tutorial de wordfence

Tutorial de Wordfence Security en espa√Īol¬†con las opciones explicadas al detalle y las recomendaciones oficiales del plugin basadas en el manual oficial m√°s¬†otras recomendaciones sobre su uso y trucos.

Prepárate para leer por qué le vamos a sacar el máximo partido al plugin de seguridad para WordPress más utilizado. TUTORIAL ACTUALIZADO 25/01/2019

Índice

¬ŅQu√© es Wordfence?

Wordfence es un plugin de seguridad para WordPress que incluye muchas funcionalidades para proteger nuestra p√°gina web.

tutorial de wordfence en espa√Īol

Cuenta con m√°s de 2 millones de instalaciones activas lo que hace a Wordfence el plugin de seguridad m√°s utilizado.

Wordfence es un plugin freemium, es decir que es gratuito pero tiene funcionalidades Premium.

La versi√≥n Premium cuesta alrededor de 100 d√≥lares al a√Īo, pero la versi√≥n gratuita es m√°s que suficiente para conseguir una p√°gina web segura.

 

Características y funciones de Wordfence

Antes de empezar con el tutorial de Wordfence vamos a ver las características y funciones de Wordfence.

Tablero de información (Wordfence Dashboard) es donde podemos ver avisos e información relevante sobre la seguridad de nuestro sitio.

Esc√°ner de Wordfence: Herramienta que nos permite detectar problemas en nuestra web como cambios en los archivos de WordPress, virus u otros elementos maliciosos.

Wordfence Application Firewall: es una barrera que analiza y bloquea las peticiones a nuestra web que creen indicios o patrones de ataques y en definitiva sin ponerme muy técnico el Firewall es un filtro que bloquea Ip,s que estén intentando hacer algo malo en nuestra página web.

Life Traffic: un visor que muestra una lista en tiempo real de los usuarios o bots que acceden a nuestra web y también muestra los usuarios y bots que bloquea el Firewall.

Protecci√≥n de ataques de fuerza bruta: Wordfence incluye configuraciones espec√≠ficas para impedir ataques de fuerza bruta (Cracks con intentos masivos de contrase√Īas), como solo permitir contrase√Īas seguras, l√≠mite de intentos de inicio de sesi√≥n y bloquear nombres de usuarios entre otras.

Bloqueo de IP: con Wordfence podemos bloquear Ip individuales, rangos de Ip, usuarios que vengan de un dominio en específico o que usen un navegador concreto.

Limitar la velocidad de rastreo de bots y humanos: con Wordfence puedes configurar las veces que se intenta acceder o rastrear tu web y poder dificultar el rastreo o navegación por tu web a bots y usuarios sospechosos.

Herramienta Whois Lookup: es un buscador que nos permite averiguar los datos relevantes a una ip o dominio como el nombre y email del due√Īo del dominio, el pa√≠s de origen entre otros muchos datos.

PREMIUM Bloqueo por países: Con la versión Premium de Wordfence se puede denegar el acceso a nuestra web por países.

PREMIUM Doble factor de autentificación: con la versión Premium de Wordfence podemos implementar la doble verificación que nos enviara un código al teléfono móvil para acceder al panel de administración de WordPress.

PREMIUM Filtro Avanzado de spam en los comentarios: Un filtro contra el spam que incluye una base de datos que se actualiza en tiempo real para combatir los spammers conocidos.

PREMIUM Auditoria de contrase√Īas: Analiza las contrase√Īas de los usuarios de nuestra p√°gina web para indicar cuales son d√©biles y deben cambiarse por una contrase√Īa fuerte.

PREMIUM Mejoras en el Esc√°ner y Firewall:
Con la versión Pro de Wordfence el Escáner y el Firewall se actualiza al instante para incluir las nuevas amenazas que surjan con el tiempo, con la versión gratuita las nuevas amenazas no son incluidas hasta después de 30 días.

También incluye más funciones avanzadas para en el escaneo:

  • Escaneo del c√≥digo HTML de la parte publica en busca de virus y c√≥digo malicioso y la configuraci√≥n.
  • Programaci√≥n de escaneos: Configurar el tiempo en el que se ejecutan escaneos programados.
  • Detectar si nuestra web genera spam o est√° en listas de correos de spam

PREMIUM Configurar los avisos de las notificaciones: con la versión Premium de Wordfence podemos configurar que notificaciones se muestran en la zona de administración de WordPress que incluye quitar las promociones de sus productos.

PREMIUM Soporte técnico: aunque los desarrolladores participan activamente en los foros y dan mucha información en su blog nunca está de más tener a expertos a golpe de teléfono.

 

Instalar Wordfence

Comenzamos el tutorial de Wordfence, primero comenzamos con la instalación.

Podemos instalar Wordfence en WordPress desde el men√ļ de administraci√≥n en Plugin > A√Īadir Nuevo y buscando Wordfence en el repositorio de WordPress.

 

como instalar wordfence

 

El primer paso es poner un correo electrónico donde te llegarán las alertas de seguridad de tu página web.

Después, si has comprado la versión premium, podrás introducir tu Key para que se activen las funcionalidades de pago u omitir este paso.

activación de wordfence

 

Tablero de Información de Wordfence

El Tablero de información de Wordfence se encuentra en Wordfence > Dashboard y en este apartado podremos encontrar información variada y ver informes y estadísticas sobre la seguridad de la web.

También podremos ver las notificaciones de Wordfence, que nos pueden indicar por ejemplo que tenemos plugins no actualizados o cualquier otro problema que requiera nuestra atención.

El porcentaje del Firewall y del Scan son las reglas de seguridad que tienes configuradas, no te obsesiones en tenerlo al 100% ya que habr√° opciones que no utilices seg√ļn el caso.

opciones del dashboard de wordfence

 

Esc√°ner de Wordfence

En el apartado Scan de Wordfence podemos ejecutar un escaneo de nuestra web pulsando en el bot√≥n ‚ÄúStart New Scan‚ÄĚ.

El escaneo de Wordfence examinará los archivos de nuestro WordPress en busca de problemas de seguridad de todo tipo como código malicioso, url de spam, puertas traseras, vulnerabilidades conocidas y patrones de virus conocidos.

También hará varias comprobaciones del servidor, buscará cambios de DNS no autorizados, y comprobará que nuestra IP no está siendo utilizada para hacer actividades maliciosas.

Un escaneo de Wordfence comprueba aunque algunas características son para la versión Premium:

  • Busca Malware
  • Busca URL maliciosas
  • Busca Patrones de infecciones
  • Examina todos los archivos, publicaciones y comentarios
  • Verifica y supervisa par√°metros del servidor
  • Realiza un escaneo al d√≠a por defecto.

escanear virus con wordfence

 

El escaneo normalmente tarda entre 1 y 10 minutos, que depende de la configuraci√≥n del esc√°ner que veremos m√°s adelante, del tama√Īo de tu web y de la memoria de tu servidor.

Y en la parte de abajo la pesta√Īa Results Found podemos ver un resumen de todos los problemas y avisos que se han detectado en tu sitio web.

Los archivos peligrosos o que han sido modificados recientemente los muestra en rojo.

