WordPress, webinar seguridad

Aquesta és una revisió antiga del document

Actualizar core, plugins, temas…
- eliminar aquellos que no se usan (el código PHP está ahí)
- no instalar plugins abandonados (más de 9 meses sin actualizarse)
Instalar de sitios oficiales o confiables
PHP 8.1
acceso seguro
- limitar númoro de accesos erróneos
- 2FA
- cambiar usuario «admin»
- contraseñas largas y únicas
- roles apropiados
sistema de archivos
- 664 archivos
- 600 wp-config.php
- 400 .htaccess
- 755 carpetas
- desactivar feed rss y atom
- desactivar XML-RPC
- ocultar versión WP
- borrar archivos de identificación de WP (readme, license)
- deshabilitar la exploración de directorios
Debug y log de errores
- desactivar por defecto
  - wp-config.php
  - .htacess
Copias de seguridad
- diarios
- guardar fuera del servidor (sobre todo cambios importantes)
- algun plugin para copia interna de restauración rápida
Monitorizar
- algún plugin de activity log
- alertas por mail para acciones críticas
- análisis malware y cambio de archivos
- escanear semanlmente
Otros:
- cambiar prefijo BDD
- cabeceras de seguridad
- deshabiliotar enumaración de usuarios
- themeforest + envato (para tener temas actualizados de ese sitio de temas. Hay que vincular con la cuenta que compró el tema)

borrar caché antes de actualizar para detectar errores producidos por una actualización (WP Fastest Caache)
activar plugin de mantenimiento (WP Maintenance)
Escritorio → actualizaciones
- plugins (no actualizar todas de golpe, dificulta localizar un error)
- temas
- nucleo WP

vulnerabilidades