¿Cómo configurar Wordfence? En este post se explica el detalle de la configuración de Wordfence, el plugin de seguridad de WordPress.
Mejorar la seguridad de un blog, desarrollado mediante la versión auto-alojada de WordPress, es un problema que se resuelve fácilmente instalando y configurando un plugin específico.
Configuración de Wordfence
Una vez instalado y activado el plugin, verás la opción «Wordfence» dentro de la columna lateral del panel de administración.
Veamos los apartados principales de la configuración y en qué parámetros hay que actuar para una correcta personalización.
Nada más instalar WordPress debes reforzar la seguridad con el plugin Wordfence. Apenas requiere configuración, más allá de activar lo que se denomina el firewall extendido.
Habilitar firewall extendido (cPanel)
Habilitar firewall extendido (SiteTools)
Ver vídeo (SiteTools)
Configurar Wordfence: Scan
El escaneo permite una vigilancia continua de la instalación, detectando errores y problemas (ver figura 1).
En el apartado «Options» debes activar la casilla «Enable automatic scheduled scans» para que el plugin escanee automáticamente una vez al día.
En la figura 2 se muestra un ejemplo de la segunda parte de la página de «Scan». Se ve un par de problemas detectados. En los enlaces señalados puedes indicar los problemas como resueltos o ver más información sobre ellos. Por ejemplo, comparar la versión modificada de un fichero con la original.
El software malicioso puede haber modificado alguno de los ficheros de la instalación. Y esta una magnífica forma de detectarlo.
Configurar Wordfence: Firewall
Activa el firewall extendido, tal y como se explica en los vídeos que abren este artículo.
El nivel de protección básico protege en la mayoría de los casos. Debe ser suficiente para empezar.
Antes de activar el modo «Activado y progegiendo», se recomienda que se empiece con la modalidad de «aprendizaje». De esta forma, el plugin no dará falsos positivos. Y se garantiza una mayor efectividad en el bloqueo de intentos de accesos indebidos.
Al cabo de un tiempo, se pasará automáticamente al modo activo si se ha marcado la casilla «Automatically switch to Enabled Mode on:»
Configurar Wordfence: Live Traffic
La vista del tráfico en directo (Live Traffic) es muy útil para detectar los intentos de acceso y poder bloquearlos (ver figura 4).
Cuando el modo de aprendizaje termine; podemos activar esta opción para visualizar los datos y bloquear IPs o rangos de ellas.
Los intentos indebidos de acceso (muchos más de los que te puedes imaginar, recién instalado un blog) consumen recursos del servidor Web. El consumo de CPU se puede disparar en picos determinados.
Durante el aprendizaje y el periodo inicial es conveniente insertar en el archivo «htaccess» alguna reglas. Por ejemplo, aquellas que impidan el acceso a bots y crawlers malos conocidos. Como sabes, existen crawlers buenos (como el de Google u otros buscadores). Y crawlers malos como los que intentan acceder a tu blog con propósito fraudulento.
En el siguiente enlace hallarás las instrucciones adecuadas para intentar frenar el alto consumo de CPU debido a intentos de acceso no autorizado: github.com/bluedragonz/bad-bot-blocker/blob/master/.htaccess.
Configurar Wordfence: opción para mejorar el rendimiento
La opción de rendimiento de Wordfence (ver figura 5) puede determinar la decisión para elegir uno de los dos plugins de seguridad más eficaces del momento. El otro plugin recomendable, iThemes Security no posee esta opción, por lo que si no quieres complicarte la vida instalando soluciones específicas (del estilo de W3 Total Cache), debes considerar Wordfence.
La configuración de la opción para mejorar la velocidad de tu blog, se reduce a elegir entre una de las siguientes tres alternativas:
- Disable all performance enhancements: no habrá mejora de la velocidad.
- Enable Basic Caching: se incrementará en 2 o 3 veces la velocidad.
- Enable Wordfence Falcon Engine: esto es una joya escondida en el plugin Wordfence. Con esta opción, tu blog puede aumentar entre 30 y 50 veces la velocidad.
Configurar Wordfence: Opciones básicas
Pasemos ahora al apartado «Options», comenzando con el apartado básico (Basic options).
En la figura 6, que precede estas líneas, puedes observar las casillas que debes activar.
Como ves, no hemos activado la casilla del tráfico en vivo porque nos encontramos en la fase de aprendizaje del firewall.
Una vez, finalizada dicha fase, iniciaremos el estudio de tráfico, con objeto de afinar los bloqueos, haciendo uso también de las opciones «Bloqued IPs», «Password audit», «Country Blocking» y «Advanced Blocking». Con «Whois Lookup» podrás obtener información de las IPs que intentan acceder a tu blog. Estas opciones se encuentran también en la columna de la izquierda del plugin.
Activa el escaneo diario para detectar posibles problemas.
Configurar Wordfence: Opciones avanzadas
En la figura 7 se muestra la primera parte del conjunto de opciones avanzadas.
Soy partidario de activar todas las alertas, por lo menos en la primera fase. Posteriormente, puedes ir eliminando aquellas que no interesen.
Respecto a las opciones de escaneo, la figura 8 muestra cómo puedes configurarlas.
La personalización que se ve en la figura 9 es de las más importantes del plugin, porque se trata de decirle al firewall cómo actuar.
El firewall de Wordfence funciona mediante las reglas definidas en este apartado. Si el tráfico del blog no cumple las reglas, entonces se toma una determinada acción.
Esas acciones son “throttle it” y “block it”. Con la primera, se bloquea por rango de IPs y con la segunda se bloquea al usuario.
Mira aquí la explicación de cada opción.
Respecto a las reglas del login, lee los detalles aquí.
Finalmente, en la figura 10 se muestra el resto de opciones.
Firewall extendido
El Firewall extendido es muy recomendable. Para activarlo, sigue estas instrucciones: Optimizing The Firewall.
Wordfence assistant
En el caso improbable de que necesites desactivar alguna opción pero no puedas entrar a la administración del plugin (por ejemplo, si te has bloqueado a ti mismo), instala el plugin Wordfence Assistant. Hazlo tras renombrar la carpeta «wp-content/plugins/wordfence» para desactivar el plugin.
Más información sobre este caso en: If you locked yourself out.
Lecturas recomendadas
Acerca de lo que se debe hacer en WordPress para mitigar los problemas de seguridad, te recomiendo la lectura de Las 10 medidas de seguridad imprescindibles en WordPress.
Otro artículo que no te debes perder, si quieres aprender a optimizar tu blog de cara al rendimiento y seguridad, es: Velocidad y seguridad de tu blog: cómo mejorar con CloudFlare.
Deja una respuesta