Nota: El primer error grave que suele encontrar el escáner es que existe el archivo wp-config-sample.php y el readme.html . Estos archivos los puedes borrar para mejorar la seguridad de WordPress.

wp-config-sample.php: Este archivo se utiliza solo para introducir los ajustes del servidor durante la instalación de WordPress.

readme.html: muestra la versión y información adicional de WordPress.

En el esc√°ner, pueden aparecer otros archivos, algunos archivos que normalmente son falsos positivos son los del tipo .log que suelen ser log (archivos de registros) de los plugins. El esc√°ner detecta estos archivos porque se modifican continuamente y por eso se marcan como archivos peligrosos aunque en realidad no lo son.

También, podemos ver los cambios producidos dentro del archivo y averiguar si los cambios son legítimos (como una simple traducción) o son un problema real.

ver cambios de archivos en wordpress con wordfence

 

Opciones del esc√°ner de Wordfence

En las opciones del escáner podemos configurar los parámetros del escaneo de Wordfence. Estas opciones se encuentran en Scan Options > Scan Scheduling.

Programar el an√°lisis

Programar el horario del escáner de Wordfence es una función Premium del plugin que nos permite elegir a qué frecuencia y hora queremos que se ejecute el escáner para poder elegir el momento de menor actividad de nuestra web.

Esta funci√≥n es √ļtil si tu web tiene grandes picos de actividad y quieres que los recursos web no se sobrecarguen en este tiempo.

Con la versión gratuita el escáner se ejecutará automáticamente una vez cada 24 horas a la hora que Wordfence decida para no sobrecargar sus servidores.

configurar el esc√°ner de wordfence

Tipo de escaneado

Basic Scan Type Options: permite configurar rápidamente el tipo de escaneo.

  • Escaneo Limitado:¬†Proporciona capacidad de detecci√≥n limitada con muy baja utilizaci√≥n de recursos. Para hosting limitados.
  • Escaneo Est√°ndar:¬†Nuestra recomendaci√≥n para todos los sitios web.¬†Proporciona la mejor capacidad de detecci√≥n.
  • Alta Sensibilidad:¬†Para los propietarios de sitios que piensan que pueden haber sido pirateados.¬†M√°s completo pero puede producir falsos positivos.
  • Escaneo personalizado:¬†Seleccionado autom√°ticamente cuando las Opciones generales se han personalizado para este sitio web.

 

Opciones avanzadas de an√°lisis de Wordfence

Podemos configurar las reglas de escaneo, los recursos del servidor como la memoria que el análisis va a utilizar y excluir archivos del escaneo dentro de Wordfence > Scan Options and Scheduling > General options

La configuraci√≥n se utilizar√° con el escaneo de tipo ¬ęCustom Scan¬ę.

 

configurar el escaner personalizado de wordfence

 

Check if this website is on a domain blacklist PREMIUM: verificar si el sitio web aparece en las listas negras de dominios marcados como potencialmente peligrosos.

Check if this website is being ¬ęSpamvertised¬Ľ PREMIUM:¬†Una t√©cnica de los hackers es introducir un script que redirige algunas url de nuestra p√°gina web a sitios web maliciosos, despu√©s estos hackers env√≠an correos electr√≥nicos con las URL de nuestro sitio para enga√Īar a usuarios y redirigirlos a sus malvadas webs.

Activando esta opci√≥n Wordfence verifica si nuestra web est√° siendo utilizada en estos tipos de correos de spam altamente da√Īinos.

Check if this website IP is generating spam¬†PREMIUM:¬†Verifica si la IP de nuestra web est√° generando spam mediante alg√ļn malware.

Scan for misconfigured How does Wordfence get IPs: esta opción ayuda a Wordfence para averiguar la IP real de los usuarios que naveguen con proxys inversos.

Scan for publicly accessible configuration, backup, or log files: esta opción permite escanear la configuración de archivos que se puedan modificar de forma remota para después poder modificarlos e impedir que estos archivos sean accesibles.

Scan for publicly accessible quarantined files: busca archivos en cuarentena con la terminación .suspected.

Scan core files against repository versions for changes: analiza si hay cambios en los archivos principales de WordPress respecto a la versión del repositorio oficial de WordPress, que existan cambios es inusual y puede ser un indicador de infección de virus o modificación no autorizada.

Scan theme files against repository versions for changes: analiza si hay cambios en los archivos de los temas de WordPress que se encuentren en el repositorio oficial de WordPress, los temas comerciales no son analizados.

Scan plugin files against repository versions for changes: analiza si hay cambios en los archivos de los plugin de WordPress que se encuentren en el repositorio oficial de WordPress, los plugin comerciales no son analizados.

Scan wp-admin and wp-includes for files not bundled with WordPress: busca cambios o archivos incluidos dentro del directorio wp-admin y wp-includes

Scan for signatures of known malicious files: busca archivos maliciosos conocidos e incluidos en la base de datos de Wordfence.

Scan file contents for backdoors, trojans and suspicious code: Analiza los archivos en busca de puertas traseras troyanos y código sospechoso.

Scan file contents for malicious URLs: escanea el contenido de los archivos en busca de URL maliciosas que pueden ser utilizadas por los atacantes.

Scan posts for known dangerous URLs and suspicious content: Analiza los post en la base de datos en busca de url o contenido malicioso.

Scan comments for known dangerous URLs and suspicious content: Analiza todos los comentarios en la base de datos publicados en busca de url y contenido malicioso.

Scan WordPress core, plugin, and theme options for known dangerous URLs and suspicious content:  busca contenido malicioso conocido y URL peligrosas almacenadas en las opciones de WordPress, temas o plugins.

Scan for out of date, abandoned, and vulnerable plugins, themes, and WordPress versions: Te indica si tienes desactualizado WordPress, temas y plugin.

Scan for admin users created outside of WordPress: Comprueba si existen usuarios creados de forma remota por alguna vulnerabilidad que no sean creados desde la p√°gina de usuarios.

Check the strength of passwords: comprueba la fuerza de las contrase√Īas y busca si alg√ļn usuario utiliza contrase√Īas comunes.

Monitor disk space: comprueba que queda espacio en el disco del servidor.

Scan for unauthorized DNS changes: busca cambios de DNS no autorizados y nos alerta si nuestro dominio apunta a otra web.

Scan files outside your WordPress installation: analiza archivos del servidor fuera de la instalaci√≥n de WordPress en busca de malware. Esta opci√≥n normalmente se deja desactivada y solo se utiliza cuando deseamos escanear a fondo un servidor para buscar alg√ļn virus que no detectamos con un escaneado normal.

Scan images, binary, and other files as if they were executable: Busca códigos maliciosos dentro de archivos que tienen una extensión de imagen como .png y otros. Es raro que esto suceda y esta opción no viene activada por defecto.

Enable HIGH SENSITIVITY scanning (may give false positives): Esta opción activa la alta sensibilidad del escaneo que hace que el escaneo sea más minucioso pero puede dar falsos positivos, esta opción no viene activada por defecto pero se puede utilizar si buscamos un virus y no nos importa ver falsos positivos para descubrirlo.

Opciones de uso de recursos del servidor (Performance Options)

En el apartado Scan options and Scheduling > Performance Options  tenemos las opciones y ajustes del escáner para moderar el uso de recursos del servidor.

configurar-performance-options-wordpress-en-espa√Īol

 

Use low resource scanning (reduces server load by lengthening the scan duration); activa el escaneo que utiliza menos recursos del servidor para ejecutarse pero tardar√° m√°s en completarse. √ötil si tenemos pocos recursos de servidor.

