WordPress, webinar seguridad

eliminar aquellos que no se usan (el código PHP está ahí)

no instalar plugins abandonados (más de 9 meses sin actualizarse)

limitar númoro de accesos erróneos

2FA

cambiar usuario «admin»

contraseñas largas y únicas

roles apropiados

664 archivos

600 wp-config.php

400 .htaccess

755 carpetas

desactivar feed rss y atom

desactivar XML-RPC

ocultar versión WP

borrar archivos de identificación de WP (readme, license)

deshabilitar la exploración de directorios

diarios

guardar fuera del servidor (sobre todo cambios importantes)

algun plugin para copia interna de restauración rápida

algún plugin de activity log

alertas por mail para acciones críticas

análisis malware y cambio de archivos

escanear semanlmente

cambiar prefijo BDD

cabeceras de seguridad

deshabiliotar enumaración de usuarios

themeforest + envato (para tener temas actualizados de ese sitio de temas. Hay que vincular con la cuenta que compró el tema)

desactivar en Opciones generales de WordFence → pausar actualizaciones en vivo cuando la ventana pierde el foco

opciones de exploración y planificación → alta sensibilidad

iniciar nueva exploración → listado de vulnerabilidades

plugins (no actualizar todas de golpe, dificulta localizar un error)

temas

nucleo WP

alternativas equivalentes

buscar solución a través de IA (claude.ia, por ejemplo)

.htaccess (requiere IP Fija en el cliente)

WordFence tiene

plugin: https://wordpress.org/plugins/change-username/

https://wordpress.org/plugins/disable-xml-rpc-api/ (Neatma (Amin Nazemi) )

.htaccess:

<Files xmlrpc.php
Oder Deny,Allow
Deny from all
</Files>

vinculado al tema:

functions.php

// Desactivar XML-RPC completamente
add_filter('xmlrpc_enabled', '__return_false’);
// Eliminar headers de XML-RPC
remove_action('wp_head', 'rsd_link’);
remove_action('wp_head', 'wlwmanifest_link');

WordFence

plugin (para necesidades especiales): https://es.wordpress.org/plugins/user-role-editor/

plugin https://es.wordpress.org/plugins/disable-feeds-wp/

WordFence

.htaccess

php_flag display_errors Off
php_flag display_startup_errors Off
php_flag log_errors Off
php_value error_reporting 0

wp-config.php

define('WP_DEBUG', false);
define('WP_DEBUG_LOG', false);
define('WP_DEBUG_DISPLAY', false);
@ini_set('display_errors', 0);

en caso de necesitar el fichero debug.log:

.htaccess

# Proteger debug.log 
<Files debug.log> 
Order allow,deny 
Deny from all 
</Files>

WordFence

Bloqueo en .htaccess:

<FilesMatch "^(readme\.html|license\.txt|licencia\.txt|wp-config-sample\.php)$"> Order Allow,Deny 
Deny from all 
</FilesMatch>

Plugin: https://es.wordpress.org/plugins/wp-hide-security-enhancer/

buscar en Google: site:<URL> intitle:«index of»

WordFence

.htaccess

Options -Indexes

.htaccess

<IfModule mod_headers.c>
# -------------------------------------------------------------
#  SEGURIDAD BÁSICA DE NAVEGADOR
# -------------------------------------------------------------
# Evita que el navegador intente adivinar tipos MIME
Header always set X-Content-Type-Options "nosniff"
# Previene ataques de clickjacking
Header always set X-Frame-Options "SAMEORIGIN"
# Referrer-Policy (limita la información enviada en el encabezado Referer)
Header always set Referrer-Policy "strict-origin-when-cross-origin"
# Obliga a usar HTTPS (solo si tu sitio usa SSL)
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
# -------------------------------------------------------------
#  PERMISSIONS POLICY (ANTES Feature-Policy)
# Controla las APIs y características disponibles en el navegador
# -------------------------------------------------------------
Header always set Permissions-Policy "accelerometer=(), camera=(), geolocation=(), gyroscope=(), microphone=(), payment=(), usb=(), fullscreen=(self)"
# -------------------------------------------------------------
#  CONTENT SECURITY POLICY (CSP)
# Define qué recursos puede cargar el navegador.
# Ajusta las URLs de scripts, estilos, imágenes, etc.
# -------------------------------------------------------------
Header always set Content-Security-Policy "
default-src 'self';
script-src 'self' 'unsafe-inline' 'unsafe-eval' https:;
style-src 'self' 'unsafe-inline' https:;
img-src 'self' data: https:;
font-src 'self' https: data:;
connect-src 'self' https:;
frame-ancestors 'self';
base-uri 'self';
form-action 'self';
object-src 'none';
upgrade-insecure-requests;
"
</IfModule>

Plugin: https://es.wordpress.org/plugins/http-headers/

wordpress admins

BDD

FTP

regenerar las claves de seguridad wp-config.php: https://api.wordpress.org/secret_key/1.1/salt/

Updraft Plus, WP Vivid

WordFence

GOTMLS

comprovar versión WP exacta: /wp-includes/version.php → $wp_version = «X.X.X»

descargar la misma versión desde https://ca.wordpress.org/download/releases/

subir la versión limpia

Widgets: Apariencia → Widgets

Per Neatma (Amin Nazemi)