Dónde encuentras el hardening WordPress

Abre Ajustes > Cisilino Site Defense Network (punto 1 de la imagen). Luego haz clic en la pestaña Hardening / IDS (punto 2). En la pestaña encuentras tres secciones, en este orden:

• punto 3: bajo el título «Hardening / control de accesos (IDS)», la fila «Reglas .htaccess».
• punto 4: «WordPress».
• punto 5: «Rutas personalizadas para bloquear».

Arriba la pestaña dice: «Reglas opcionales aplicadas a nivel de servidor (.htaccess) o de WordPress. Todas desactivadas por defecto: actívalas solo si sabes que no chocan con temas o plugins del sitio.» Al final hay un solo botón: «Guardar reglas de hardening».

Para qué sirve

Las reglas reducen la superficie de ataque. Tres interruptores escriben en el archivo .htaccess, como también el campo de rutas personalizadas. Dos interruptores son filtros de WordPress. No es un firewall y no analiza las peticiones: aquí «IDS» significa reglas de acceso a archivos y carpetas.

Las reglas .htaccess (punto 3)

Bloquea la ejecución de PHP en wp-content/uploads

La etiqueta completa es «Bloquea ejecución PHP en wp-content/uploads (protección contra shells subidas como \»imagen\»)». El plugin responde 403 a cada petición de un archivo con extensión php, php3, php4, php5, php7, php8, php9, phtml, phps, phar o pht cuya dirección contenga /wp-content/uploads/. Las mayúsculas no cuentan.

Funciona solo con Apache 2.4 (hace falta el módulo mod_authz_core: sin él, la regla no hace nada y no lo avisa). En nginx el archivo .htaccess se ignora y ninguna regla de esta pestaña tiene efecto, salvo los filtros de WordPress. Cubre la carpeta uploads estándar, no una carpeta personalizada. Puede romper plugins que sirven de verdad archivos PHP desde esa carpeta. Para saber si funciona en tu sitio usa la prueba del capítulo Pestaña Test.

Desactiva el listado de archivos en carpetas sin index

Escribe una sola línea: Options -Indexes. Al abrir una carpeta sin página índice verás un error 403 en lugar del listado de archivos. Si usas una carpeta como listado público de descargas, ese listado desaparece.

Bloquea el acceso directo a wp-config.php, .htaccess, readme.html, debug.log

El plugin escribe una regla para cada nombre y responde 403. El control se hace sobre el nombre del archivo, no sobre la ruta. Vale por tanto para cada archivo con ese nombre en cualquier carpeta del sitio, incluso dentro de otros plugins. Un plugin que publique su propio readme.html o debug.log quedará bloqueado.

Las reglas de WordPress (punto 4)

Estas dos reglas del hardening WordPress son filtros PHP. No tocan .htaccess.

Desactiva XML-RPC

La etiqueta es «Desactiva XML-RPC (bruteforce/pingback, casi nunca necesario en los sitios modernos)». El archivo xmlrpc.php sigue en su sitio, pero WordPress rechaza los métodos XML-RPC que requieren inicio de sesión. Atención: se detienen la app móvil de WordPress, parte de las funciones de Jetpack y la publicación desde clientes externos. El método pingback.ping no requiere inicio de sesión y el filtro no lo detiene: no cuentes con esta regla para cerrar los pingbacks. Los trackbacks no usan XML-RPC y no se ven afectados. La conexión del plugin al panel no usa XML-RPC, así que no se ve afectada.

Bloquea la enumeración de usuarios vía ?author=N

Si la petición contiene el parámetro author con un valor (distinto de vacío y de 0), en el sitio público aparece «No encontrado.» con respuesta 404. Atención: esta regla no protege la REST API. El listado de usuarios en /wp-json/wp/v2/users sigue siendo accesible. Algunos temas y plugins usan ?author= para filtrar los archivos, y quedarán bloqueados.

Rutas personalizadas para bloquear (punto 5)

El campo de texto es para quien quiere cerrar una carpeta concreta, por ejemplo /wp-content/uploads/backup-viejo/. Escribe una ruta por línea. Las líneas vacías se ignoran.

Cada línea es texto literal. Las mayúsculas cuentan y la parte después del ? de la dirección no se compara. La ayuda bajo el campo habla de «patrones», pero aquí no existen. No hay comodines: *, ^ y $ valen como simples caracteres. El plugin bloquea con 403 cada dirección que contenga esa cadena, en cualquier punto. Por eso la ruta /wp-content/uploads/backup-viejo/ bloquea también /blog/wp-content/uploads/backup-viejo/x.

Este campo no tiene interruptor. La regla está activa en cuanto el campo no está vacío y guardas.

Atención: si escribes / o wp bloqueas todo el sitio, área de administración incluida. Para volver atrás tendrías que corregir .htaccess por FTP. Incluso una cadena como /uploads/ bloquea todas las imágenes. Evita el carácter % en las rutas.

Valores predeterminados

Cinco interruptores desactivados y campo vacío. Los ajustes están en la opción csdn_hardening.

Cómo se usa

Procede con calma: el hardening WordPress se hace una regla cada vez.

1. Haz una copia de .htaccess antes de empezar.
2. Marca una sola regla.
3. Haz clic en «Guardar reglas de hardening».
4. Comprueba que el sitio se abre y que el panel de administración funciona.
5. Pasa a la regla siguiente.

Tras guardar vuelves a la pestaña General, no a aquella en la que guardaste. Arriba encuentras el aviso. Si hay éxito dice «Reglas de hardening guardadas y aplicadas.». Si hay error dice «Ajustes guardados, pero la escritura en .htaccess ha fallado (¿permisos?). Las reglas no están activas.». Con el error, los dos filtros de WordPress siguen activos igualmente.

Atención: el plugin no crea ninguna copia de seguridad de .htaccess. Tampoco comprueba la sintaxis antes de escribir. Una regla incompatible con tu servidor puede dar error 500 en todo el sitio. En una red multisitio el archivo es el de la red: el error afecta a todos los sitios.

Qué pasa entre bastidores

El plugin escribe entre dos marcadores: # BEGIN Cisilino Site Defense Network - Hardening y su # END correspondiente. El resto del archivo no se toca. Un segundo bloque, separado, contiene las IP bloqueadas. Si desactivas el plugin, los dos bloques se vacían. Si apagas todo y guardas, el bloque de hardening queda vacío.

Si algo no funciona

Si tras el hardening WordPress el sitio muestra error 500, abre .htaccess por FTP. Borra las líneas entre los dos marcadores de hardening. Luego prueba con menos reglas. Si no se escribe en el archivo, comprueba los permisos de .htaccess.

Para una visión más amplia de las buenas prácticas, lee la guía oficial de hardening de WordPress: explica otras medidas que quedan fuera del plugin.

Capítulo anterior: Pestaña IP bloqueadas: leer la lista negra. Capítulo siguiente: Vigilancia de subidas y control de integridad. Para el índice completo de capítulos vuelve a la introducción del manual.

The post Hardening WordPress: las reglas para .htaccess first appeared on Matteo Cisilino.