Limit the number of issues sent in the scan results email: Con esta opción marcamos un límite de correos que Wordfence nos puede enviar sobre los errores de los análisis para no llenarnos la bandeja de correo.

Time limit that a scan can run in seconds: límite en segundos del tiempo que se puede ejecutar el escaneo, dejarlo vacío o poner 0 se utilizará el valor predeterminado máximo que son 3 horas.

How much memory should Wordfence request when scanning: memoria m√°xima que puede utilizar Wordfence cuando ejecuta el esc√°ner.

Maximum execution time for each scan stage: si tenemos problemas con el escáner de archivos de Wordfence y no se completa puede ser por el tiempo máximo de ejecución de tu servidor.

Con esta opción, puedes controlar cuánto tiempo se ejecutará cada etapa del análisis hasta que se hace una pausa para guardar los datos de exploración y se reanude el análisis con la siguiente etapa y de esta forma solucionar ese problema de tiempo máximo de ejecución.

Prueba a poner 30 y ejecutar el esc√°ner, si el problema persiste y no termina de ejecutarse el an√°lisis prueba con 20, 15, o 10 (el valor tiene que ser mayor que 7).

Advanced Scan Options

En el apartado Scan options and Scheduling > Advanced Scan Options¬† podemos a√Īadir reglas de b√ļsqueda para malware concreto o excluir archivos del an√°lisis.

opciones avanzadas de wordfence

 

Exclude files from scan that match these wildcard patterns (one per line): En este apartado podemos indicar extensiones o nombres de archivos (uno por línea) que no queremos que se analicen.

Si te aparecen estos falsos positivos y quieres asegurarte de que no son virus reinstala el tema o el plugin, descarg√°ndolo del sitio oficial.

Y después pon estos archivos que detecta como falsos positivos en la lista de archivos excluidos del análisis.

Additional scan signatures (one per line): Opci√≥n muy avanzada para la mayor√≠a de usuarios. En esta secci√≥n puede agregar firmas de escaneo que ser√°n procesados ‚Äč‚Äčpor el esc√°ner. Esta es una funci√≥n avanzada que solo se puede usar de manera eficiente si est√° familiarizado con la estructura y funci√≥n de las firmas de malware.¬†Se debe ingresar una expresi√≥n regular sin el delimitador de patrones.

 

Firewall de Wordfence

El Firewall de Wordfence llamado ‚ÄúWAF Web Application¬†Firewall‚ÄĚ es un cortafuegos a nivel de aplicaci√≥n que filtra las peticiones maliciosas a nuestro WordPress.

Este Firewall se ejecuta antes de que carguen los temas y plugins de nuestra web para combatir el posible código malicioso.

firewall

Es decir es una herramienta que analiza los bots a los humanos y los analiza, limita o bloquea seg√ļn su configuraci√≥n y otros criterios y detecta patrones de ataques o cualquier otro tipo de comportamiento inusual.

Protege de ataques comunes como:

 

Configurar el Firewall b√°sico de Wordfence

Las opciones del firewall de Wordfence se encuentran en Wordfence > Firewall donde podemos encontrar el estado del firewall.

Para ver las opciones vamos a Manage Firewall o All Firewall Options

configurar el firewall de wordfence

 

Existen dos niveles de protecci√≥n del firewall, por defecto el nivel es el ‚ÄúBasic WordPress Protection‚ÄĚ que protege contra muchos de los ataques web y no necesita configuraci√≥n adicional.

Simplemente, al activar el plugin Wordfence, el Firewall se activa en modo aprendizaje, en este modo el firewall analizar√° durante una semana la actividad de nuestra p√°gina web para adaptar las reglas del firewall al uso que le damos a nuestra web y al comportamiento de los servicios adicionales y usuarios.

Una vez pasado el periodo de tiempo del modo de aprendizaje el Firewall Status pasa a ‚ÄúEnabled and Protecting‚ÄĚ activado y protegiendo, en este modo el Firewall analiza y bloquea activamente las solicitudes con patrones de ataques conocidos y protege nuestra web de los atacantes.

modo aprendizaje firewall wordfence

 

Y despu√©s, tambi√©n existe el nivel de protecci√≥n extendido ‚ÄúExtended Protection‚ÄĚ que protege m√°s eficientemente nuestro servidor, este nivel necesita de configuraci√≥n adicional (Lo explico a continuaci√≥n).

 

Configurar el Firewall con la protección extendida en Wordfence

Para configurar el nivel ‚ÄúExtended Protection‚ÄĚ tenemos que pulsar en el bot√≥n azul ‚ÄúOptimize the Wordfence Firewall‚ÄĚ.

configurar el firewall avanzado de wordfence

Una vez pulsado el botón tendremos que configurar varias opciones para que el Firewall funcione correctamente.

Primero tenemos que elegir el tipo de servidor que estamos utilizando, normalmente Wordfence detecta el tipo de servidor y te muestra la opci√≥n con el nombre del tipo de tu servidor y entre par√©ntesis ‚Äú(recommended based on our tests)‚ÄĚ pero mi recomendaci√≥n es que preguntes al soporte de tu hosting que te indique cual es el tipo de servidor que utilizas.

Despu√©s, para poder continuar, Wordfence nos obliga a descargarnos una copia del archivo ‚Äúhtaccess‚ÄĚ y en ocasiones del archivo ‚Äúuser.ini‚ÄĚ ya que Wordfence va a realizar cambios dentro de estos archivos y si algo sale mal tendr√≠amos una copia de este archivo para restaurarlo mediante FTP o el administrador de archivos del hosting. (Te recomiendo que hagas una copia de seguridad del servidor)

configurar waf firewall web

 

Una vez descargados estos archivos pulsamos el bot√≥n ‚ÄúContinue‚ÄĚ y Wordfence modificara el htaccess y configurar√° el Firewall.

Nota: Las l√≠neas de c√≥digo que a√Īade Wordfence al archivo htaccess son estas:

 

wordfence waf

Si todo ha salido bien, nos mostrará un mensaje de verificación.

 

waf firewall wordfence activado

 

Ahora donde indica el ‚ÄúProtection Level‚ÄĚ pone ‚ÄúExtended Protection‚ÄĚ que nos indica que tenemos el nivel de protecci√≥n m√°s elevado del Firewall, despu√©s de la semana de aprendizaje el firewall avanzado se activar√°.

Opciones avanzadas del Firewall

En Wordfence > Firewall podemos encontrar el apartado Advanced Firewall Options.

opciones avanzadas firewall wordfence

Delay IP and Country blocking until after WordPress and plugins have loaded (only process firewall rules early): Esta opci√≥n es opcional y carga el bloqueo de IP y el bloqueo por pa√≠ses despu√©s de que cargue WordPress. Esta opci√≥n se utiliza si tienes alg√ļn problema con tu servidor o con un servicio externo que se est√© cargando desde un pa√≠s bloqueado o una url bloqueada.

Whitelisted IP addresses that bypass all rules:¬†Las IP de esta lista no tendr√°n restricciones y no ser√°n bloqueadas por el cortafuegos. Puedes configurar la IP de tu casa u oficina pero √ļnicamente configura la IP en esta opci√≥n si est√°s seguro de que tu IP es fija, es decir que no es una IP din√°mica que cambia con el tiempo.

