Un plugin de seguridad gratuito para WordPress: qué debe revisar y qué no debe hacer nunca

El directorio de WordPress.org tiene muchos plugins con «security» en el nombre, y casi todos tienen versión gratuita. Las descripciones se parecen y usted no va a leer el código. ¿Cómo elegir, entonces?

A continuación tiene cinco criterios que puede comprobar por sí mismo: en la ficha del directorio, en la pantalla de ajustes y en el primer análisis. Después viene una lista de cosas que un plugin gratuito no debería hacer, con referencias a las propias normas del directorio.

Qué puede hacer un plugin y qué no

Un plugin de seguridad trabaja desde dentro del sitio. Ve los archivos del servidor, la base de datos, las cuentas de usuario y los ajustes. Un análisis desde fuera no ve nada de eso, así que un buen plugin cubre lo que exige ese acceso.

Pero un plugin sigue siendo parte de WordPress. Quien se haga con el sitio con permisos de administrador puede desactivarlo o cambiar su configuración. Por eso ningún plugin da una protección completa, y ninguno honesto la promete. Considérelo una capa más, junto a las actualizaciones, las copias de seguridad y la revisión del sitio desde fuera.

1. Revisa e informa, y solo cambia cosas cuando usted lo indica

Casi todo su valor está en comprobaciones que solo leen:

• comparar los archivos de WordPress, de los plugins y de los temas con las sumas de verificación oficiales de WordPress.org para su versión, lo que detecta archivos manipulados,
• buscar archivos PHP en la carpeta de subidas, donde no tienen nada que hacer,
• listar todas las cuentas con permisos de administrador,
• encontrar archivos que el servidor entrega a cualquiera: copias de wp-config.php, volcados de la base de datos, archivos comprimidos con una copia del sitio,
• detectar ajustes que facilitan una intrusión: el modo de depuración activado, el editor de archivos del panel de administración, el registro abierto de usuarios.

Los cambios, como desactivar XML-RPC o mover un archivo a cuarentena, deben producirse solo después de que usted pulse un botón. Las «correcciones» automáticas pueden tumbar una tienda: el plugin borra un archivo que le pareció sospechoso y resulta que era parte del tema.

Cómo comprobarlo: busque en la ficha una frase que diga que el plugin no cambia nada sin su consentimiento. Después del primer análisis, fíjese en si los resultados solo se mostraron o si ya se ha modificado algo.

2. No ralentiza el sitio

Un análisis completo de archivos es trabajo real para un servidor. Un buen plugin lo divide en pasos pequeños en segundo plano, se salta los archivos que no han cambiado y no hace nada pesado en cada visita a sus páginas.

Cómo comprobarlo: mida el tiempo de carga en PageSpeed Insights antes de instalarlo y un día después. Mire también el panel de su alojamiento, que suele mostrar el uso de CPU. Si subió claramente tras la instalación y su proveedor empieza a enviar avisos, algo va mal.

3. Habla claro y no da falsas alarmas

Cada hallazgo necesita tres cosas: qué significa, qué gravedad tiene y qué hacer. «Cadena base64 sospechosa en un archivo» sin más explicación no le dice nada.

Con las alertas pasa lo mismo. Un plugin que le escribe por cada minucia acaba, en una semana, en una carpeta que nadie lee. Es mejor que solo avise de problemas nuevos o que han empeorado, y que marque los resultados dudosos como dudosos en lugar de dar la alarma.

4. Vigila las actualizaciones

Los plugins desactualizados son la vía de entrada más habitual a un sitio WordPress. Hay más sobre esto en el artículo sobre plugins de WordPress desactualizados.

Un buen plugin de seguridad muestra qué plugin o tema tiene una vulnerabilidad conocida y qué versión la corrige. También avisa de plugins cerrados en el directorio de WordPress.org o abandonados por su autor, y le recuerda que un plugin desactivado sigue en el servidor. Con esa lista sabe qué actualizar hoy y qué borrar.

5. Le da acceso a la vista desde fuera

Desde dentro no se ve todo lo que ve un visitante. La configuración del servidor, los registros de correo en su DNS, el certificado tal como lo ve internet, los subdominios olvidados: todo eso se revisa desde fuera. Un buen plugin, o bien solicita su propio sitio a través de internet, por ejemplo para comprobar si se puede acceder a archivos que deberían ser privados, o bien le permite conectarse a un análisis externo.

La diferencia entre las dos vistas se explica en el artículo sobre escáneres de seguridad web en línea.

Lo que un plugin gratuito no debe hacer nunca

El directorio de WordPress.org tiene unas directrices detalladas para plugins (en inglés). Varias se traducen directamente en lo que usted puede esperar:

• No envía datos sobre usted sin consentimiento. La directriz 7 dice que los plugins no pueden rastrear a los usuarios sin su consentimiento. Si un plugin se comunica con un servicio externo, su ficha debe nombrar el servicio y explicar para qué.
• No retira funciones después de un periodo de prueba. La directriz 5 no permite versiones de prueba con caducidad en el directorio, así que un plugin publicado allí no debería dejar de funcionar a los pocos días.
• No llena el escritorio de anuncios de la versión de pago. La directriz 11 dice que los plugins no deben secuestrar el escritorio de administración. Un aviso sobre un plan de pago es normal. Banners en cada pantalla, no.
• No promete una protección completa. Una promesa de seguridad total es motivo para leer la ficha con más atención.

Una opción

Yo mismo he creado uno de estos plugins: Ensomedia Security en el directorio de WordPress.org, vinculado a ShieldWave. Valórelo con los mismos cinco puntos que cualquier otro. Los datos de su ficha:

• ejecuta 25 comprobaciones, y todas ellas, los análisis programados y las alertas por correo son gratuitos, sin cuenta y sin límites,
• compara los archivos con las sumas de verificación de WordPress.org y vigila los cambios en archivos que WordPress.org no puede verificar,
• analiza en segundo plano en pasos cortos y no vuelve a analizar archivos que no han cambiado,
• solo cambia archivos, usuarios y ajustes cuando usted pulsa un botón o activa un interruptor,
• no es un cortafuegos de aplicaciones web completo y no limpia archivos por usted: el cambio que explica lo hace usted, su desarrollador o su proveedor de alojamiento,
• opcionalmente puede conectarse al panel de shieldwave.io, donde el sitio aparece junto a su análisis externo.

Hay una guía pantalla por pantalla en un artículo aparte sobre el plugin.

Qué hacer después de instalar cualquier plugin de seguridad

1. Ejecute el primer análisis y lea primero los hallazgos más graves.
2. Actualice o borre los plugins y temas con vulnerabilidades conocidas.
3. Revise la lista de administradores y elimine a quien ya no trabaje con usted.
4. Programe un análisis. Una vez por semana es suficiente.
5. Revise el sitio desde fuera para ver lo que el plugin no ve.

Revise su sitio desde fuera. Introduzca su dirección en shieldwave.io. Tarda unos 90 segundos y no necesita contraseña ni plugin.