¿Demasiados correos de su plugin de seguridad de WordPress? Cómo es una alerta útil

Si su plugin de seguridad le envía varios correos al día, probablemente ya no los lee. Ese es el coste real de tener demasiadas alertas: el aviso de una nueva cuenta de administrador llega entre veinte avisos de bloqueo y se borra con ellos. El plugin debería escribir con menos frecuencia y decir más cuando lo hace, y casi todo eso depende de la configuración.

Por qué los plugins de seguridad envían tanto

La mayor parte del volumen sale de unos pocos hábitos:

• Un correo por evento. Cada inicio de sesión bloqueado, cada bloqueo, cada actualización de plugin y cada archivo modificado es un mensaje aparte. Cualquier sitio en internet recibe a diario intentos de inicio de sesión de bots, así que esto por sí solo puede suponer decenas de correos.
• El mismo problema una y otra vez. Un plugin desactualizado que no puede actualizar esta semana aparece en el informe tras cada análisis.
• Señales débiles tratadas como hallazgos. El código que decodifica base64 o llama a eval aparece en muchos plugins legítimos. Un escáner que informa de cada caso convierte el código normal del sitio en una lista de sospechosos.
• Fallos presentados como problemas. Cuando el escáner no puede conectar con WordPress.org para obtener las sumas de comprobación, algunas herramientas marcan todos los archivos como no verificados, y el siguiente análisis los «arregla» todos de nuevo.

Un inicio de sesión fallido de un bot no es noticia. Los bloqueos de nombres de usuario al azar son ruido de fondo que tiene cualquier sitio en internet, y el bloqueo ya ha hecho su trabajo.

Cómo es una alerta útil

Tome sus últimas alertas y compare cada una con esta lista:

1. Trata de algo nuevo o de algo que ha empeorado. Un problema que ya conoce no necesita un segundo correo.
2. Dice qué, dónde y con qué gravedad. El archivo, el plugin o la cuenta, y una gravedad que le indique si es tarea para hoy.
3. Dice qué hacer. Uno o dos pasos, o a quién reenviarla.
4. Dice cuánta seguridad tiene. «Se ha detectado código malicioso en este archivo» y «este archivo es inusual, pregunte a alguien que conozca el sitio» son mensajes distintos y deben verse distintos.
5. Enlaza con la pantalla donde se actúa.
6. Llega en un solo envío. Un correo por análisis con todo lo nuevo es mejor que diez correos del mismo análisis.

Si al abrirla sabe en menos de un minuto qué hacer, la alerta funciona. Si tiene que iniciar sesión para averiguar si importa, es ruido.

Qué merece un correo inmediato

Hay una lista corta de eventos que necesitan un mensaje en el acto, porque esperar al siguiente análisis tiene un coste:

• una cuenta ha pasado a ser administrador,
• los inicios de sesión fallidos están bloqueando la cuenta de un administrador, lo que significa que alguien apunta a esa cuenta,
• un análisis ha encontrado malware o archivos de WordPress modificados, con pruebas claras.

El resto puede esperar al correo tras un análisis programado o a un resumen semanal: actualizaciones disponibles, avisos de baja gravedad, bloqueos de nombres de usuario que no existen en el sitio.

Cómo ajustar cualquier plugin de seguridad

Estos pasos sirven para cualquier plugin.

1. Cuente durante una semana. Cree una carpeta o etiqueta para el correo del plugin y vea qué llega y con qué frecuencia. Anote qué correos le llevaron de verdad a hacer algo.
2. Suba el umbral. La mayoría de los plugins tienen una gravedad mínima para enviar correo. Empiece solo con los problemas graves y bájela cuando la lista de problemas abiertos sea corta.
3. Deje de recibir correos por bloqueos normales. Mantenga el bloqueo y quite el correo. Conserve las alertas sobre cuentas de administrador si el plugin las trata aparte.
4. Envíe las alertas a quien actúa sobre ellas. Si su desarrollador corrige los problemas, añada su dirección. Compruebe que ninguna dirección de la lista pertenece a alguien que ya no trabaja con usted.
5. Ignore lo que se cambió a propósito, elemento por elemento. Un archivo que alguien editó deliberadamente puede marcarse como conocido. Asegúrese de que el plugin vuelva a avisar si cambia más adelante, o cada elemento ignorado se convierte en un punto ciego.
6. Envíe un correo de prueba y mire en la carpeta de spam. Una alerta en spam es tan inútil como una que nadie lee. Si las suyas acaban allí, pida a quien gestiona su correo que revise cómo envía correo el sitio. SPF, DKIM y DMARC explicados trata los registros implicados.
7. No desvíe las alertas a una carpeta que nunca abre. Si prefiere leerlas una vez por semana, active un resumen.

El silencio también hay que comprobarlo. Si lleva meses sin recibir ningún correo, envíe una prueba y busque en la pantalla del plugin la fecha del último análisis. Un análisis que ha dejado de ejecutarse tampoco envía nada.

Cuando una alerta se equivoca

Un falso positivo es un hallazgo sobre algo que está bien. Antes de ignorarlo:

• abra el hallazgo y lea qué archivo o ajuste menciona,
• si es un archivo de WordPress, de un plugin o de un tema, compárelo con una copia limpia de la misma versión,
• pregunte a quien construyó el sitio si lo modificó,
• comuníquelo en el foro de soporte del plugin en WordPress.org, con el nombre de la comprobación y lo que ve.

No desactive una comprobación entera por un hallazgo erróneo. El siguiente real quedaría sin avisar.

Cómo gestiona las alertas Ensomedia Security

Así describen el código y el readme de Ensomedia Security sus alertas:

• Un correo por análisis, solo sobre problemas nuevos o que han empeorado y que alcanzan el umbral que usted fije, y como máximo cuatro al día. Lo que supere el límite espera al siguiente correo. Un análisis que usted lanza con Analizar ahora no envía correo, porque ya está viendo el resultado.
• Tres umbrales en Ajustes, en Alertas por correo: Solo críticos, Graves (el valor predeterminado) y También los menores. Enviar a admite hasta cinco direcciones, y Enviar un correo de prueba muestra si llegan.
• Al instante cuando una cuenta pasa a ser administrador, y cuando el nombre de usuario de un administrador queda bloqueado tras inicios de sesión fallidos. Los correos de bloqueo se limitan a tres al día por sitio.
• Un resumen semanal cada lunes, desactivado hasta que usted lo active.
• Una comprobación que no se pudo ejecutar nunca envía correo y nunca marca nada como corregido, así que una caída de WordPress.org no genera avisos.
• Los hallazgos inciertos nunca envían correo. Van a Pide a tu desarrollador que lo revise. Una sola señal débil, como base64 en un archivo, nunca es un hallazgo, y solo se envían por correo los hallazgos con alta certeza.
• Ignorar deja un hallazgo fuera de la puntuación y de las alertas, y un archivo ignorado vuelve a aparecer si cambia de nuevo.

Todas las comprobaciones, el análisis diario programado (a las 03:00 hora del sitio por defecto) y las alertas por correo son gratuitos y funcionan sin cuenta. La página del plugin tiene los detalles.

Revise su sitio desde fuera. Introduzca su dirección en shieldwave.io. Tarda unos 90 segundos y no necesita contraseña ni plugin.