Immediately block IPs that access these URLs: bloquear inmediatamente las IP que accedan a las URL indicadas. Si detectamos que estamos bajo un ataque masivo, en este campo podemos introducir las URL que estén siendo atacadas y así se bloquearán automáticamente las IP que intenten acceder a ellas.

Ignored IP addresses for Wordfence Web Application Firewall alerting: Estas direcciones se ignorarán de las alertas sobre ataques incrementados y se pueden usar para ignorar elementos como las alertas del escáner si sus constantes avisos nos molestan.

Reglas del Firewall: En las opciones del Firewall también podemos encontrar un listado con las reglas que utiliza el Firewall de Wordfence, estas reglas se actualizan con el tiempo y las podemos activar o desactivar, pero no deberías tocarlas si no sabes exactamente lo que haces.

Estas reglas protegen tu instalaci√≥n de WordPress de los ¬ęposibles¬Ľ agujeros de seguridad m√°s atacados frecuentemente, ya sean de plugins, del propio WordPress u otros.

Protección de Fuerza Bruta

En las opciones de Wordfence > Firewall > Advanced Firewall Options > apartado ‚ÄúBrute Force Protection‚ÄĚ podemos encontrar las opciones para proteger el Login de WordPress de ataques de fuerza bruta.

Esta protecci√≥n, aplica entre otras medidas de seguridad, los l√≠mites de intentos de sesi√≥n que bloquea una IP cuando se intenta introducir muchas veces una contrase√Īa err√≥nea.

protección de fuerza bruta wordfence

  • Enable Brute Force Protection: Habilita / Deshabilita la protecci√≥n de fuerza bruta.
  • Lock out after how many login failures: en esta opci√≥n indicamos los intentos fallidos que un usuario puede cometer hasta ser bloqueado en el formulario de login de WordPress.
  • Lock out after how many forgot password attempts: en esta opci√≥n indicamos los intentos fallidos que un usuario puede cometer hasta ser bloqueado en el formulario de contrase√Īa perdida.
  • Count failures over what time period: periodo de tiempo en el que los fallos de intento de sesi√≥n son tenidos en cuenta. Es decir que pasado el tiempo que indiquemos los fallos de inicio de sesi√≥n de un usuario vuelven a ser cero.
  • Amount of time a user is locked out: cantidad de tiempo que un usuario es bloqueado.¬† Con solo 5 minutos se pueden frustrar los ataques de fuerza bruta, y no es tan restrictivo para evitar que un usuario normal tarde una hora en poder volver a poner su contrase√Īa.
  • Immediately lock out invalid usernames: bloquear inmediatamente la IP si se utiliza un nombre de usuario no v√°lido. Si activamos esta casilla, se bloquearan las IP de los usuarios que intenten acceder con un nombre de usuario que no exista.
    ADVERTENCIA: No recomendada, ya que bloquearas a los usuarios que por error escriban mal su nombre en el login.
  • Immediately block the IP of users who try to sign in as these usernames: Bloquear inmediatamente la IP de los usuarios que intentan iniciar sesi√≥n con los nombres de usuario indicados. Podemos bloquear nombres como Admin, Superadmin, Root, God y otros nombres que se usan com√ļnmente en inform√°tica para definir a usuarios con todos los permisos.

Opciones Adicionales:

  • Enforce strong passwords: con esta opci√≥n podemos forzar a que las contrase√Īas que los usuarios utilicen para sus perfiles de WordPress sean seguras impidiendo introducir contrase√Īas comunes o d√©biles al crear o modificar los usuarios.
  • Don’t let WordPress reveal valid users in login errors: WordPress por defecto muestra si en el login has introducido mal el nombre o la contrase√Īa, esto puede dar pistas a los ciber delincuentes, activando esta opci√≥n estos avisos se ocultan para no dar esas pistas.
  • Prevent users registering ‘admin’ username if it doesn’t exist: Impide registrar el usuario con el nombre Admin si no existe, que es el usuario m√°s atacado.
  • Prevent discovery of usernames through ‘/?author=N’ scans, the oEmbed API, and the WordPress REST API: Al activar esta opci√≥n se evita que los hackers sean capaces de descubrir los nombres de usuario por varios m√©todos.
  • Block IPs who send POST requests with blank User-Agent and Referer: Los hackers suelen ocultar la identidad del navegador (User-agent) que est√°n utilizando y la informaci√≥n que indica desde donde han llegado a nuestra web. Al activar esta casilla, los usuarios que no indiquen qu√© navegador utilizan ser√°n bloqueados autom√°ticamente.
  • Check password strength on profile update: esta opci√≥n te avisa si un usuario cambia la contrase√Īa de su perfil de usuario por una contrase√Īa d√©bil.
  • Participate in the Real-Time WordPress Security Network: Activa la red de seguridad de Wordfence, se comparte de forma an√≥nima datos con Wordfence sobre los ataques de las p√°ginas web con el objetivo de bloquear los ataques m√°s eficientemente.

Límite de velocidad de rastreo de bots y humanos

Podemos limitar la cantidad de veces que un bot puede rastrear y explorar nuestra web, esta es una configuraci√≥n adicional que puede sernos √ļtil en alguna ocasi√≥n.

Por ejemplo, es √ļtil si detectamos que nos est√°n robando y copiando nuestro contenido mediante la automatizaci√≥n de bots y queremos dificultar esta tarea.

O si detectamos que alg√ļn bot se hace pasar por Google o que nos rastrea p√°ginas que no existen, que suelen ser indicadores de que busca agujeros de seguridad en nuestra web.

También, sirve para reducir las peticiones que generan estos robots y reducir el consumo de los recursos del servidor o impedir ataques que colapsen nuestra web por sobrecarga de peticiones.

Estas opciones se encuentran en Wordfence > Firewall > Advanced Firewall Options > apartado ‚ÄúRate Limiting‚ÄĚ

 

limite de rastreo de bots wordfence

Enable Rate Limiting and Advanced Blocking: Activa o desactiva, las reglas limitación de velocidad de las peticiones, el bloqueo de IP, el bloqueo por países.

Immediately block fake Google crawlers: bloquear inmediatamente los bots que se hagan pasar por Google (Googlebot).

How should we treat Google’s crawlers: Esta opci√≥n espec√≠fica c√≥mo se trata al robot de Google y nos permite elegir entre 3 opciones:

  • Los rastreadores de Google verificados tendr√°n acceso ilimitado al sitio web. (Recomendada para tener una buena indexaci√≥n en Google)
  • Cualquier rastreador que diga ser Google tendr√° acceso ilimitado.
  • Tratar a los rastreadores de Google como a cualquier otro rastreador.

Las siguientes opciones sirven para limitar el n√ļmero de peticiones por minuto que puede hacer un robot o un humano dependiendo de cada caso.

Una vez excedido el l√≠mite de peticiones se puede bloquear al robot ‚Äúblock it‚ÄĚ (No recomendado) o elegir la opci√≥n throttle it ‚ÄúRegularlo‚ÄĚ que har√° que los robots bajen su frecuencia de rastreo en cada caso.

If anyone’s requests exceed: Si cualquier bot excede X peticiones por segundo, que se bloque o se regule. Recomendaci√≥n de Wordfence, 240 peticiones por minuto y Regularlo en caso de que excedan las peticiones.

