Prueba de seguridad WordPress: pestaña Test

Una prueba de seguridad WordPress sirve para una sola cosa: saber si la protección funciona de verdad, no solo si está encendida. La pestaña «Test» del plugin CSDN hace dos comprobaciones en vivo. No cambia ningún ajuste. Comprueba el sitio ahora mismo.

Dónde se encuentra la prueba de seguridad WordPress

Abre Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Haz clic en la pestaña Test (punto 2). Encuentras dos recuadros:

• punto 3: «Verificar bloqueo de ejecución PHP en uploads».
• punto 4: «Integridad de los archivos del plugin».

Tras cada botón el sitio te devuelve a la pestaña General, con un aviso arriba. El resultado, sin embargo, se escribe en la pestaña Test. Vuelve a abrirla para leerlo.

Verificar bloqueo de ejecución PHP en uploads

Este recuadro prueba la regla «Bloquea ejecución PHP en wp-content/uploads» de la pestaña Hardening / IDS, descrita en el capítulo Hardening / IDS. El texto explica que es la única forma de saber si la regla es de verdad eficaz en este sitio. Un AllowOverride desactivado o un bloqueo más específico en el servidor podrían dejarla inútil sin avisarlo.

Cómo se usa

1. En la pestaña Hardening / IDS activa la regla y haz clic en «Guardar reglas de hardening».
2. Abre la pestaña Test.
3. En el recuadro «Verificar bloqueo de ejecución PHP en uploads» haz clic en «Verificar ahora».
4. Vuelve a la pestaña Test y lee el resultado, con la fila «Última prueba:» y la fecha.

Si la regla no está activa y guardada, el botón está desactivado. El recuadro muestra: «Activa y guarda la regla \»Bloquea ejecución PHP en wp-content/uploads\» en la pestaña Hardening / IDS antes de poder ejecutar la prueba.».

Qué hace la prueba

El plugin escribe en uploads un pequeño archivo .php de prueba. Lo solicita por HTTP, con un límite de 10 segundos. Luego lo borra enseguida, en cualquier caso. El archivo contiene solo una impresión de control.

Cómo se lee el resultado

• Verde: «Bloqueo eficaz: la petición al archivo de prueba recibió N.». El número es 403 o 404.
• Rojo: «ATENCIÓN: el archivo PHP de prueba se ha EJECUTADO (respuesta N).» La regla no bloquea nada. El mensaje sugiere comprobar que AllowOverride permita .htaccess en esa carpeta y que no exista un bloqueo <Directory> más específico.
• Amarillo: «Resultado poco claro (respuesta N, cuerpo no reconocido): verifica a mano con una petición directa al sitio.».
• Azul: «Regla desactivada: actívala y guárdala antes de ejecutar la prueba.».
• Rojo, por errores: «No se puede determinar la carpeta uploads.», «No se puede escribir el archivo de prueba en uploads (¿permisos?): prueba no ejecutada.» o «La petición de verificación ha fallado», con el motivo.

Atención: si el sitio no logra llamarse a sí mismo, por ejemplo por un firewall, una contraseña HTTP o un DNS local, la prueba da error o resultado poco claro. Un 404 se cuenta como bloqueo, pero podría depender de otra cosa. La prueba solo comprueba la carpeta uploads estándar. Durante unos segundos existe un archivo .php en uploads: si el bloqueo no funciona puede ejecutarse, pero contiene solo una impresión.

Integridad de los archivos del plugin

Es la segunda parte de la prueba de seguridad WordPress. El segundo recuadro compara los hashes MD5 de los archivos .php del plugin con los esperados. Busca archivos modificados, faltantes o añadidos. El control arranca solo una vez al día. El botón «Verificar ahora» lo ejecuta de inmediato.

El recuadro señala un límite fijo: quien ya tiene escritura sobre los archivos puede también reescribir los hashes o apagar el control. Es un detector de manipulaciones, no una barrera.

Cómo se usa

1. Abre la pestaña Test.
2. En el recuadro «Integridad de los archivos del plugin» haz clic en «Verificar ahora».
3. Lee el aviso: «Verificación de integridad ejecutada: el resultado está en el recuadro \»Integridad de los archivos del plugin\».».
4. Vuelve a abrir la pestaña Test y lee el recuadro.

Cómo se lee el resultado

Verde: «Todos los N archivos verificados coinciden. Último control: fecha.». Si la referencia es una fotografía, el recuadro añade que detecta los cambios posteriores, no un plugin ya comprometido al instalarse. Rojo: «ATENCIÓN: los archivos del plugin no coinciden con los esperados.», con las listas «Modificados», «Faltantes» y «No previstos». Amarillo: «Ninguna referencia disponible». En ese caso reactiva el plugin.

El botón manual no escribe en el registro de actividad. Solo lo hace el control programado, y solo si encuentra un problema o si los archivos vuelven a la normalidad tras una alarma. Para los detalles lee el capítulo Vigilancia de subidas y control de integridad.

Atención: si has modificado a mano un archivo del plugin, la alarma roja es normal. Si no lo has hecho, trata el sitio como potencialmente comprometido: reinstala el plugin desde una copia fiable y revisa el resto de la instalación.

Si algo no funciona

Repite la prueba de seguridad WordPress después de cada corrección. Si la prueba del PHP da rojo, la regla no protege. Pregunta a tu hosting si .htaccess está habilitado. Si el servidor no lee .htaccess, por ejemplo con nginx, la regla no tiene efecto. Repite la prueba después de cada corrección. Un 403 es la respuesta que quieres ver: la página sobre el código de estado 403 de MDN explica qué significa.

Capítulo anterior: Vigilancia de subidas y control de integridad. Capítulo siguiente: Paranoic Hardening: cabeceras de seguridad y sesión administrativa. Para el listado de capítulos vuelve a la introducción del manual.