donde se está produciendo una actividad sospechosa y Wordfence te informará la dirección IP dudosa.
Posteriormente, puedes poner esa dirección IP en el cuadro Whois Lookup y obtener más información al respecto. Descubrirás quién está utilizando esa dirección IP (una dirección IP puede ser manipulada por diferentes personas en diferentes momentos), y puede que descubras que el visitante en realidad sólo es un robot de rastreo.
Para probar esta característica, trate de colocar la dirección IP 8.8.8.8 en el cuadro y haz clic en “Buscar IP o Dominio”. Luego, desplázate por la información mostrada para ver qué compañía está usando esa IP.
Importante: es bastante pequeño y difícil de ver (en el momento de escribirlo), pero Wordfence te proporciona un enlace aquí que se puede usar para bloquear todas las direcciones IP utilizadas por esa persona o empresa:
Así que si alguien se comporta de forma sospechosa o maliciosa en tu sitio, busca su dirección IP aquí para bloquear rápidamente toda su red.
Paso seis: IPs bloqueados
Esta área es bastante simple. Puedes encontrarla haciendo clic en el elemento del submenú “IPs bloqueados”, debajo del elemento principal del menú Wordfence:
Esta es la zona que debes visitar si solicitas saber si una IP está bloqueada o no, o si precisas desbloquear manualmente una IP en particular. Igualmente, se trata de una buena sección para visitar periódicamente para corroborar qué visitantes se han comportado desconfiadamente en su sitio.
Ten presente, que puedes utilizar la función “Whois Lookup” (descrita en la sección anterior) para obtener más información sobre los IPs.
Si descubres que son visitantes inocentes, puedes desbloquearlos. O bien, si verificas que las direcciones IP son maliciosas, puedes bloquearlas de forma permanente.
Paso siete: Configuración de rendimiento en Wordfence
Esta área es bastante ligera, también se encuentra en el elemento de submenú “Configuración de rendimiento”, debajo del elemento de menú principal de Wordfence:
Aquí podrás evaluar ajustes sobre la forma de acelerar los tiempos de carga de tu sitio, más que de seguridad.
Es significativo que compruebes si ya tienes uno o varios complementos instalados que proporcionan funciones de almacenamiento en caché, antes de habilitar estas mismas funciones en Wordfence.
También debes verificar si tu empresa de hosting está proporcionando características especiales de rendimiento de WordPress. Si ya se estás utilizando otros sistemas de almacenamiento en caché, es posible que no precises el almacenamiento en caché de Wordfence.
Si descubres que actualmente no hay funciones de almacenamiento en caché activadas en su sitio, definitivamente debes probar con “Falcon Engine” de Wordfence. Tus tiempos de carga mejorarán de manera significativa.
Puedes leer más sobre este tema en: Los 5 mejores plugin de caché para WordPress
Paso ocho: Tráfico en directo
Al igual que en los pasos anteriores, este elemento lo puedes encontrar haciendo clic en el submenú “Tráfico en vivo”, debajo del menú principal de Wordfence:
Se trata de una zona interesante para revisar regularmente, más allá de que es posible que no veas siempre mucha información aquí, pero con el tiempo podrás advertir datos sobre una variedad de visitantes de tu sitio web. Por ejemplo, puedes ver un robot de rastreador del motor de búsqueda que mira el archivo robots.txt de tu sitio.
O, tal vez, distingas a un visitante humano de la India, las Filipinas o los Estados Unidos mirando una página de tu web.
Con las pestañas “Páginas no encontradas” y “Top 404s”, también puedes ver si quizás hay alguna actividad sospechosa. Como lo muestra la siguiente imagen, es sumamente fácil hacer un chequeo Whois de una dirección IP, o bloquear una IP rápidamente.
Paso nueve: Escanear en Wordfence
Ingresa aquí, haciendo clic en el elemento del submenú “Escanear”, debajo del menú principal de Wordfence:
Puedes iniciar manualmente una exploración de Wordfence de tu sitio aquí, independientemente si activaste o no las exploraciones automáticas en el área Opciones básicas (ver Paso dos: Opciones de Wordfence).
Inicia una exploración ahora, si es la primera vez que utilizas Wordfence.
En el área Resumen de escaneo, puedes ver el progreso de la exploración. Dependiendo de los elementos de tu sitio (archivos, temas, complementos, páginas, publicaciones, comentarios, etc.) la exploración puede tardar algún tiempo.
Una vez que hayas terminado, puedes desplazarte hacia abajo para ver los resultados. Con ayuda, Wordfence ofrece información y soluciones recomendadas para cualquier problema encontrado.
Como puedes ver, hemos enumerado las funciones principales de esta potente herramienta, si tienes dudas, sugerencias o algo que contarnos, ¡esperamos tu comentario a continuación!