If a crawler’s page views exceed: Si los rastreadores exceden un n√ļmero de visitas a p√°ginas. La recomendaci√≥n de Wordfence, 240 peticiones por minuto y Regularlo.

If a crawler’s pages not found (404s) exceed: Si un rastreador excede las peticiones a p√°ginas que no existen.

Recomendaci√≥n de Wordfence, si t√ļ web est√° bien cuidada y no tienes apenas errores 404 (p√°gina no encontrada), 30 peticiones por minuto y si se excede bloquearlo para impedir exploraciones en busca de vulnerabilidades.

Si tu web contiene muchas imágenes caídas y páginas que no funcionan no configurar esta opción ya que se puede bloquear a bots legítimos.

If a human’s page views exceed: Si un humano excede un n√ļmero de visitas a p√°ginas. La recomendaci√≥n de Wordfence, 240 peticiones por minuto y regularlo.

If a human’s pages not found (404s) exceed: Su un humano excede un n√ļmero de visitas a p√°ginas que no existen. (La misma recomendaci√≥n que en la opci√≥n de los bots).

If 404s for known vulnerable URLs exceed: Cuando se accede a páginas que no existen que coinciden con URL de vulnerabilidades conocidas la recomendación de Wordfence es 15 por minuto y bloquearlo.

How long is an IP address blocked when it breaks a rule: En esta opción elegimos cuanto tiempo estará una IP bloqueada cuando incumpla una regla de exceso de límite de peticiones.

Wordfence no dice una recomendaci√≥n clara en su manual, √ļnicamente dice que ellos utilizan entre 5 minutos y 1 hora. (Recomendaci√≥n de Gerardo usar 5 minutos).

Whitelisted 404 URLs (one per line): Las URL de esta lista blanca no se tendrán en cuenta en las reglas de límite de rastreo de páginas no encontradas.

Wordfence detecta e incluye en este campo algunas URL que son buscadas por los bots como las URL del ‚ÄúFavicon‚ÄĚ y otras im√°genes utilizadas por ejemplo en dispositivos Iphone o las versiones de las im√°genes de retina.

Esto es así para no confundir el comportamiento de los bots de los navegadores como si fuera un ataque que busca URL de tipo 404.

Lista blanca de URL,s

Las URL en esta tabla no serán analizadas por el firewall. Por lo general, se agregan mientras el firewall está en modo de aprendizaje o por un administrador que identifica que una acción o solicitud particular es un falso positivo.

cómo configurar lista blanca de url wordfence

La opci√≥n¬†Monitor background requests from an administrator’s web browser for false positives, analiza solicitudes de URL,s que no cargan una p√°gina, sino que son tareas de administraci√≥n que se realizan normalmente mientras trabajamos con WordPress o con plugins.

Wordfence Firewall puede bloquear estas solicitudes pero normalmente son falsos positivos ya que son solicitudes que hacen los plugins mientras estamos trabajando con ellos.

Si somos administradores, mientras estamos trabajando en WordPress o en un plugin que realice este tipo de solicitudes, nos mostrar√° un mensaje que dice¬†¬ęBackground Request Blocked¬Ľ y tendremos que indicar que esa acci√≥n es normal¬† y que la a√Īada a esta lista blanca de URL.

Bloqueo manual de IP

Una medida de seguridad web b√°sica es bloquear el acceso a las IP que intentan hacer el mal en nuestra web.

Wordfence, mediante el Firewall, bloquea las IP que realizan ataques a nuestra web y también bloquea las IP que rompen las reglas de protección del login contra los ataques de fuerza bruta.

Pero tambi√©n podemos bloquear IP manualmente desde las opciones Wordfence > Firewall > pesta√Īa Blocking.

También podemos ver un listado de las Ip bloqueadas manual o automáticamente. Las IP bloqueadas automáticamente por Wordfence se limpian en el tiempo dependiendo de las configuraciones del firewall.

Podemos encontrar 3 tipos de bloqueo de IP en el campo Block Type.

  • IP Address: bloqueo b√°sico
  • Country: bloqueo de IP por pa√≠ses
  • Custom Pattern: bloqueo de IP por par√°metros

Bloqueo B√°sico de IP

En la pesta√Īa IP Address: Bloquea cualquier direcci√≥n IP indicando su numeraci√≥n y tambi√©n puedes indicar la raz√≥n de porqu√© la has bloqueado para que no se te olvide.

bloquear ip con wordfence

 

Bloqueo avanzado de IP

En la pesta√Īa Custom Pattern: es el bloqueo de ip avanzado donde podemos introducir datos adicionales para bloquear IP mediante rangos de IP, nombre de host, tipo de navegador o web referente.

  • Ip address range: introduce un rango de IP para bloquear todas la IP de un rango y que no tendr√°n acceso a tu web.
  • Hostname: nombre del dispositivo desde el que est√° conectado un usuario.
  • User-Agent (browser) that matches: permite bloquear IP de usuarios que vienen desde un navegador web concreto introduciendo el nombre del navegador ‚ÄúUser-agent‚ÄĚ.
  • Referer (website visitor arrived from) that matches: permite bloquear IP de usuarios que vengan directamente desde otro dominio. Puede ser de mucha ayuda cuando detectas que el spam o los ataques vienen siempre de la misma web o foro de hackers.
  • Block¬†Reason: esta opci√≥n es simplemente un campo en el que podemos poner la raz√≥n por la que creaste una regla de bloqueo, es decir que es solo para tu organizaci√≥n personal.

 

Bloqueo de países de Wordfence

Con la versión Premium de Wordfence también podemos bloquear directamente los países desde los cuales recibimos los ataques a nuestra web.

Estas opciones se encuentran en¬†Wordfence > Firewall > pesta√Īa Blocking¬†

bloqueo de países en wordpress con wordfence

Es una manera efectiva de bloquear las peticiones masivas generadas desde un país en concreto.

Aunque puede dar muchos problemas derivados ya que si utilizamos servicios web de servidores que se encuentren en los países bloqueados estos dejaran de funcionar.

El bloqueo por países es una medida de seguridad avanzada que no se debe implementar a la ligera ya que si no sabes lo que haces dejaras inutilizadas funciones de tu web e incluso acabarás bloqueado en tu propio sitio.

Adem√°s ciertos servicios web como Google Adwords no permiten tener esta medida implementada en la web.

La siguiente imagen corresponden a la versión anterior de Wordfence, pero deberían ayudarte a configurar algunas opciones.

bloqueo paises wordfence

 

Opciones de bloqueo de países

What to do when we block someone: qué hacer cuando se bloquea a alguien, podemos mostrar un mensaje de Wordfence o podemos redireccionar al usuario a una URL concreta donde por ejemplo expliquemos las razones por las que a sido bloqueado.

URL to redirect blocked users to: Url a la que los usuarios serán redirigidos si hemos elegido la opción correspondiente en el campo anterior.

Block countries even if they are logged in: con esta opci√≥n los usuarios ser√°n bloqueados seg√ļn el pa√≠s incluso si est√°n registrados en WordPress.

Block access to the rest of the site (outside the login form): Bloquear el acceso al login en los países elegidos para impedir que los usuarios de estos países se registren.

Block access to the rest of the site (outside the login form): Bloquear el acceso a la parte p√ļblica de la web a los pa√≠ses elegidos.

Si utilizas Google AdWords o un servicio externo parecido no actives esta opción para que funcione correctamente.

 

Opciones avanzadas del bloqueo de países

Con estas opciones podemos crear una puerta trasera para saltarnos el bloqueo de países.

Bypass Redirect: en esta opci√≥n podemos introducir una URL secreta que redirigir√° al usuario a otra URL que queramos de nuestra web y se le a√Īadir√° una Cookie con la que tendr√° acceso a la web salt√°ndose el bloqueo por pa√≠ses.

Bypass Cookie: esta opción es parecida a la anterior, simplemente elegimos una URL que si accedemos a ella (antes de viajar a un país bloqueado) y se nos instala una cookie en el navegador para poder saltarnos la restricción de países.

 

Lista de países

En la parte inferior de las opciones podemos encontrar el listado de países que podemos bloquear.

bloquear paises en wordfence

Recomendaciones:

No bloques a los Estados Unidos, ni a países de Europa ya que puedes bloquear desde los robots de Google hasta servicios legítimos que utilices en tu web como servicios CDN, servicios de plugins como Akismet o Jetpack.

No implementes esta medida si muestras publicidad de Google Adwords en tu p√°gina web ya que este servicio no lo permite.

No bloques países si no es estrictamente necesario y solo si detectas una gran cantidad de ataques procedentes del mismo país.

 

Tr√°fico en tiempo real

Wordfence nos permite ver en tiempo real el tr√°fico de nuestra p√°gina web y ver que robots y humanos visitan nuestra web.

En esta sección también se muestran los usuarios bloqueados por el firewall, así que también es un registro de bloqueados.

Esta Herramienta est√° en Tools > Live Traffic

Y no solo podemos ver quién está accediendo a nuestra web en cada momento, sino que además nos muestra información relevante sobre este usuario como:

  • El tipo de usuario (Humano o bot)
  • Usuarios con advertencias
  • Usuarios bloqueados
  • Usuarios que han sido bloqueados por el firewall
  • Ciudad desde la que se conecta
  • La Url a la que intenta acceder
  • Fecha de conexi√≥n
  • La ip del usuario
  • El nombre del host desde el que se conectan
  • El navegador y sistema operativo que utiliza el usuario

 

tr√°fico web en tiempo real

Como vemos es mucha informaci√≥n, pero tambi√©n es muy √ļtil, ya que podemos ver si un usuario de otro pa√≠s est√° intentando acceder al login una y otra vez, lo que es un comportamiento bastante sospechoso.

Adem√°s, podemos bloquearlo pulsando el bot√≥n ‚ÄúBlock IP‚ÄĚ, aunque si est√° introduciendo contrase√Īas a lo loco o se percibe un comportamiento sospechoso el Firewall lo bloquea autom√°ticamente.

Si nos fijamos en el comportamiento de los usuarios bloqueados podemos darnos cuenta de los archivos y Url de WordPress que son m√°s atacados como:

  • El login de WordPress wp-login.php
  • El archivo xmlrpc.php
  • El archivo admin-ajax.php

 

Configuración de Live Traffic

En el apartado de Live Traffic Options  tenemos opciones adicionales.

Si no te interesa ver toda la actividad en tiempo real de tu sitio web, puedes desactivar esta función con el botón ON / OFF.

Lo recomendable es que desactives el visor de tráfico en tiempo real ya que va aumentando la base de datos de WordPress y puede generar problemas de optimización.

De esta manera solo se mostraran los usuarios bloqueados por el Firewall para estar al tanto de las amenazas.

Y ahorrarás recursos del servidor y ayudas a mantener la base de datos de WordPress más ligera.

opciones live traffic

Enable live traffic logging: Activa o desactiva el tr√°fico en tiempo real

Don’t log signed-in users with publishing access: Si no deseas que los administradores y editores aparezcan en Live Traffic, mantenga esta opci√≥n habilitada.

List of comma separated usernames to ignore: excluir usuarios conectados

List of comma separated IP addresses to ignore: permite excluir ciertas direcciones IP (como la nuestra, por ejemplo) de Live Traffic.

Browser user-agent to ignore: excluir ciertos agentes de usuario (navegadores).

Amount of Live Traffic data to store (number of rows): Esta opción limita la cantidad de espacio de la base de datos que se asigna a Wordfence Live Traffic.

Display Live Traffic menu option: atajo de Live Traffic en el men√ļ principal de Wordfence

 

Verificación en dos pasos

La verificación en dos pasos es una característica Premium de Wordfence.

Las opciones para implementar la verificación en dos pasos están en Wordfence > Tools > Two Factor Authentication

cómo configurar wordfence two

 

La verificación en dos pasos es una autentificación que verifica a un usuario mediante 2 factores para permitir que acceda a un servicio web, en este caso al login de WordPress.

En este caso los factores son 1¬ļ la contrase√Īa del usuario y 2¬ļ un c√≥digo que se genera y env√≠a autom√°ticamente al tel√©fono m√≥vil del usuario.

La autenticaci√≥n puede ser mediante la APP Google authenticator o mediante SMS indicando el n√ļmero de tel√©fono.

Puedes leer más sobre estas opciones en el apartado de Two Factor Authentication del manual de Wordfence.

(La imagen siguiente es la de la interfaz antigua)

wordfence verificacion en dos pasos

 

Auditoria de contrase√Īas

La auditor√≠a de contrase√Īas analizar√° las contrase√Īas de nuestros usuarios de WordPress y nos indicar√° cuales son demasiado d√©biles o comunes y que deber√≠amos cambiar por contrase√Īas fuertes para mejorar la seguridad.

Estas opciones se encuentran en Wordfence > Tools > Password Audit

auditoria de contrase√Īa en wordpress

 

Filtro de Spam para comentarios

Wordfence proporciona una seguridad adicional para combatir el spam en los comentarios de WordPress.

Estas opciones se encuentran en Wordfence > Tools > Comment Spam Filter

filtro antispam para comentarios

 

Hold anonymous comments using member emails for moderation: mantener en moderación los comentarios con un correo electrónico de un usuario registrado.

En WordPress, es posible que alguien que no sea miembro de su sitio web publique un comentario y especifique una dirección de correo electrónico de un miembro real en su sitio.

Este comportamiento es sospechoso y se puede incorporar en un ataque más sofisticado. Por lo tanto,  se recomienda dejar activada esta opción, que mantendrá esos comentarios en moderación antes de que se publiquen.

Filter comments for malware and phishing URLs: filtro en los comentarios contra malware y URL maliciosas.

Al activar esta opción, los comentarios se analizan en busca de URL,s peligrosas de la lista de Google con páginas web marcadas como lugar inseguro o potencialmente peligroso.

Advanced Comment Spam Filter PREMIUM: Además del filtro de comentarios gratuito, esta opción filtra comentarios contra varias listas adicionales en tiempo real de spammers conocidos y hosts infectados.

 

Whois Lookup (B√ļsqueda ‚Äú¬ŅQui√©n es?‚ÄĚ)

En el apartado Whois Lookup encontramos una herramienta que nos permite averiguar m√°s datos sobre una IP o dominio en concreto.

Los datos que muestra son variados, desde el nombre del dominio, hasta el nombre del due√Īo, su direcci√≥n, tel√©fono, expiraci√≥n del dominio, organizaci√≥n en la que registr√≥ el dominio, el nombre del servidor y mucho m√°s.

Esta herramienta es muy √ļtil y se utiliza normalmente para obtener los datos de contacto del due√Īo legal de un dominio o de una IP.

Puedes hacer una prueba con la IP 8.8.8.8 que es el se√Īor Google.

 

tutorial de wordfence en espa√Īol whois lookup

Diagnóstico de la web

En la pesta√Īa ¬ęDiagnostics¬Ľ puedes ver el estado general de tu p√°gina web y del servidor y encontrar√°s mucha informaci√≥n adicional del sistema.

Como por ejemplo:

  • El estado de WordPress, los plugin y los temas.
  • La versi√≥n php.
  • Las tablas de la base de datos.
  • La direcci√≥n IP.
  • La lista cron de procesos programados.
  • Y mucho m√°s

diagnóstico de la web con wordfence

 

Opciones de Wordfence

En el √ļltimo apartado de Wordfence llamado ¬ęAll Options¬Ľ podemos encontrar todas las opciones del plugin.

En este apartado de opciones de Wordfence, podemos encontrar la configuración de la Wordfence API KEY, opciones que activan funciones Premium, la personalización de los informes y notificaciones entre otras.

También, encontraremos los apartados de las opciones que hemos visto anteriormente para el escáner, el firewall, el bloqueo de IP y el tráfico en tiempo real.

Por lo tanto, me voy a saltar las opciones que hemos visto en apartados anteriores de este tutorial de Wordfence y solo mostrare las que sean de más interés.

opciones de wordfence

 

Wordfence Licence

Para activar las funciones Premium de Wordfence tendremos que comprar una licencia del plugin en la p√°gina oficial de Wordfence donde nos dar√°n una API KEY que debemos introducir en el campo Your Wordfence API KEY.

Si no tenemos el servicio Premium se nos asigna autom√°ticamente una Wordfence API Key gratuita.

licencia api key de wordfence

 

Opciones Generales de Wordfence

Las opciones b√°sicas est√°n en el apartado Wordfence > All Options > General Wordfence Options

configurar opciones generales de wordfence

 

Enable automatic scheduled scans: activa el escaneo autom√°tico de nuestra web.

Update Wordfence automatically when a new version is released?: activa la actualización automática de Wordfence.

Where to email alerts: podemos indicar correos electrónicos separados por comas que recibirán los mensajes de alerta de Wordfence (por defecto se utiliza el email del administrador que indicamos en Ajustes > Generales).

How does Wordfence get IPs: Configura el método en el que Wordfence obtiene las direcciones IP de los visitantes. (Se recomienda dejar la opción Let Wordfence use the most secure method to get visitor IP addresses.)

Hide WordPress versión: oculta la versión de WordPress para no dar pistas a los hackers.

Esta opción viene desactivada por defecto porque aunque se oculte la versión existen varias maneras de averiguar la versión de WordPress mediante exploraciones de los archivos CSS u otros.

Activarla para dificultar el trabajo a los hackers y que no se vea la versión de WordPress en la url misitio.com/readme.txt.

Disable Code Execution for Uploads directory: Al activar esta opción colocará un archivo .htaccess en el directorio wp-content > uploads que impide que se ejecute código PHP en ese directorio. Puedes ver más info sobre esta opción aquí.

Disable Wordfence Cookies: desactivar las Cookies de Wordfence. Las cookies de Wordfence se utilizan para identificar y seguir a los usuarios en nuestra web y para la URL especial que permite saltarse el bloqueo de países.

Si desactivas las Cookies, Wordfence seguir√° funcionando mayormente de forma correcta pero algunas de sus funciones como el ‚Äúlive traffic‚ÄĚ no funcionan tan eficientemente.

Pause live updates when window loses focus: Esta opción pausa la actualización de los datos de Wordfence cuando no tenemos seleccionada la ventana del navegador para ahorrar recursos del servidor.

Si necesitas ver los datos mientras trabajas en otra ventana del navegador puedes desactivar esta opción.

Update interval in seconds (2 is default): esta opción, regula el tiempo que Wordfence carga los datos en tiempo real de varias opciones como el Live Traffic o el escáner.

Estas peticiones consumen recursos del servidor y si quieres ahorrar recursos puedes poner que se actualicen los datos cada 10 o 15 segundos.

Bypass the LiteSpeed ¬ęnoabort¬Ľ check: Wordfence comprueba si tu servidor es LiteSpeed utilizas la opci√≥n¬†‚ÄúExternal Application Abort‚ÄĚ que cancelan los procesos de larga ejecuci√≥n. Si tu servidor LiteSpeed est√° configurado para no cortar los procesos largos puedes activar esta opci√≥n para que Wordfence no compruebe esa funcionalidad.

Delete Wordfence tables and data on deactivation: Borra las tablas, los datos y la configuraci√≥n de Wordfence cuando se desactiva. Esta opci√≥n es muy √ļtil cuando queremos desinstalar Wordfence.

Configurar las alertas por email de Wordfence

En el men√ļ All Options >¬†Email Alert Preferences¬†encontramos las configuraciones de los avisos que Wordfence nos enviar√° por email.

alertas por email de wordfence

 

Si tienes todas las opciones activas y en tu web se registran usuarios puede que te veas estresado por cientos de correos de avisos de Wordfence.

Por lo tanto deja activas solo las opciones que m√°s te interesen como:

Email me if Wordfence is deactivated: alertar si Wordfence se desactiva.

Alert on critical problems: alertar de los problemas críticos.

Alert on warnings: alertar de las advertencias.

Alert me when there’s a large increase in attacks detected on my site: av√≠same cuando se detecte un gran aumento de ataques a mi sitio.

 

Email con resumen de la actividad

En el men√ļ All Options >¬†Activity Report¬†podemos configurar que se nos env√≠e por email un resumen (por d√≠a, semana o mes) de los ataques y bloqueos que han ocurrido en nuestra web.

reporte de actividad de wordfence

 

Exportar e Importar la configuración de Wordfence

En el apartado Import / Export Options podemos Exportar la configuración de Wordfence pulsando el botón Export Wordfence Settings.

exportar las opciones de wordfence

 

Al pulsar el bot√≥n se genera un c√≥digo ‚ÄúToken‚ÄĚ que puedes copiar y pegar en el campo de la opci√≥n ‚ÄúImport Wordfence options from another site using a token‚ÄĚ para importar las opciones de una instalaci√≥n de WordPress a otra.

Importar token wordfence

 

Desinstalar Wordfence

Si quieres desinstalar Wordfence la mejor forma es activando la opci√≥n ‚ÄúDelete Wordfence tables and data on deactivation‚ÄĚ y despu√©s desactivar y eliminar el plugin desde WordPress.

De esta manera se borrar√° la base de datos inmediatamente y cuando se propaguen los cambios se borraran las reglas creadas en .htaccess y user.ini y se borrar√° el archivo wordfence-waf.php.

Y ya est√° desinstalado.

En el caso de que no lo puedas desinstalar desde WordPress deber√°s borrar por FTP la carpeta de Wordfence que se encuentra en wp-content > plugins

Una vez hecho esto tienes que borrar las tablas que pertenecen a Wordfence de la base de datos desde PhpMyAdmin o tu gestor de bases de datos.

Las tablas de la base de datos de Wordfence empiezan por ‚Äúwf‚ÄĚ despu√©s del prefijo de tu base de datos.

base de datos de wordfence

Wordfence también modifica y crea varios archivos para ejecutar el firewall, por lo tanto también tenemos que borrar datos dentro de estos.

Primero tenemos que ir al archivo .htaccess que se encuentra en la raíz del servidor y borrar las líneas que introduce Wordfence.

Y también hay que revisar el archivo user.ini y borrar las líneas que hacen referencia a Wordfence.

Una vez borradas tenemos que eliminar el archivo wordfence-waf.php

NOTA: debes borrar el archivo wordfence-waf.php después de eliminar las líneas de los archivos.

 

Consejos trucos e información adicional

Limpiar la base de datos de Wordfence

Wordfence genera mucha información que guarda en la base de datos, sobre todo si tenemos activada la opción Life Traffic ya que va guardando la información de las visitas en nuestra web.

Con el paso del tiempo esto puede hacer que nuestra base de datos pese demasiado por culpa de Wordfence.

Para optimizar la base de datos podemos borrar la información de la base de datos de Wordfence mediante la opción Delete Wordfence tables and data on deactivation que se encuentra en options > apartado other options.

Al activar esta opción cuando desactivemos Wordfence se borraran los datos de las tablas de la base de datos liberando mucho espacio de la base de datos.

También se borrará la configuración de las opciones del plugin por lo tanto si no quieres perder la configuración del plugin antes de desactivar Wordfence puedes generar un Token de importación para exportar las opciones después de haber borrado los datos.

En resumen, para liberar espacio de la base de datos de Wordfence, activa la opción mencionada, y desactiva Wordfence.

 

Plugin de seguridad Adicionales

Una medida de seguridad que Wordfence no tiene es cambiar la URL de administración de WordPress /wp-admin

Si quieres cambiar la url de acceso a la zona de administración de WordPress puedes utilizar el plugin WPS Hide Login que es compatible con Wordfence, puedes seguir el tutorial Cambiar la url de wp-admin para hacerlo.

17 comentarios en “Tutorial de Wordfence Completo en espa√Īol 2019

  1. Hola Gerardo, impresionante el post con toda la informaci√≥n, voy a probar a instalarlo. ¬°Muchas gracias por la explicaci√≥n! Un saludo ūüėÄ

  2. No habia vuelto a leer tu sitio web por un tiempo, porque me pareci√≥ que era denso, pero los √ļltimos articulos son de buena calidad, as√≠ que supongo que voy a a√Īadirte a mi lista de blogs cotidiana. Te lo mereces amigo. ūüôā

    Saludos

  3. Hola muy interesante artículo, es de mucha utilidad, Tengo na consulta que ojalá me puedan apoyar
    tengo un problema al activar wordfence en una instalaci√≥n de localhost, cuando lo activo me aparcece un error de p√°gina no encontrada :s, lo solucion√© borrando la carpeta del plugin , pero al volver instalar y activar el error persiste, tengo tambi√©n instalado elementor. de antemano gracias ūüôā

  4. Hola Gerardo
    Muy buen post y, gracias por la info dado que, me permitió instalar y configurar este excelente plugin.
    Pero, tengo una duda que veo que, indirectamente se la ¬ęrespondiste¬Ľ a quien te pregunt√≥ en los comentarios sobre si …¬Ľ¬ŅConoces alg√ļn plugin compatible con Wordfence que permita ocultar wp-login?¬Ľ…, je!
    Asi que, te pregunto;
    1) ¬ŅTu tespuesta significa que, no hay problema si, instalo el plugin WPS y, cambio mi enlace? Es decir, ¬ŅWordreference no me ¬ęconfundir√°¬Ľ con un ¬ęatacante¬Ľ al ingresar desde otro enlace?
    2) ¬ŅSabes si, al cambiar dicho enlace, puedo seguir usando el mismo usuario y contrase√Īa que tengo actualmente para acceder a mi wordpress?
    3) Por √ļltimo, en caso de que, dicho plugin (WPS) ¬ęfalle¬Ľ, ¬Ņsabes si, al desinstalarlo, vuelvo todo para atr√°s? (es decir, mismo Todo)
    Desde ya, muchas gracias.
    Saludos.

  5. Buenas Gerardo!
    Tengo un problema, al poco de empezar la instalacion ademas (es mi primera web, asi que piensa en cosas faciles y recurrentes que puedan estar pasando)
    cuando le doy para que haga un scan, me dice lo siguiente

    Scan Failed

    The scan has failed to start. This is often because the site either cannot make outbound requests or is blocked from connecting to itself

    que hago? Un saludo!

    1. Hola, el error te indica que no se pueden hacer peticiones externas o que se a bloqueado el scan, puede ser por falta de memoria o por que el servidor no permite que se analice con estas herramientas por seguridad, pregunta al soporte de tu hosting o al soporte del plugin.
      Un saludo!

  6. Hola Gerardo ¬ŅC√≥mo est√°s?

    Quer√≠a hacerte una consulta. Cuando cre√© mi primera web intent√© con Wordfence pero siempre me bloqueaba el acceso, as√≠ que me resign√© y me cambi√© al plugin All In One WP Security & Firewall, que me pareci√≥ much√≠simo m√°s sencillo y no me presenta ning√ļn problema, pero me gustar√≠a saber cu√°n confiable es y si es preferible usar wordfence?

    Gracias!!

    1. La verdad es que son pr√°cticamente iguales, All In One WP Security & Firewall creo que es m√°s sencillo en interfaz y las opciones vienen muy bien explicadas (es el que damos en el curso de WordPress) y adem√°s tiene alguna opci√≥n que no tiene Wordfence que es cambiar la url de wp-admin. Por otra parte Wordfence es el m√°s utilizado y tiene un firewall que analiza los datos de ataques de todos los WordPress que usen Wordfence, por lo tanto creo que tiene un firewall mas potente (que no significa que el Firewall de AIOWPS sea malo). Aparte de esas peque√Īas diferencias, no tienen mucho mas de diferente, si la pregunta es ¬Ņcual protege m√°s? dir√≠a que protegen igual con medidas similares para proteger las zonas m√°s atacadas de un sistema WordPress. Un saludo!

Deja un comentario

El email no ser√° publicado. Vas a introducir datos en la web si comentas:

  • Responsable de los datos Gerardo Garc√≠a Asensio
  • Los datos se usar√°n para gesti√≥n de comentarios y medidas de seguridad
  • Legitimaci√≥n: tu consentimiento.
  • Destinatarios: los datos estar√°n ubicados en los servidores de Siteground.
  • Derechos: podr√°s ejercer tus derechos, entre otros, rectificar, limitar y borrar tus datos.

Pin It on Pinterest

Esta web utiliza cookies para su funcionamiento. Lee y acepta el aviso legal o abandona la web. m√°s info

Los ajustes de cookies de esta web están configurados para "permitir cookies" y así ofrecerte la mejor experiencia de navegación posible. Si sigues utilizando esta web sin cambiar tus ajustes de cookies o haces clic en "Aceptar" estarás dando tu consentimiento a esto.

Cerrar